Cyberbeveiliging in de zorg: het beschermen van mensenlevens, niet alleen van systemen

Tijdens het recente Congres Data & Security in de Zorg sprak Arno over het cruciale belang van cybersecurity in de medische sector. Als onderdeel van een team bij Philips dat verantwoordelijk is voor het vaststellen van beveiligingsbeleid, werkt hij dagelijks aan cybersecurity-uitdagingen. Het team zoekt ook steeds vaker de samenwerking op met zorginstellingen. Wat is de grootste uitdaging die hij in het werkveld ziet? “Klanten moeten beseffen dat cyberveiligheid van medische systemen óók gaat over patiëntveiligheid, niet alleen over het beveiligen van hun IT-omgeving. Het is een proces van continue samenwerking om het ziekenhuis draaiende te houden, zodat de zorgverlening niet in gevaar komt.”

Het gevaar van beveiligingslekken wordt elke dag duidelijker. Om zijn boodschap kracht bij te zetten, deelt Arno indrukwekkende cijfers. Ongeveer 90 procent van de gezondheidszorginstellingen wereldwijd heeft in de afgelopen drie jaar minstens één beveiligingslek gemeld (Becker’s Health IT). Bovendien heeft ongeveer 53 procent van de aangesloten medische apparaten bekende kritieke kwetsbaarheden, gemiddeld 6,2 kwetsbaarheden per apparaat (FBI). Opvallend is ook dat een vijfde van de medische apparaten die in Europa in gebruik zijn, meer dan 10 jaar oud is (Cocir). Het risico op kwetsbaarheden neemt met de tijd toe, waardoor het duidelijk is dat actie noodzakelijk is.

Arno ziet vaak dat ziekenhuizen hun IT-omgeving segmenteren. “Vergelijk het met een soort slotgracht”, zegt hij. Dat is volgens hem een prima aanpak, maar geen gedegen oplossing om verouderede securitymaatregelen in een medisch systeem te compenseren. Arno: “We dienen bij voorkeur de securitymaatregelen in een medisch systeem in een topconditie te houden. De werking van het systeem blijft daardoor gewaarborgd, zelfs wanneer het netwerk van het ziekenhuis is platgelegd door een aanvaller. Wanneer een aanvaller het ziekenhuisnetwerk platlegt, inclusief de werking van de medische systemen, kan dit verstrekkende gevolgen hebben voor de patiënt.”

Om goede beveiliging nog duidelijker uit te leggen, gebruikt hij het voorbeeld van een ui. Elke laag van een ui stelt een beveiligingslaag voor. Hoe meer lagen de ui heeft, hoe sterker de beveiliging is. Denk bijvoorbeeld aan een firewall, malwarebescherming, encryptie en fysieke beveiliging. “Ieder medisch apparaat heeft zijn eigen ‘ui’, waardoor het steeds moeilijker wordt voor aanvallers om binnen te komen”, zegt Arno. “Als je een ui pelt, ga je huilen. Dat willen we ook bereiken bij aanvallers”, voegt hij toe met een knipoog.