De zorgsector is kwetsbaar voor cyberaanvallen als gevolg van ketenafhankelijkheid op ICT-gebied. Met name ziekenhuizen zijn afhankelijk van tientallen, soms wel 100 verschillende leveranciers. Dat stelt stichting Z-Cert. De aanbieder van cybersecurity voor de zorgsector verwijst hierbij naar een artikel van Het Financieel Dagblad over ketenafhankelijkheid uit begin maart. Verder maakt Z-Cert bekend dat er verkennende gesprekken lopen over collectieve aansluiting van de jeugdzorg in 2021.

Z-Cert schreef eerder dit jaar in zijn CyberSecurity Dreigingsbeeld Zorg 2020 over het risico dat een digitaal incident bij een veel gebruikte leverancier, sectorbrede impact kan hebben. ‘Er zijn meerdere voorbeelden uit het buitenland bekend waarbij leveranciers van EPD’s geraakt werden en een groot aantal zorginstellingen gedurende langere tijd niet bij hun patiëntdata konden. Ook in Nederland zijn er serviceproviders die EPD-diensten verlenen aan een groot aantal zorginstellingen. Z-CERT beoordeelt deze ketenafhankelijkheid voor de zorgsector als een risico.’

Ketenafhankelijkheid

In de zorgsector speelt ketenafhankelijkheid ook nog op een ander niveau, bijvoorbeeld dat van onderzoeksdata, zo benadrukt de stichting. Data van lopende klinische onderzoeken staat meestal niet bij ziekenhuizen zelf maar bij externe dienstverleners die gespecialiseerd zijn hierin. Een cyberincident bij zo’n leverancier leidt tot veel ellende bij een reeks zorginstellingen en in het ergste geval tot datalekken.

n oktober vorig jaar werd eResearchTechnology; wereldwijd actief met klinische diensten, geraakt door een ransomware-aanval. Deze aanval verstoorde niet alleen de processen van ERT zelf maar ook dat van haar klanten: QVIA, dat AstraZeneca’s Covid vaccin testte en Bristol Myers Squibb, een medicijnfabrikant.

Lang niet bij alle ketenincidenten vinden datalekken plaats maar de kans erop groeit, mede omdat steeds meer patiëntendata bij externe partijen (zoals aanbieders van cloudgebaseerde informatiesystemen) staat. Volgens het onlangs verschenen rapport van de Autoriteit Persoonsgegevens (AP) kwamen de meeste datalekken in 2020 opnieuw voor rekening van de sector gezondheidszorg en welzijn (30%).

Deze versturen we 3-4x per jaar.