Afgelopen jaar hebben diverse digitale dreigingen ervoor gezorgd dat er data werd gelekt bij zorginstanties. Verder werd er door kwaadwillenden financiële fraude gepleegd, of waren systemen en diensten tijdelijk niet beschikbaar. De grootste boosdoener is ransomware.
Dat schrijft Z-CERT, het Computer Emergency Response Team voor de Nederlandse zorgsector, in het rapport Cybersecurity Dreigingsbeeld voor de zorg 2022 (pdf). Het jaarverslag werd woensdag overhandigd aan minister Ernst Kuipers van Volksgezondheid, Welzijn en Sport. Het is de derde keer dat Z-CERT het Dreigingsbeeld publiceert.
Ook kleine zorgorganisaties en praktijken zijn doelwit hackers
In het rapport somt de toezichthouder de belangrijkste digitale dreigingen voor de Nederlandse zorgsector op. In 2022 waren dat ransomware en financiële fraude. Afgelopen jaar registreerde Z-CERT vijf aanvallen met gijzelsoftware bij Nederlandse zorginstellingen. Dat zijn er evenveel als in het jaar ervoor. Groot verschil is dat zorginstanties afgelopen jaar meer last hadden van de ransomware-aanvallen.
Z-CERT benadrukt dat niet alleen grote zorginstellingen als ziekenhuizen een potentieel doelwit zijn voor hackers. Ook kleinere organisaties en praktijken lopen het risico om slachtoffer te worden van een ransomware-aanval.
Een voorbeeld daarvan is Attent Zorg en Behandeling. Van deze instantie belandden eerder deze week kopieën van paspoorten van artsen, verpleegkundigen en fysiotherapeuten op het dark web nadat hackers de IT-systemen wisten binnen te dringen. De zorginstantie zegt dat het probleem is opgelost en de daders niet langer toegang hebben tot de interne systemen.
Minister: ‘Digitalisering belangrijke pijler voor zorgverlening’
Op Europees niveau registreerde Z-CERT 51 ransomware-aanvallen bij Europese zorginstellingen. Dat is een toename van 65 procent ten opzichte van 2021. Wereldwijd steeg het aantal meldingen van aanvallen met gijzelsoftware in een jaar tijd met 28 procent.
Wim Hafkamp, directeur van Z-CERT, vindt dat zorginstanties in actie moeten komen om hun digitale weerbaarheid te verbeteren. “Zorginstellingen zijn zich vaak onvoldoende bewust dat het naar de cloud brengen van applicaties kan leiden tot extra risico’s voor de beschikbaarheid van zorgprocessen. Maak hier dus goede afspraken over met de leverancier en zorg ervoor dat de afgesproken beveiligingsmaatregelen ook worden getest.”
Minister Kuipers sluit zich daarbij aan. “Digitalisering is een belangrijke pijler voor een goede en efficiënte zorgverlening in de toekomst. Een belangrijke randvoorwaarde hierbij is een adequate beveiliging van patiëntgegevens en ICT-systemen”, zei hij toen hij het rapport in ontvangst nam.
Dreigingsradar moet zorginstanties helpen digitale weerbaarheid te verbeteren
Om zorginstellingen te helpen bij het weerbaar maken van hun organisatie, heeft Z-CERT de dreigingsradar geïntroduceerd. Het is een visualisatie waarin de toezichthouder visueel aangeeft wat de grootste dreigingen op korte termijn en langere termijn zijn. Daaruit blijkt dat in de nabije toekomst ransomware -bij de zorginstelling of bij een leverancier- de grootste kopzorg is. “In 2023 verwacht Z-CERT veel pogingen door ransomware-actoren om binnen te dringen. Z-CERT verwacht binnen een jaar enkele ransomware-incidenten in de Nederlandse zorgsector”, zo staat er in het Dreigingsbeeld.
Naast ransomware-aanvallen gaan datalekken voor veel ellende zorgen. “Z-CERT schat het dreigingsniveau voor datalekken in de zorg in veroorzaakt door hacking in als hoog. Z-CERT verwacht binnen een jaar enkele datalekken die veroorzaakt worden door hacking. In deze gevallen zal de impact vaak hoger zijn dan bij een phishing-incident omdat er meer gevoelige data buitgemaakt wordt”, aldus de beveiligingsspecialisten van Z-CERT.
In de toekomst speelt spionage naar verwachting een prominente rol. In het bijzonder voor zorgorganisaties waar veel wetenschappelijk onderzoek wordt gedaan dat relevant is voor statelijke actoren. “De hoge dreiging wordt veroorzaakt doordat de aanvallers een hoog niveau, veel geduld en veel geld hebben om hun missies te volbrengen. Daarnaast zijn de defensieve vermogens van zorgorganisaties niet voldoende om dit type aanvallers buiten de deuren te houden”, aldus de toezichthouder.
