Cybersecurity ziekenhuizen blijft hoofdpijndossier
Er is genoeg reden om sceptisch te zijn over de cybersecurity van ziekenhuizen. Zorginstellingen digitaliseren net als de rest van de maatschappij mee, en lopen daarbij evengoed regelmatig tegen problemen aan. Denk aan hoge kosten en slechte beveiliging. We gaan in dit artikel in op enkele risicofactoren.
Het uitwisselen van medische data wordt steeds makkelijker, maar ook belangrijker. De overheid pleit al jaren voor een landelijk elektronisch patiëntendossier (EPD), maar daar verzetten tegenstanders zich met hand en tand tegen. De uit de hand lopende ict-kosten spelen het landelijk EPD parten, maar er zijn ook zorgen om de privacy. Organisaties als Bits of Freedom bijvoorbeeld zijn bezorgd over het afnemen van privacy als gevolg van toenemend gebruik van technologische en internettoepassingen.
Het landelijk EPD mag dan inmiddels van tafel zijn, maar in plaats daarvan zijn er allerlei lokale EPD’s opgekomen. Ziekenhuizen of grote zorginstellingen bouwen bijvoorbeeld hun eigen systeem (of laten dat doen), en regionale instellingen werken samen om dat te regelen. Vervolgens kan informatie uit die systemen worden uitgewisseld via het zogenaamde ‘Landelijk Schakel Punt’ (LSP).
Er is dus geen centrale database met alle gegevens van alle patiënten in Nederland. Een extra voordeel is dat alleen gegevens in een bepaalde regio mogen worden uitgewisseld - een Brabantse patiënt kan zijn gegevens dus niet delen met een Fries ziekenhuis. Patiënten moeten tevens expliciete toestemming voor het uitwisselen van gegevens geven.
Grote ict-projecten van de overheid zijn notoir duur en vertraagd. Bovendien levert de grootte vaak privacy- en beveiligingsproblemen op. Wat dat betreft is het misschien een goede zaak dat er geen landelijk EPD is gekomen. Van de andere kant is het een groot probleem dat al die losse systemen nu hun eigen standaarden hebben en daarom vaak moeilijk (of helemaal niet) compatibel zijn met elkaar.
Medische apparatuur met internet verbonden
Uit onderzoek van securitybedrijf McAfee bleek dat heel veel ziekenhuizen PACS (Picture Archiving and Communication Systems) gebruiken om afbeeldingen zoals CT-scans, röntgenfoto’s of ultrasounds op te slaan. Idealiter wordt die informatie alleen lokaal opgeslagen of via een air gap of goede firewall afgeschermd van het reguliere netwerk, maar de praktijk is helaas vaak anders. Een snelle zoektocht op IoT-zoekmachine Shodan laat namelijk zien dat er meer dan 1.100 van zulke apparaten via internet benaderbaar zijn. McAfee ontdekte ook dat die apparaten vaak notities bevatten zoals ‘IE 6 support only’, of gebruikmaakten van oude Java-code. Niet heel erg up-to-date dus!
Toen de onderzoekers van het bedrijf verder keken bleken ze nog veel meer informatie te kunnen achterhalen. Zoveel zelfs dat het één van hen lukte om een model van een knie en een bekken te maken op een 3D-printer, door middel van alle informatie die zij wisten te vinden.
©PXimport
Het échte gevaar zit nog steeds in de systemen die ziekenhuizen gebruiken. Laten we immers WannaCry niet vergeten, een agressieve vorm van ransomware die in 2017 honderden ziekenhuizen over de hele wereld platlegde. Een half jaar na de aanval bracht de Britse National Audit Office een evaluatierapport uit. Dat bevatte harde conclusies. Ziekenhuizen waren slecht voorbereid op een cyberaanval en hadden heel simpele preventiemaatregelen kunnen nemen.
De communicatie verliep bovendien slecht, uitgerekend doordat de ransomware systemen had geblokkeerd, waardoor e-mailcommunicatie veel moeizamer ging. Uit het rapport bleek bovendien ook dat veel zorginstellingen hun systemen naderhand nog steeds niet gepatcht hadden.
Hopeloos verouderd
Eén van de problemen die inmiddels al wel duidelijk zijn is dat Nederlandse ziekenhuizen nog schrikbarend vaak gebruik maken van Windows XP. Het besturingssysteem krijgt al sinds april 2014 geen beveiligingsupdates meer, maar uit een steekproef van de NOS bleek dat 14 van de 25 ondervraagde ziekenhuizen in ieder geval op een paar afdelingen nog gebruik maakten van Windows XP.
Het is mogelijk je daar als bedrijf alsnog tegen te wapenen door Microsoft te betalen voor updates - de overheid doet dat voor sommige instanties nog steeds. Bij ziekenhuizen worden die kosten echter niet gemaakt. Het probleem is tweeledig. Aan de ene kant is het een kostbare zaak om een heel ziekenhuis, met vaak duizenden medewerkers en zeker zoveel computers, te upgraden naar een nieuw besturingssysteem. Niet alleen kosten de nieuwe Windows-licenties geld, maar bij de manuren die je kwijt bent met zo’n project lopen de kosten al snel op.
Maar het grotere probleem zit in de specifieke medische apparatuur die ziekenhuizen gebruiken. Apparaten zoals MRI-scanners zijn bijvoorbeeld vaak alleen compatibel met Windows XP. Nieuwe software wordt er niet gemaakt, en bestaande software wordt zelden geüpdatet om compatibel te zijn met nieuwere besturingssystemen. Zoals bij veel instellingen geldt dan ook in dit geval: “If it ain’t broke, don’t fix it.”
Meer uitdagingen
Medisch opgeleid personeel is over het algemeen minder bezig met digitale veiligheid. Ze hebben minder ervaring met het herkennen van phishing-mails, en minder tijd om ingewikkelde processen als tweestapsverificatie te implementeren en te gebruiken. Ziekenhuizen en medische instellingen groeien bovendien hard of fuseren vaker. Dat maakt het op organisatorisch niveau erg lastig om stabiele securityprocessen op te zetten en om een consistent updatebeleid te implementeren voor alle bedrijfssystemen.
Bovenstaande risico's maken ziekenhuizen tot een heel interessant doelwit voor hackers. Veel persoonlijke gegevens bij elkaar in combinatie met een doorgaans matige beveiliging én een hoge bereidheid te betalen voor ransomware zijn een goudmijn voor kwaadwillenden. Eenvoudige oplossingen zijn niet zomaar voor handen, en daarom blijft dit voorlopig een hoofdpijndossier.
