Hackers dwingen Chipsoft tot (iets) meer openheid

het probleem is dat we de zorg-IT hebben ingericht als één grote monocultuur: als Chipsoft omvalt of lek is, ligt meteen de halve keten bloot, en dan krijg je dit soort “het was de infrastructuur” PR terwijl de patiënt met z’n BSN op straat ligt. de oplossing is: verplicht open standaarden + onafhankelijke audits als randvoorwaarde in aanbestedingen en contracten, en koppel boetes aan aantoonbare security-basics (2FA, logging, encryptie in transit) vóórdat je 1,2 miljoen dossiers mag hosten; anders blijft het dweilen met persberichten en is het draagvlak straks gewoon weg.

1,2 miljoen dossiers met BSN en diagnoses op straat en dan eerst doen alsof het een “security-incidentje” is… dat is dus precies waarom ik die hele zorg-IT club niet meer geloof, iedereen roept pas wat als de AP met de stok komt. en dat KPMG-rapport “binnen zes weken openbaar” geloof je toch zelf niet, dat wordt een pdf vol managementtaal en weggelakte techniek, terwijl de ellende voor patiënten nu al begint: identiteitsfraude, chantage, verzekeraars die ineens rare vragen stellen. wat mij betreft moet je hier niet alleen met boetes zwaaien maar gewoon persoonlijk aansprakelijkheid regelen voor bestuurders als ze de basisdingen (2FA, fatsoenlijke encryptie, logging) niet op orde hebben, want anders is het elk jaar hetzelfde riedeltje met persbericht en een nieuw platformpje. In mijn tijd bij de KLM: als je een safety-melding te laat deed, had je echt een probleem, en terecht; in de zorg mag je blijkbaar eerst “terughoudend” zijn terwijl de patiënt de rekening betaalt.

Ik merk dat iedereen nu focust op Chipsoft vs overheid, maar de echte klap voelt straks bij de patiënt: die krijgt een brief “sorry” en mag daarna zélf jaren alert zijn op identiteitsfraude en rare zorgvragen, terwijl je nergens even simpel kan checken wie er in jouw dossier heeft zitten neuzen. als ze dan toch “openheid” beloven, maak dan meteen standaard inzage in toegangslogs per patiënt en een fatsoenlijk meldpunt dat niet na 3 werkdagen een template mail terugstuurt, anders is het weer alleen damage control-energie.

Dat “openheid na een hack” is mosterd na de maaltijd; de echte test is of je architectuur blast radius heeft of alles in één dikke database hangt met shared creds en te brede service-accounts. simpel: zero-trust/least-privilege + per-tenant segmentatie + key rotation en vooral: laat een red team elk kwartaal proberen binnen te komen, niet pas KPMG als de krant belt.