Ziekenhuizen dichten beveiligingslekken, maar kunnen niet opgelucht adem halen

Nederlandse ziekenhuizen hebben de beveiligingslekken in hun websites die begin januari door Women in Cybersecurity (WiCS) werden gerapporteerd adequaat aangepakt. Dat zegt Mary-Jo de Leeuw, bestuurslid van het Nederlandse netwerk van vrouwen die werkzaam zijn in de computerbeveiliging. WiCS bekeek 97 ziekenhuissites en kwam tot de conclusie dat een derde van de onderzochte websites zo lek als een maandje was, met risico op het ongewild lekken van data zoals gevoelige patiëntendossiers. Dat kwam vooral door het gebruik van niet beveiligde verbindingen voor webformulieren, maar ook door configuratiefouten in de software.

Op één of twee ziekenhuizen na hebben alle ziekenhuizen met lekke websites de beveiliging snel op orde gebracht, zegt De Leeuw, soms al na enkele uren. Veel ziekenhuizen namen, na publicaties in diverse media, contact op met de WiCS voor additionele vragen of hulp.

Volgens De Leeuw heeft een team van professionals, werkzaam binnen cybersecurity, de afgelopen weken honderden vragen beantwoord van onder andere ziekenhuizen, artsen, brancheverenigingen en de pers.

Admiraal De Ruyter Ziekenhuis: "lek snel gedicht"

"Geen ondersteuning van overheid"

Daarbij is volgens WiCS vooral opvallend dat de ziekenhuizen niet op een helpende hand van de overheid kunnen rekenen. “Het Nationaal Cyber Security Centrum is gericht op de overheid en infrastructuur zoals energie, water en telecom. We hadden gehoopt dat men ook hulp zou willen bieden bij de vragen van ziekenhuizen, maar we kregen zelf pas na drie dagen antwoord op een e-mail naar het NISC.” Voor de publicatie heeft de WiCS geprobeerd met alle partijen contact op te nemen, om zodoende de bevindingen te kunnen delen. Een aantal ziekenhuizen wilden de security-professionals niet te woord staan.

Nieuwe onthullingen

“Jammer”, stelt De Leeuw vast, “We hadden ze kunnen helpen. Gelukkig waren er ook ziekenhuizen die ons vroegen mee te denken en mee te werken aan diverse veiligheidsoplossingen."

"Van wifi tot toegangspassen"

WiCS leden doen dat belangeloos, en ook omdat je een ziekenhuis na zo’n onderzoek volgens De Leeuw niet in de kou kunt laten staan. Diezelfde ziekenhuizen kunnen overigens niet opgelucht ademhalen wanneer ze deze specifieke problemen met hun websites hebben opgelost.

WiCS werkt al geruime tijd aan een breder onderzoek naar beveiliging in ziekenhuizen, en laat weten in de komende maanden met meer onthullingen naar buiten te zullen komen. De doelstelling is om de noodzaak van een goede cybersecurity indringend onder de aandacht van bestuurders te krijgen. De Leeuw wil niet zeggen om welke beveiligingsproblemen het gaat, maar geeft wel aan dat het onderzoek een breed gebied bestrijkt, “van WiFi in ziekenhuizen tot beveiligingspassen.”