Jahoor. Leverancier ziekenhuissoftware GEHACKT

Alsof dit alleen “domme phishing” is: kwantumfysica laat juist zien dat je met één klik een hele zorgketen verstrengelt, en als de leverancier decohereert klapt het dossier-systeem van half NL mee om, ongeacht hoeveel ISO-stempels erop zitten. privacy is niet dood, maar je kunt het niet blijven behandelen als een Excel-regeltje; medische data is een bewustzijnsveld en dat vraagt segmentatie, offline fallbacks en vooral minder monopolie-coherentie bij één partij, anders blijft het elke keer dezelfde meetuitkomst: ransomware. en nee, “geen datalek gemeld” betekent vooral: nog niet gemeten...

Typisch: 1 phishingmailtje en ineens zitten miljoenen medische dossiers “even” achter slot en grendel, maar de rekening gaat straks weer gewoon naar de zorgpremie. Wedden dat er nu voor €40-60 miljoen aan auditors, pentesters en vergaderclubs overheen gaat, en over 6 maanden blijkt dat de back-ups óók online stonden en wachtwoorden al jaren niet geroteerd werden. En die monopolist krijgt daarna gewoon een nieuw meerjarig contract, want overstappen kost “teveel gedoe”... ja joh.

privacy is niet “dood”, dit is gewoon dat we nog steeds 2005-security draaien met 2026-ransomware erop: één supplier met shared admin accounts en een VPN zonder fatsoenlijke conditional access en je bent klaar. Boetes en “verplicht MFA” roepen is easy, maar zolang ziekenhuizen alles op de laagste aanbestedingsprijs inkopen en daarna geen budget hebben voor patching/monitoring/zero-trust, blijft het een keten vol single points of failure, en ja dat is gewoon een bug in het systeem.

Precies dit: we hebben van zorg-ICT een keten gemaakt met één dikke “single point of failure”, en dan verbaasd doen als een phishmail de boel platlegt… kom op. Enerzijds roepen we dat patiëntdata heilig is, anderzijds hebben we het georganiseerd als goedkope efficiency: vendor-lock-in, te weinig mensen die écht snappen wat er draait, en iedereen schuift risico door naar de volgende schakel. En die “geen melding van datalek” is vaak gewoon: we weten het nog niet, want logging/monitoring is ook weer zo’n kostenpost die altijd nét niet past. Boetes helpen, maar pas als je ook afdwingt dat ziekenhuizen kunnen overstappen en dat er redundantie is; anders blijft het: betalen, sorry zeggen, en door.

Wat mij opvalt: het is altijd “phishing” en “menselijke fout”, maar dat is gewoon een verdienmodel van leveranciers die al jaren wegkomen met halfbakken beveiliging en een monopoliepositie; ziekenhuizen kunnen amper weg, dus de prikkel om het écht goed te doen is klein. En dan mogen patiënten straks wéér een briefje verwachten met “mogelijk zijn uw gegevens betrokken” terwijl je medisch dossier niet te wijzigen is zoals een wachtwoord, dat achtervolgt je je hele leven. Taalkundig dingetje: “geen aanwijzingen voor een datalek” is vaak gewoon “we weten het nog niet”, maar het klinkt lekker geruststellend voor de bühne.

Tsja Wilma, je hebt gelijk dat ze overal klikken, maar dat gejank dat “de overheid wil meekijken” is ook weer zo’n makkelijke. probleem is gewoon: alles aan elkaar geknoopt door cowboys met deadlines, en niemand durft te zeggen “dit systeem gaat NU uit tot het veilig is”.

gertjan mist dat “segmentatie” bij zorgleveranciers vaak powerpoint-segmentatie is bro want als je it van 2009 met 12 uitzonderingen en shared admin accounts draait kom je met 1 phish ineens overal en “geen datalek” is dan gewoon we-hebben-geen-logging-lol

In de praktijk is het gewoon te makkelijk gemaakt: één leverancier, overal dezelfde koppelingen, en dan denkt iedereen “dat regelt IT wel”. Als wij hier de melktankcomputer zo open aan het net hingen als sommige zorgclubs hun EPD, dan lag de hele boel ook stil na 1 dom mailtje. En dat “geen aanwijzingen voor datalek” is meestal: we hebben geen idee, want de boel is dichtgetimmerd door ransomware.

nee hoor, “privacy is dood” is gewoon fatalistisch gemakzucht: er zijn zat organisaties die wél netjes werken met zero trust, MFA, least privilege, offline backups en vooral geen mail als hoofdinvoer van je hele bedrijf. het echte probleem is niet dat het onmogelijk is, maar dat we in de zorg alles centraliseren bij 1 club en dan verbaasd zijn dat één energetische knoop het hele veld ontregelt; die afhankelijkheid is de onbalans, niet het idee privacy.

Privacy “stekker eruit” roepen is lekker cynisch, maar het echte probleem is dat de zorg IT als kostenpost behandelt en vervolgens verbaasd is dat één leverancier met een halfbakken keten aan koppelingen een single point of failure wordt. In Brussel zijn NIS2 en straks de Cyber Resilience Act juist bedoeld om dit soort kritieke leveranciers tot basis-hygiëne te dwingen (audits, incidentrespons, supply-chain), maar in NL wordt het dan weer weggezet als “EU-regeldruk” tot het misgaat. En dat “ziekenhuizen bouwen zelf wel even software” is echt fantasy: je wilt juist standaardisatie en strakke eisen, niet 80 hobby-EPD’s met 80 verschillende gaten. MFA/segmentatie is geen magie, maar het is wél het verschil tussen één gecompromitteerde mailbox en een landelijke zorg-blackout, dus stop met doen alsof dat allemaal zinloos is.

Privacy “de stekker eruit trekken” is precies wat criminelen willen: dan gaan we weer faxen en post-its plakken en dát lekt pas echt. dit is geen natuurwet maar gewoon bestuur en discipline: MFA, segmentatie, offline back-ups en vooral oefenen alsof het morgen misgaat, echter in de zorg is het te vaak “geen tijd/geen geld” tot het wél raak is. En die kwantum-tekst is leuk voor de borrel, daarentegen helpt het meer als ChipSoft én ziekenhuizen eindelijk harde eisen krijgen met echte audits en boetes als het niet op orde is.

Hier in Thailand lachen ze om die NL-paniek alsof “privacy dood” is; nee, het probleem is dat NL alles centraliseert bij één dikke leverancier en dan doet alsof dat automatisch professioneel is. In m’n IT-tijd zag ik al: audits, ISO’tjes, vinklijstjes, maar geen fatsoenlijke segmentatie en vooral geen oefening “wat als het misgaat”, want dat kost geld en levert geen persbericht op. En dan nu verbaasd dat een phishingmail genoeg is… tja, vendor lock-in + bezuinigingscultuur is de echte hack.

MoonchildEsmee heeft gelijk over die afhankelijkheidsfuik: centraliseren is handig tot je één supplier-compromise hebt en ineens ligt half zorg-NL op z’n gat. simpel: “lokaal basisdossier” kan prima, maar dan wél met offline-readonly fallback (spoedinfo/medicatie/allergieën) en een fatsoenlijke export die jij als patiënt kunt downloaden en corrigeren, want nu zit je vast in vendor-UI + helpdesk-limbo. En dat “geen aanwijzingen voor datalek” is vaak gewoon: we hebben geen logging/telemetry, dus we weten het niet… security by schouderophalen.

“privacy stekker eruit” is gewoon defeatist gelul: zonder die data kan een ziekenhuis ook niks, het echte probleem is dat we vendors laten wegkomen met brakke basisdingen (mfa overal, segmentatie, fatsoenlijke logging, herstel-oefeningen) omdat inkoop alleen naar prijs en vinkjes kijkt. Als je daar harde contracteisen en echte boetes op zet, worden die phishingmailtjes ineens een stuk minder “dom maar fataal”.

ik snap dat “privacy stekker eruit” gevoel wel, maar helemaal terug naar papier is ook een illusie hoor, dan gaat het mis met medicatie-overzichten en overdrachten en is de patiënt de pineut. Het echte probleem is dat we één mega-leverancier hebben en ziekenhuizen ondertussen kapot bezuinigd worden op IT-beheer, training en fatsoenlijke back-ups/testen, en dan krijg je dus dit soort ellende. En “geen aanwijzingen voor datalek” is vaak gewoon: we weten het nog niet…

ja ja nis2 dit cer dat maar zolang de board security ziet als kostenpost en de logging op “trust me bro” staat krijg je elke keer hetzelfde persbericht geen datalek terwijl iedereen al in safe mode draait lol

Ik merk gewoon dat “privacy stekker eruit” vooral makkelijk cynisme is: die gegevens móéten ergens staan om zorg te kunnen leveren, en dat kan prima veilig genoeg als je niet alles bij 1 club propt zonder harde eisen op segmentatie, MFA, logging en vooral hersteltests. Dit is geen natuurwet, dit is gewoon jaren bezuinigen op saaie IT en daarna verbaasd doen als een foute mail het hele kaartenhuis omduwt.

ja privacy was “een leuk idee” totdat je morgen zelf met een spoedopname ligt en half NL je dossier kan doorspitten omdat iemand op een dom linkje klikte. op de werkvloer zie ik hoe snel alles terugvalt op papier en post-its en dan gaan er juist méér fouten de zorg in, maar hé, lekker makkelijk om te doen alsof het alleen om een abstract datalekje gaat. en ChipSoft/ziekenhuizen gaan straks weer een boete of auditje “leren”, terwijl patiënten de ellende hebben en niemand echt verantwoordelijk is.

privacy “was ooit een leuk idee” is gewoon lui cynisme: privacy is een grondrecht, en het probleem is dat we het afdwingen als hobbyproject i.p.v. als harde eis met echte aansprakelijkheid. Ten eerste: als een leverancier met quasi-monopolie je hele zorgketen draait, dan moet je wettelijk minimale security-eisen + onafhankelijke audits + meldplicht mét boetes en persoonlijke bestuurdersaansprakelijkheid hebben, niet alleen “we onderzoeken het”. Ten tweede: “mensen klikken op linkjes” is geen natuurwet maar een managementkeuze (geen MFA, slechte segmentatie, geen least privilege), maar ok blijf vooral doen alsof dit onvermijdelijk is en niet gewoon nalatigheid met patiëntdata als onderpand.

ja joh, “op de vloer gevaarlijk” is dan ineens het excuus dat we alles maar aan een paar ict-klussers en een bestuur met sorry-kaartjes toevertrouwen. als je met één phishingmail het hele medicatie-overzicht van een land plat krijgt, dan is het geen vooruitgang maar een huis op zand, en de patiënt mag weer de scherven rapen.

truus heeft 100 gelijk bro ik heb ooit stage gelopen bij zo’n zorg it club en toen de epd koppeling eruit lag gingen ze echt op post its en “staat ie allergisch voor penicilline of niet” uit het hoofd gokken en die zin geen aanwijzingen voor datalek betekent gewoon we hebben geen logs meer dus we weten het niet lol