ICT-problemen in de zorg zijn helaas geen uitzondering. Wanneer SolidBE rond de tafel zit met zorginstellingen, komen vaak dezelfde onderwerpen naar voren. Lifecycle issues, systeem uitval en beheer, data-integratieproblemen en een gebrek aan interoperabiliteit. Ondertussen wordt er ook nog een gevecht gevoerd met diverse richtlijnen en het implementeren ervan.
Daarnaast worstelen veel zorginstellingen met de digitale beveiliging van hun netwerk dat in de loop der jaren een bonte verzameling is geworden van systemen en applicaties. Dit zorgt voor een tekort aan overzicht en grip en maakt een samenhangende securitystrategie moeilijk.
Als de problemen directe impact hebben op de kwaliteit van de zorgverlening of de efficiëntie van processen bestaat de behoefte en noodzaak deze op te lossen of nog beter te voorkomen. Maar vaak komen issues ook pas echt naar voren als een audit plaatsvindt naar aanleiding van een incident of wanneer bijvoorbeeld een NIS2 en NEN 7510 wetgeving om de hoek komt kijken.
Welke onderwerpen komen wij als netwerk- en securitybedrijf vaak tegen in ons contact met instellingen in de zorgsector? En als je een audit heb laten doen, welke oplossingen zijn er dan te geven om aan de aanbevelingen van zo’n audit te voldoen? We laten in 4 verschillende audit cases zien hoe wij onze klanten een handvat bieden om problemen het hoofd te bieden.
Produkt lifecycle
In de zorgsector speelt ICT een steeds grotere rol, en specifiek de product lifecycle van ICT-systemen brengt unieke uitdagingen met zich mee. Het upgraden van ICT-systemen in de zorg is een belangrijk aspect van die product lifecycle en eentje die vaak voor problemen zorgt.
Het upgraden van ICT-systemen in zorginstellingen is een complexe onderneming die veel verder gaat dan alleen het installeren van nieuwe software. Regelmatige updates zijn noodzakelijk om de software veilig en functioneel te houden. Deze updates kunnen echter conflicteren met aanpassingen die de zorginstelling zelf heeft doorgevoerd om het systeem beter te laten aansluiten bij hun specifieke behoeften. Het balanceren tussen maatwerk en standaardisatie is een voortdurende worsteling.
Ook vereist zo’n upgrade een zorgvuldige planning. Het systeem kan niet zomaar ‘even’ offline worden gehaald, aangezien het essentieel is voor de dagelijkse zorgverlening. Ziekenhuizen moeten vaak maandenlang vooruit plannen, waarbij ze een tijdvenster zoeken waarin de impact op de patiëntenzorg minimaal is. Dit kan betekenen dat de upgrade in fasen moet gebeuren of zelfs ’s nachts moet plaatsvinden.
Data-integratie
Verschillende zorginstellingen gebruiken verschillende IT-systemen en er ontbreekt een duidelijke standaard voor het uitwisselen van patiëntgegevens. Zelfs binnen 1 organisatie kan dit ontstaan doordat verschillende organisaties zijn samengegaan in de loop der tijd.
Veel zorginstellingen maken ook gebruik van verouderde systemen die moeilijk te integreren zijn met moderne technologieën. Deze legacy-systemen ondersteunen vaak geen moderne data-uitwisselingsprotocollen, wat zorgt voor problemen bij data-integratie. Er zijn vaak verschillende standaarden en protocollen voor data-uitwisseling, waardoor systemen niet zonder aanpassingen met elkaar kunnen communiceren.
Beheer
Waar zijn op dit moment nu geen tekorten aan gespecialiseerde ICT-medewerkers? Dit is zeker het geval als het gaat om medewerkers die kennis hebben van zowel zorgprocessen als complexe IT-systemen. Het tekort leidt tot problemen met het adequaat beheren, onderhouden en beveiligen van ICT-infrastructuur. Daarnaast hebben zorginstellingen te maken met beperkte budgetten voor ICT. Dit betekent dat ze vaak moeten werken met oudere apparatuur en software, of dat er onvoldoende middelen zijn voor upgrades en noodzakelijke verbeteringen in ICT-beheer.
Zorginstellingen worden geconfronteerd met uitdagingen op het gebied van de continuïteit van hun systemen. Het ontbreken van robuuste back-up- en disaster recovery-oplossingen kan leiden tot uitval van kritieke systemen, wat de patiëntenzorg ernstig kan verstoren.
Al met al vormt beheer dus een zwakke schakel, zeker als je je ICT in eigen beheer wil doen. Juist vanwege bovenstaande redenen kiezen meer instellingen om een deel van het beheer uit te besteden aan gespecialiseerde bedrijven. Dit gaat ook op voor security wat hieronder nog aan bod komt.
Interoperabiliteit
Naarmate een systeem ouder wordt, nemen de onderhoudskosten vaak toe terwijl de ondersteuning van de leverancier mogelijk afneemt. Zorginstellingen kunnen zich dan genoodzaakt voelen om over te stappen naar een nieuwer systeem, zelfs als het huidige systeem nog functioneel is. Deze overstap is echter risicovol en kostbaar, zeker als het gaat om bijvoorbeeld een EPD systeem wat een centrale rol speelt in de dagelijkse zorgverlening.
En als een nieuw systeem wordt geïntroduceerd of een bestaand systeem wordt geupgrade, kan dit leiden tot onverwachte compatibiliteitsproblemen. Ziekenhuizen draaien vaak op een ecosysteem van onderling verbonden software – van apotheeksystemen tot laboratoriummanagement. Een upgrade van één systeem kan onverwachte gevolgen hebben voor de werking van andere. Uitgebreide integratietests zijn noodzakelijk, wat het upgradeproces verder verlengt en compliceert.
Security
Zo’n upgrade waar we het hierboven over hadden kan nieuwe beveiligingsuitdagingen met zich mee brengen. Nieuwe functionaliteiten kunnen nieuwe kwetsbaarheden introduceren, en een beveiligingsteam moet zich vertrouwd maken met de gewijzigde architectuur om potentiële risico’s te identificeren en te mitigeren.
Wetgeving rondom gegevensbescherming en privacy evolueert voortdurend. De Algemene Verordening Gegevensbescherming (AVG) heeft bijvoorbeeld grote impact gehad op hoe zorginstellingen moeten omgaan met patiëntgegevens. ICT-systemen moeten regelmatig worden aangepast om aan deze veranderende eisen te voldoen, wat de complexiteit van hun levenscyclus verder vergroot.
Vanwege de gevoelige aard van de gegevens die zorginstellingen beheren zijn ze een aantrekkelijk doelwit voor criminelen. Het up-to-date houden van beveiligingsmaatregelen is een constante race tegen de klok, waarbij elk nieuw beveiligingslek potentieel catastrofale gevolgen kan hebben voor de patiëntveiligheid en het vertrouwen in de zorginstelling.
Richtlijnen
De NEN 7510-1 richtlijn gaat over het ontwikkelen van een managementsysteem voor informatiebeveiliging binnen zorginstellingen, waarbij de vertrouwelijkheid, integriteit en beschikbaarheid van medische gegevens gewaarborgd worden. NEN 7510-2 biedt praktische richtlijnen en maatregelen om deze beveiliging concreet te implementeren in de zorgpraktijk.
De NIS2-richtlijn is een Europese regelgeving die zich richt op het verbeteren van de beveiliging en veerkracht van netwerken en informatiesystemen in kritieke sectoren, zoals de zorg, door hogere eisen te stellen aan risicobeheer, incidentenrapportage, en beveiliging van systemen.
Het voldoen aan de normen NEN 7510-1, NEN 7510-2 en de NIS2-richtlijn is voor de zorgsector een complex proces, dat gepaard gaat met verschillende uitdagingen. De zorgsector heeft te maken met een combinatie van alle factoren die we hier boven beschreven hebben. Technologische, organisatorische, financiële en menselijke factoren die de implementatie van deze normen bemoeilijken.
Allereerst hebben zorginstellingen vaak te maken met verouderde IT-infrastructuur, wat het moeilijk maakt om de nodige beveiligingsmaatregelen in te voeren die in de normen worden voorgeschreven. De fragmentatie van IT-systemen zorgt voor een gebrek aan interoperabiliteit. Hierdoor is het implementeren van een effectief informatiebeveiligingsmanagementsysteem (ISMS) zoals beschreven in NEN 7510-1 problematisch.
Op organisatorisch niveau hebben zorginstellingen vaak te maken met een gebrek aan specialistische ICT-kennis. Er is een tekort aan personeel dat voldoende bekend is met de specifieke eisen van informatiebeveiliging in de zorg. Dit leidt tot een gebrek aan capaciteit om de vereiste beleidsregels en procedures op te stellen en te beheren, zoals beschreven in zowel NEN 7510 als NIS2.
Financiële beperkingen vormen ook een obstakel. Veel zorginstellingen hebben niet voldoende budget om te investeren in de technologie en infrastructuur die nodig zijn om aan de normen te voldoen. Op het gebied van incidentbeheer en risicobeheer is er vaak een tekort aan gestructureerde processen of duidelijke protocollen.
Audit cases
Audit 1. Aanbeveling Securitymonitoring en logging
Tijdens de audit is geconstateerd dat de huidige logging- en monitoringmechanismen binnen het netwerk niet voldoen aan de best practices voor het detecteren van beveiligingsincidenten. Specifiek ontbreken er logs van kritieke netwerkcomponenten, en wordt er geen gebruik gemaakt van geautomatiseerde analyse voor detectie van verdachte activiteiten.
Als SolidBE doen we de volgende aanbevelingen:
Om deze zwakte aan te pakken, kan een organisatie beginnen met de implementatie van een IDS/IPS dat het netwerkverkeer continu in de gaten houdt. Dit systeem wordt geconfigureerd om alle inkomende en uitgaande datastromen in real-time te analyseren, waarbij het zoekt naar tekenen van malicieuze acties, zoals verdachte inlogpogingen of misbruik van kwetsbaarheden. Hiervoor kan bijvoorbeeld een Next Generation Firewall van Fortinet worden ingezet. Deze firewall beschikt over IDS/IPS functionaliteit.
Zorg voor het opzetten van een centrale logginginfrastructuur. In plaats van dat elk systeem en applicatie zijn eigen logs apart opslaat, worden deze nu verzonden naar een centrale logserver. Een Security Information and Event Management (SIEM) systeem kan worden geïmplementeerd om loggegevens van verschillende bronnen, zoals netwerkapparaten, servers en applicaties, te correleren. Dit kan ook nog gekoppeld worden met de SOC as a Service (SOCaaS) dienst van SolidBE voor continue monitoring (op basis van SIEM/SOC).
High privileged accounts zijn een geliefd doelwit van cybercriminelen, omdat ze toegang bieden tot gevoelige data en systemen. Door extra monitoring voor deze accounts te implementeren, wordt nauwlettend in de gaten gehouden wanneer deze accounts zich aanmelden, welke acties er worden uitgevoerd en of er afwijkend gedrag wordt vertoond, zoals inlogpogingen buiten kantooruren. Bij verdachte activiteiten wordt direct een alert verstuurd naar het beveiligingsteam.
Om aanvallers te misleiden en meer inzicht te krijgen in hun methoden, kan een organisatie een honeypot implementeren. Deze honeypot is een schijnbaar legitiem systeem binnen het netwerk, dat speciaal is opgezet om aanvallers aan te trekken en hen bezig te houden, zonder dat zij toegang krijgen tot echte gevoelige systemen. SolidBE adviseert in dit geval gebruik te maken van FortiDeceptor.
Implementeer en monitoring een zogenaamd “break glass account”. Dit account is bedoeld voor noodsituaties waarin reguliere toegang niet meer mogelijk is, bijvoorbeeld tijdens een ernstig incident waarbij de standaard toegangssystemen zijn uitgeschakeld. Een organisatie moet ervoor zorgen dat dit account streng wordt beveiligd, en dat het gebruik ervan wordt gemonitord. Alleen in zeer specifieke gevallen mag dit account worden gebruikt, en iedere keer dat het wordt geactiveerd, moet er direct een alert worden verstuurd naar het management en het securityteam.
Audit 2. Geen Network Access Control (NAC) aanwezig
Tijdens de audit van het netwerk van de organisatie werd vastgesteld dat er geen Network Access Control (NAC) systeem aanwezig is om toegang tot het netwerk te beheren en te reguleren. Dit betekent dat elk apparaat, ongeacht het beveiligingsniveau of de naleving van beleidsrichtlijnen, zich bij het netwerk kan aanmelden.
Als SolidBE doen we de volgende aanbevelingen:
Het implementeren van een Network Access Control (NAC) systeem kan helpen om fysieke ongewenste toegang tot het netwerk te voorkomen door alleen geautoriseerde apparaten toegang te verlenen. Met een NAC-oplossing kan de organisatie strikte toegangsbepalingen instellen, waardoor niet-geautoriseerde of onbekende apparaten worden geblokkeerd van het netwerk. Dit zorgt ervoor dat alleen apparaten die voldoen aan het beveiligingsbeleid, zoals up-to-date antivirus, juiste configuraties en relevante autorisaties, kunnen verbinden met het netwerk.
Ook biedt een NAC-systeem ook de mogelijkheid tot netwerksegmentatie, waarbij verschillende delen van het netwerk beperkt toegankelijk kunnen worden gemaakt op basis van de rol of het apparaat van de gebruiker.
SolidBE raad hiervoor aan het inzetten van Next Generation Firewalls van Fortinet. Deze firewalls beschikken over een NAC light functionaliteit welke bereikt wordt door alle werkstations en mobile apparaten van de medewerkers uit te rusten met client agent software van Fortinet (FortiClient).
FortiClient software is in staat om het security postuur (processen, patching, antivirus enz..) van de werkstations, servers en mobile apparaten te rapporteren aan de Firewall (FortiGate). Deze communicatie vindt continue plaats, vanaf het moment dat een apparaat aanstaat en heeft geen menselijke interactie nodig. Op basis van hoe veilig een werkstation of mobiel apparaat is wordt wel gedeeltelijk of geen toegang verleend tot de kritieke resources, servers en applicaties.
Met FortiClient uitbreiding wordt een Zero Trust Network Access (ZTNA/NAC light) functionaliteit bereikt.
Audit 3. Netwerk onvoldoende gescheiden
De auditrapportage meldt dat de zorginstelling niet voldoet aan de norm voor netwerkbeveiliging omdat er geen adequate netwerksegmentatie is toegepast. De audit stelt vast dat zowel gevoelige medische gegevens als bedrijfsadministratie zonder duidelijke scheiding door hetzelfde netwerk kunnen stromen, wat de kans op onbevoegde toegang en cyberaanvallen aanzienlijk vergroot.
Als SolidBE doen we de volgende aanbevelingen:
Segmenteer het netwerk door gebruik te maken van Virtual Local Area Networks (VLANs) of door fysieke netwerkverbindingen te scheiden. Dit zorgt ervoor dat administratieve systemen en medische apparatuur van elkaar worden gescheiden. Pas filtering toe tussen de verschillende VLAN’s.
Een Next Generation Firewall (NGFW) van Fortinet biedt diverse voordelen bij het implementeren van netwerksegmentatie en filtering tussen VLAN’s. Toegangsbeleid kan afgedwongen worden op basis van gebruikersidentiteit of apparaat kenmerken. Dit betekent dat toegang tot bepaalde delen van het netwerk kan worden beperkt tot specifieke gebruikers of apparaten, wat vooral handig is om gevoelige medische apparatuur te beschermen.
De NGFW’s ondersteunen applicatiecontrole, waarmee verkeer tussen VLAN’s verder kan worden gefilterd. Applicaties die geen betrekking hebben op medische doeleinden kunnen worden geblokkeerd, wat bijdraagt aan een veiliger netwerk.
Audit 4. Wifi netwerk niet voldoende gescheiden en niet secure genoeg
De audit geeft aan het gasten WiFi-netwerk is niet voldoende geïsoleerd, waardoor gebruikers die verbonden zijn met dit netwerk mogelijk toegang hebben tot andere apparaten op hetzelfde netwerk. het WiFi-netwerk voor medewerkers is niet gescheiden van het gasten WiFi-netwerk of andere kritieke netwerken. Het WiFi-netwerk maakt gebruik van WPA2-encryptie wat vatbaar is voor bepaalde kwetsbaarheden.
Wat SolidBE geeft als aanbeveling:
Afhankelijk van de mogelijkheden binnen het bestaande Wifi netwerk kan er gekeken worden naar het starten van een optimalisatie traject om de volgende zaken te regelen: activeer de guest isolation, implementeer een juiste scheiding van de beide netwerken middels VLAN’s en aparte fysieke verbindingen, wijzig de Wifi key met enige regelmaat of gebruik aanvullende authenticatie mechanismen en gebruik een WPA2-Enterprise opzet.
Als binnen het bestaande WiFi netwerk deze aanpassingen niet mogelijk zijn, kijk dan naar een alternatief bij Ruckus of Aruba.
Een helpende hand
Al deze factoren maken ICT in de zorg tot een delicate balanceeract tussen het verbeteren van de zorgverlening en het minimaliseren van risico’s en verstoringen. Het vereist een zorgvuldige aanpak waarbij alle partijen betrokken moeten zijn om een betrouwbare basis te garanderen.
Heeft uw organisatie ook een luisterend oor nodig of wil u meer weten over hoe een specifiek probleem kan worden aangepakt, neem dan contact op met een van onze specialisten of bel direct met onze branchemanager Zorg: Manoj Biere.
