Medische gegevens worden vaak elektronisch uitgewisseld tussen huisartsen, ziekenhuizen, laboratoria, apotheken en zorginstellingen.

Blinde vlek

Operationele technologie heeft in de zorg vaak een lange levensduur. Medische apparatuur en gebouwinstallaties gaan tien tot vijftien jaar mee. Ze draaien geregeld op verouderde besturingssystemen en zijn afhankelijk van leveranciers voor updates en patches die soms lang op zich laten wachten. Tegelijkertijd zijn deze systemen steeds vaker verbonden met IP-netwerken.
Een zorginstelling in de Randstad ontdekte tijdens een interne audit dat men wel precies wist welke laptops en servers in gebruik waren, maar dat men geen actueel overzicht had van alle medische apparaten die op het netwerk aangesloten waren. Firmwareversies, toegangsrechten en onderhoudsstatus waren niet centraal vastgelegd. Dit gebrek aan zichtbaarheid is een bekend probleem – niet alleen in de zorg.
Voor installateurs ligt hier een belangrijke rol. Wie een installatie oplevert, levert feitelijk ook een digitale component op. Dat vraagt om complete documentatie, duidelijke afspraken over netwerksegmentatie en goed inzicht in welke data een systeem verstuurt of ontvangt.

Installateurs worden cruciale schakel in de digitale zorgketen

Normen

In de zorg vormen Nen 7510 en Nen 7512 het fundament voor informatiebeveiliging en gegevensuitwisseling. Deze normen schrijven voor dat zorginstellingen een systematische aanpak moeten hanteren voor risico’s, beheermaatregelen en continue verbetering. Belangrijk is dat deze normen geen onderscheid maken tussen ICT en OT. Alles wat patiëntgegevens verwerkt of ondersteunt, valt binnen de scope van deze normen. Belangrijke normen dus, maar tegelijkertijd ook de normen waarover in de Tweede Kamer vragen werden gesteld, omdat veel zorginstellingen flink achterlopen met het implementeren van alle norm-maatregelen.

Elke schakel in de zorg-keten, ook een zelfstandig laboratorium, moet betrouwbaar en veilig functioneren.

Werken op basis van deze Nen-afspraken betekent dat ook installaties en medische technologie onderdeel zijn van het informatiebeveiligingsbeleid. Voor installateurs is dit relevant bij zowel nieuwbouw als renovatie. Security-by-design wordt steeds vaker verwacht: al bij de ontwerpfase moet nagedacht worden over netwerkindeling, toegangsbeheer, onderhoud en dergelijke. Security-by-design wil daarnaast ook zeggen dat je als installateur moet kijken naar wat er kan gebeuren als een gebruiker volstrekt andere handelingen met de door hem geplaatste apparatuur of netwerkinfrastructuur doet, dan men vooraf verwacht had.

Technische Dienst

In de praktijk verschilt in de zorg de volwassenheid op het gebied van security sterk. Grote ziekenhuizen beschikken vaak over securityteams en een eigen SOC (security operations center). Kleinere instellingen hebben minder middelen en zijn afhankelijk van leveranciers en installateurs. Juist daar is praktische ondersteuning van groot belang.
Binnen ziekenhuizen speelt de Technische Dienst (TD) of de afdeling Medische Technologie een sleutelrol. Zij beheren de OT-installaties die direct bijdragen aan patiëntveiligheid. Denk aan OK-verlichting, bewakingsmonitoren en klimaatsystemen. Een storing of manipulatie kan directe gevolgen hebben voor zorgprocessen.
Historisch gezien zijn TD en ICT vaak gescheiden werelden, met eigen verantwoordelijkheden en prioriteiten. Cybersecurity dwingt deze afdelingen tot samenwerking. Installateurs komen in dit spanningsveld terecht. Zij spreken de taal van de techniek, maar moeten steeds vaker afstemmen met ICT en security – en die taal spreken ze vaak minder goed.
Bij een middelgroot ziekenhuis bleek bijvoorbeeld dat support-op-afstand voor medische apparatuur noodzakelijk was voor snelle serviceverlening. Tegelijkertijd wilde de ICT-afdeling volledige controle over externe toegang. De oplossing lag in duidelijke afspraken over VPN-toegang, logging en verantwoordelijkheden, waarbij de betrokken installateur actief meedacht over een veilige inrichting.

De scheidslijn tussen ICT en OT vervaagt en juist daar ontstaan risico’s.

Cruciale partner

Installateurs worden vaak gezien als uitvoerende partijen. In de digitale zorgketen groeit hun rol echter richting echte ketenpartner. Zij zijn (of worden steeds meer) betrokken bij ontwerp, aanleg, onderhoud en soms ook beheer van systemen die onderdeel zijn van kritische zorgprocessen. Dat is ook terecht, maar het vraagt wel om andere gesprekken dan voorheen. Het moet niet alleen over prestaties en onderhoudscontracten gaan, maar ook over:
• patchbeleid en update-cycli van medische en andere software,
• end-of-life van apparatuur,
• documentatie van met name netwerken,
• afspraken over reageren op incidenten.

Neem dit voorbeeld: bij een zorginstelling in het oosten van het land werd een nieuw toegangscontrolesysteem geplaatst. De installateur leverde en plaatste niet alleen de hardware, maar stelde samen met de organisatie ook vast hoe gebruikersaccounts moesten worden beheerd, wie voortaan toegang heeft tot logbestanden en hoe updates worden uitgevoerd. Die aanpak was nieuw, maar bleek in de praktijk goed te werken.

Een storing of manipulatie kan directe gevolgen hebben voor zorgprocessen

Veilig inkopen

Digitalisering raakt niet alleen de individuele zorginstelling, maar ook bredere maatschappelijke belangen. De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) heeft daarom een toolbox ‘veilig inkopen’ ontwikkeld. Deze is bedoeld om organisaties – ook in de zorg – te helpen nadenken over risico’s voor de nationale veiligheid bij inkoop en aanbesteding.
Een belangrijk aandachtspunt in deze toolbox is de herkomst van leveranciers. In sommige landen zijn bedrijven wettelijk verplicht om informatie te delen met de overheid. Dat kan risico’s opleveren voor cyberspionage of ongewenste beïnvloeding. Voor zorginstellingen, die werken met zeer gevoelige data, is dit een reëel aandachtspunt.
De toolbox biedt ook praktische instrumenten, zoals een QuickScan en een risicoanalyse, om vooraf stil te staan bij deze risico’s. Voor installateurs is het belangrijk om te weten dat zij steeds vaker vragen kunnen verwachten over leverancierskeuzes, software-updates en datastromen. Transparantie en goede documentatie worden daarmee nog belangrijker.

Digitale veiligheid is vooral ook een zaak van bewustzijn en samen­werking.

Samenwerken

De zorgsector werkt ook aan sectorbrede verbeteringen. Zo hebben het Centrum voor Criminaliteitspreventie en Veiligheid (CCV) samen met Z-CERT de zogeheten CYRA-Zorg ontwikkeld. Dit is een module binnen de CYRA-methode voor het beoordelen van digitale weerbaarheid, specifiek voor de zorg. Het sluit aan bij bestaande normen en richt zich expliciet op samenwerking in de keten. Naast ICT- en OT-modules is er nu, specifiek voor de zorg, een aanpak waarin ook leveranciers en installateurs worden meegenomen. Het uitgangspunt is dat een incident zelden stopt bij één organisatie, maar vaak doorwerkt in de hele keten: leveranciers, externe laboratoria, verzekeraars enzovoort.
Voor installateurs biedt dit een goed aanknopingspunt om het gesprek over digitale veiligheid aan te gaan en concreet te maken. Niet vanuit angst, maar vanuit gezamenlijke verantwoordelijkheid voor continuïteit van zorg.

Techniek en veiligheid

Cybersecurity in de zorg wordt soms gezien als een compliance-verhaal ofwel ‘papierwinkel’: vinkjes zetten, audits doorstaan, normen volgen. In de praktijk gaat het echter om dagelijkse keuzes. Hoe richt je een netwerk in? Wie heeft toegang tot welke installatie? Hoe ga je om met updates in een 24/7-omgeving?
Installateurs staan dicht bij deze dagelijkse praktijk. Zij zien waar techniek en processen elkaar raken. Door vroegtijdig mee te denken over digitale veiligheid, kunnen veel problemen worden voorkomen. Dat vraagt niet per se om diepgaande securitykennis, maar wel om bewustzijn en samenwerking.

Informatie

Tekst: Robbert Hoeffnagel
Fotografie: Getty images/Cineberg/Lorado/gorodenkoff/Don Wu/Jacob Wackerhausen

Lees meer artikelen in het dossier Software