Zorgorganisaties moeten systemen en gevoelige gegevens beschermen in een steeds complexer veiligheidslandschap. Maar honderd procent veiligheid bestaat niet. Minstens zo belangrijk voor de weerbaarheid van een organisatie is daarom de vraag: wat doe je als het misgaat? De eerste uren en dagen zijn cruciaal. Zorgorganisatie Thebe laat zien hoe preventie, voorbereiding, incident response en zorgcontinuïteit in elkaar grijpen. KPN vult dit raamwerk aan met inzichten uit de eigen praktijk. Een blauwdruk bestaat niet, een goede voorbereiding is wel een must.
Thebe levert met circa 4.000 medewerkers wijkverpleging, specialistische zorg, thuisbegeleiding, dagbesteding en zorg vanuit 25 woonzorgcentra. De organisatie is actief in 19 gemeenten in West- en Midden-Brabant. Het beschermen van de digitale infrastructuur waarop de zorg van Thebe steeds meer steunt, wordt er niet eenvoudiger op, stelt IT-specialist Rick Verkooijen.
“De bekende driehoek van technologie, processen en mensen blijft belangrijk als basis voor security. Maar de grootste verandering van de afgelopen twee jaar is toch wel de snelheid waarmee aanvallers te werk gaan. De snelheid waarmee een kwetsbaarheid uitgebuit wordt, de snelheid van een aanval: die ligt echt significant hoger dan twee jaar geleden.”
Die ontwikkeling vraagt ook om snellere besluitvorming. Waar securitymaatregelen eerder vooraf langs een governance-overleg binnen Thebe moesten, kunnen Verkooijen en zijn collega's tegenwoordig binnen afgesproken kaders handelen en achteraf verantwoording afleggen. “Het oude proces had niet de doorlooptijd die je vanwege die snelheid vandaag de dag nodig hebt.”
Preventie én voorbereiding
Willem van der Plas, securitydeskundige bij KPN, herkent die ontwikkeling. “Die versnelling zie je terug in hoe cybercriminelen opereren. Er loopt als het ware veel sneller bloed uit dan vroeger omdat veel meer processen gedigitaliseerd zijn. Security-verantwoordelijken moeten veel sneller kunnen acteren en de relevante processen moeten dat ondersteunen.”
Thebe probeert op technologie, processen én mensen preventief maatregelen te nemen. Op technologiegebied is al enkele jaren geleden samen met KPN een roadmap voor informatieveiligheid opgesteld en afgestemd met het bestuur. Dit betreft hoe de organisatie zich moet wapenen tegen een steeds diverser dreigingslandschap.
Inmiddels beschikt Thebe onder meer over een Security Operations Center (SOC)1 van aanbieder Claranet. Verder zijn een CISO (chief information security officer) en een Functionaris Gegevensbescherming door externe partijen bij Thebe gedetacheerd. Voor ondersteuning bij ernstige cyberincidenten gebruikt Thebe de Incident Response Retainer van KPN.
Ook bewustwording krijgt structureel aandacht, vertelt Erwin van Boxtel, manager Informatiemanagement & Zorgtechnologie. Onder meer met regelmatig geupdate e-learnings en door veel over cyberweerbaarheid te communiceren – met resultaat. Toen medewerkers voor de uitrol van nieuwe smartphones een mail ontvingen met het verzoek zich bij een extern portaal aan te melden, vroegen velen via het intranet of de mail wel te vertrouwen was. “Dat geeft aan dat die bewustwording er echt is.”
Maar preventie is slechts één kant van cyberweerbaarheid. Ook een goed beveiligde organisatie kan worden geraakt. Thebe heeft daarom een business continuity plan, beveiligde back-ups en een IT-landschap dat voor 98 procent uit SaaS-oplossingen bestaat. Mark Geurts, IT-specialist en directe collega van Verkooijen, wil het continuity-plan graag met een gesimuleerde aanval of uitval testen. “Tot nu toe is het er slechts deels van gekomen. “Door zo’n oefening volledig uit te voeren, ontdek je wat goed werkt en waar verdere aanscherping nodig is.”
De eerste 72 uur
Wanneer een incident de eigen mogelijkheden en die van het SOC overstijgt, kan Thebe opschalen naar KPN Incident Response. Of, zoals het bij Thebe geregeld klinkt: “Dan bellen we Willem.”
Juist na een ernstig incident is structuur essentieel, benadrukt de te bellen Van der Plas. “Het is cruciaal dat je doordacht en op basis van goede scenario's handelt in de eerste 72 uur. Er is niet één blauwdruk hiervoor. Er is wel een logische volgorde: detectie, omvang vaststellen, reageren en zo nodig opschalen naar een SOC of incident response team.”
De eerste minuten kunnen cruciaal zijn om het probleem in kaart te brengen, de impact te bepalen en systemen te isoleren. Tegelijkertijd schuilt er gevaar in ongecoördineerde actie. “Het risico is dat iedereen langs elkaar heen gaat reageren. Essentieel is dat je zo snel mogelijk na het verlies van de controle over je IT-omgeving de rust, het inzicht en het overzicht krijgt. Echte waarde kan gevonden worden in iemand die in het heetst van de strijd een stap terug kan zetten, rust en duidelijkheid kan scheppen, om vervolgens zo effectief en gericht mogelijk met Incident Response aan de slag te gaan.”
Inschatten en opschalen
Bij Thebe komt bij een calamiteit daarom eerst een ‘klein slim groepje’ bijeen, vertelt Van Boxtel. Dat bepaalt de omvang en ernst van het incident en of opschaling nodig is. Een business continuity plan moet volgens hem dan ook geen dik draaiboek zijn met voor elke denkbare situatie een scenario. Dat werkt in de praktijk niet.
Wel zijn volgens Van Boxtel verantwoordelijkheden en prioriteiten vooraf bepaald. Bereikbaarheid van medewerkers in de wijk en op locaties staat bovenaan, gevolgd door zorgtechnologie, elektronische cliëntdossiers en pas daarna kantoorautomatisering. Ook is vastgelegd welke hulp leveranciers van uitbestede (SaaS) diensten kunnen bieden.
Crisis breder dan IT
Een groot cyberincident is bovendien geen IT-probleem meer. Thebe heeft daarom een crisisorganisatie waarin de relevante disciplines vertegenwoordigd zijn. Van Boxtel schakelt bij een serieus incident bijvoorbeeld behalve technische partijen ook de verantwoordelijke bestuurder in. Vervolgens wordt bepaald of de bredere crisisorganisatie moet worden geactiveerd.
De ervaring met het oefenen en afhandelen van kleinere beveiligingsvraagstukken heeft Thebe daarbij weerbaarder gemaakt, ziet KPN’s Van der Plas. “In het begin werd de crisisorganisatie vaker bij elkaar geroepen en werd ik gebeld. De lessen daaruit zijn verwerkt in de aanpak. In vergelijkbare situaties kan Thebe daardoor steeds meer zelf oppakken. Dat laat zien dat de weerbaarheid groeit.”
Oftewel: dat KPN minder snel wordt gebeld, is een goed teken. Thebe weet steeds beter wat het zelf kan oplossen – bijvoorbeeld accounts blokkeren of data veiligstellen – en wanneer externe expertise nodig is.
Informatie beschermen
Cyberweerbaarheid draait uiteindelijk ook om de informatie zelf. Thebe werkt daarom vanuit het principe van ‘least privilege’ en ‘need to know’: medewerkers krijgen alleen toegang tot gegevens die zij voor hun functie nodig hebben.
Technologie helpt vervolgens afwijkend gedrag te signaleren. “Wij zien de laatste tijd minder verdachte inlogpogingen, maar krijgen vaker alerts van verdachte combinaties van gedragingen waar we op moeten acteren”, vertelt Geurts.
Informatieveiligheid is bij Thebe bewust niet alleen bij IT ondergebracht. De commissie Informatieveiligheid, Privacy en Cybersecurity valt onder het kwaliteitsdomein en omvat naast IT, CISO en Functionaris Gegevensbescherming ook het management van de zorgbedrijven. Van Boxtel: “Die toetsen vooral of dat wat we doen past bij de zorg.”
Dat is bewust zo ingericht, omdat informatieveiligheid een sterke gedragscomponent heeft. Securitybewustzijn is bovendien nooit ‘af’. “Een hygiëneprotocol heeft een begin en een eind. Security stopt nooit, bewustwording van risico's is een continu proces.”
Roadmap geeft houvast
Juist omdat dreigingen en technologie blijven veranderen, pleit Van der Plas zorgbreed voor een security roadmap. Daarin maakt IT voor bestuur en organisatie inzichtelijk welke risico's zich ontwikkelen, welke maatregelen nodig zijn en welke kosten daarbij horen. “Zonder zo'n roadmap zul je veel meer een zwalkend beleid voeren en vaak van richting veranderen.”
Een dergelijk roadmap mag geen statisch document zijn, benadrukt Geurts: “Dat is zoals we het bij Thebe hebben opgepakt. Onze roadmap is een levend document, dat herzien en aangepast wordt waar dat nodig is.”
Vertrouwen in specialisten
Uiteindelijk draait cyberweerbaarheid niet om de illusie dat ieder incident voorkomen kan worden, maar om het vermogen snel en gecontroleerd te handelen wanneer iets gebeurt. Daarvoor hoeven niet alle medewerkers security-experts te worden, stelt Van der Plas.
“Net als bij een hartchirurg die je vertrouwt om een openhartoperatie goed uit te voeren geldt dit ook voor de security-specialist. De organisatie moet erop kunnen vertrouwen dat zij weten wat ze doen – en daarom het mandaat hebben om in te grijpen zonder drie keer te moeten vragen of het mag. Anders blijf je achter de feiten aan lopen!”
Zorg gaat altijd door
Voor Thebe staat daarbij volgens Van Boxtel één uitgangspunt bovenaan: de continuïteit van de zorg in een toenemend digitale omgeving. Niet iedere medewerker hoeft een cyberspecialist te worden, meent ook hij, maar zij moeten er wel op kunnen vertrouwen dat de cyberspecialisten hun werk goed doen, ondersteund door mandaat van het bestuur en op basis van een solide roadmap. “Het uitgangspunt is: de zorg moet altijd blijven doorgaan.”
