Neem maatregelen om aanvallen door ransomware te voorkomen

De effecten van ransomware-aanvallen op zorginstellingen zijn verstrekkend. Uit een onderzoek naar ransomware-aanvallen op zorgorganisaties tussen 2016 en 2021 bleek dat 44,4% van de aanvallen de zorgverlening verstoorde, waaronder uitvaltijd van elektronische systemen (41,7%), annuleringen van geplande zorg (10,2%) en het omleiden van ambulances (4,3%).² Een gezondheidszorgeconoom aan de Universiteit van Minnesota zei op basis van de eerste bevindingen van een onderzoek dat de mortaliteit binnen ziekenhuizen met 20-35% toeneemt voor patiënten die de pech hebben in een ziekenhuis te worden opgenomen tijdens een ransomware-aanval.³ Ransomware kan ook impact hebben op uw administratieve functies, waaronder facturering en salarisadministratie, en kan aanzienlijke schade aan uw reputatie veroorzaken.

Cyberaanvallen kunnen cruciale systemen verstoren, waardoor gegevens onbereikbaar worden en de gezondheidszorg moeite heeft om patiëntveiligheid te waarborgen en tijdige zorg te verlenen. Uiteindelijk lijden de patiënten hier het meest onder. Artsen kunnen mogelijk geen procedures uitvoeren of medicatie voorschrijven, terwijl apotheken moeite hebben met het verkrijgen van informatie voor het verwerken van recepten. Bovendien worden de facturatieprocessen van de organisatie inefficiënt, wat impact heeft op het aantal patiënten dat ze kunnen behandelen.

Maar u bent niet overgeleverd aan de cybercriminelen. Er zijn stappen die u kunt nemen om uw risico op een ransomware-aanval te verminderen, zoals inzicht krijgen in waarom zorginstellingen risico lopen, hoe cybercriminelen opereren en hoe u kunt samenwerken met bedrijven als Philips die bij de ontwikkeling van hun software veel aandacht schenken aan cyberbeveiliging om uw organisatie te helpen beschermen.

Zorgsystemen zijn bijzonder aantrekkelijke doelwitten voor ransomware vanwege een combinatie van digitalisering van gezondheidsinformatie, complexe netwerken met veel toegangspunten, apparaten die niet voorzien zijn van de nieuwste beveiligingssoftware, menselijke factoren en een gebrek aan controle.

Medische apparaten en wearables met lage beveiliging zijn steeds vaker verbonden met het internet en vormen toegangspoorten tot ziekenhuisnetwerken. Met name apparaten met onregelmatige patchcycli bieden mogelijk geen bescherming tegen de nieuwste malware. Een andere factor is dat de toeleveringsketens in de gezondheidszorg steeds complexer zijn geworden en zelfs het kleinste zorgsysteem veel verschillende onderdelen omvat. Deze complexiteit, in combinatie met de vele derde partijen en leveranciers die verbonden zijn aan ziekenhuissystemen, maakt het vrijwel onmogelijk voor ziekenhuizen om volledig inzicht en controle te hebben over elk aspect van hun netwerken en vergroot het risico en de mogelijke gevolgen van een cyberaanval.

Onder de menselijke factoren bevinden zich klinische en administratieve personeelstekorten. Door minder personeel en langere werktijden kan cybersecurity naar de achtergrond verdwijnen, wat fouten in de hand werkt en cyberaanvallen mogelijk maakt.

Voorlichting over cyberbeveiliging kan ook minder prioriteit krijgen, waardoor medewerkers het onbedoeld gemakkelijk maken voor cybercriminelen. Het National Institute of Health meldde dat 90% van de inbreuken begint met phishing (massale e-mails) of spear-phishing (doelgerichte e-mails).⁴ In beide gevallen gebruiken hackers misleidende e-mails of websites om informatie te verzamelen, zoals PACS-aanmeldgegevens. Het rapport verwees naar een Amerikaanse studie waarin werd vastgesteld dat zorgmedewerkers op één van de zeven gesimuleerde phishing-e-mails klikten.

Elektronische patiëntdossiers (EPD), die het eenvoudig maken om actuele patiëntgegevens te delen voor verbeterde patiëntzorg, bieden tevens een doelwitrijke omgeving van waardevolle data die zeer aantrekkelijk is voor cybercriminelen.

Zodra de bestanden van een organisatie zijn versleuteld met ransomware, wordt de gebruiker gesommeerd een losgeld te betalen. Voor de betreffende zorginstelling is het dan een race tegen de klok om de controle over het systeem en/of de patiëntgegevens terug te krijgen. Het maken van back-ups van miljoenen dossiers is voor grote zorgsystemen een tijdrovende taak die binnen de beschikbare tijd niet voltooid kan worden, en hackers zijn zich daar maar al te goed van bewust. Mocht er geen back-up beschikbaar zijn of deze eveneens versleuteld zijn, dan ziet het slachtoffer zich genoodzaakt het losgeld te betalen om toegang tot de bestanden te herstellen.⁶ Vaak zijn zorginstellingen bereid te betalen om hun diensten snel te hervatten en publieke vernedering en verlies van vertrouwen te voorkomen.

Zelfs als de zorginstelling weigert te betalen, kunnen de misdadigers nog steeds geld verdienen door de informatie te verkopen op het dark web. Beschermde gezondheidsgegevens (PHI) zijn waardevoller dan andere gegevens omdat er op allerlei manieren misbruik van kan worden gemaakt, bijvoorbeeld om frauduleuze verzekeringsclaims in te dienen, valse recepten te kopen of behandelingen te krijgen.⁷ Gestolen gegevens zijn verhandelbaar en de verkoopprijs hangt af van zowel de bron als van vraag en aanbod. In een uitzending van maart 2024 vertelde een cybersecurityonderzoeker, geïnterviewd op CNBC, dat medische dossiers op het dark web worden verkocht voor ongeveer $60, vergeleken met burgerservicenummers voor $15 en creditcardgegevens voor $3.⁸

Cedric L. Truss, programmadirecteur en klinisch assistent-professor in gezondheidsinformatica aan de Georgia State University, raadt organisaties aan een aantal weloverwogen stappen te nemen om een ransomware-aanval te voorkomen,⁶

inclusief:

Philips hanteert een gedetailleerd cybersecuritybeleid waarbij het bedrijf zich richt op het identificeren van opkomende beveiligingskwetsbaarheden en mogelijke externe dreigingen. Daarnaast werkt Philips samen met regelgevende instanties, partners in de industrie en zorgverleners om beveiligingslekken te dichten en beschermende maatregelen te implementeren.

Radiologie-IT past cybersecurityrichtlijnen toe gedurende de volledige levenscyclus van hun producten en dienstenontwikkeling. Radiologie-IT-ontwikkeling integreert belangrijke beveiligingsnormen zoals NIST, ISO, DICOM, IHE en DIACAP (nu RMF). Daarnaast beoordelen we zorgvuldig internationale wetten, variërend van Health Insurance Portability and Accountability Act tot de EU-richtlijn gegevensbescherming, om productvereisten te identificeren en de nieuwste richtlijnen te implementeren. Het productbeveiligingsframework zorgt ervoor dat medische apparaten worden ontworpen met een defense-in-depth-strategie, waarbij meerdere lagen van beveiligingscontroles worden geïntegreerd die zich uitstrekken over applicatie-, systeem-, data- en netwerkbeveiliging. Deze controles, afgestemd op internationale beveiligingsnormen, zijn zorgvuldig geïntegreerd in onze medische oplossingen om cyberdreigingen doeltreffend te bestrijden.

In overeenstemming met best practices volgens de norm, bestaan de cybersecuritymaatregelen die we in Radiologie-IT hebben ingevoerd uit:

Binnen ons threat response-raamwerk is het waarborgen van de beveiliging van vitale systemen zoals Vue PACS en Image Management Software onze hoogste prioriteit bij het 24/7 Philips Security Operations Center (SOC).* We hanteren een integrale aanpak die is afgestemd op het snel en effectief aanpakken van cybersecurity-uitdagingen. Onze meervoudige strategie integreert proactieve maatregelen zoals voortdurende bewaking en dreigingsdetectie – waarbij gebruik wordt gemaakt van state-of-the-art technologieën.

Daarnaast biedt Philips Radiologie-IT voor klanten die gebruikmaken van een lokaal PACS- of beeldbeheersysteem de Philips HealthSuite Imaging Data Protection-dienst aan. Deze nieuwe dienst stelt zorgorganisaties in staat hun medische beelden en PACS-bestandssystemen te beschermen tegen alle bedreigingen, waaronder cyberaanvallen, virussen en natuurrampen, door gebruik te maken van Amazon Web Services (AWS)-technologie. De geavanceerde beveiligingsfuncties van AWS omvatten versleuteling tijdens overdracht en opslag, en naleving van meer dan 50 internationale normen. Deze robuuste bescherming minimaliseert verder het risico op ransomware-aanvallen, waardoor kritieke medische beeldgegevens veilig en toegankelijk blijven en zorginstellingen ononderbroken patiëntenzorg kunnen garanderen.

De geavanceerde beveiligingsfuncties van AWS omvatten versleuteling tijdens overdracht en in rust, en naleving van meer dan 50 wereldwijde normen. De Imaging gegevensbescherming-oplossing van Philips HealthSuite zorgt voor conformiteit, biedt hoge duurzaamheid en maakt snel herstel van gegevens mogelijk in geval van rampen, terwijl de onsite medische imaging workflow en PACS-configuratie ongestoord blijven. De service maakt onsite back-ups overbodig, verkleint de administratieve last en biedt kosteneffectieve schaalbaarheid, zodat zorginstellingen hun aandacht kunnen richten op patiëntenzorg zonder de gegevensintegriteit in gevaar te brengen.