Ziekenhuizen sluiten niet uit dat hackers patiëntgegevens inzagen

“Niet uit te sluiten” is vaak ook gewoon juridisch: ze mógen nog niet zeggen wat ze weten tot forensisch onderzoek + AP-melding rond is, en soms blijkt er juist géén exfiltratie maar alleen versleuteling/poging. Maar eens: als je logging niet op orde is (of logs staan óók op het getroffen domein…) dan kun je achteraf weinig hard maken, en dan ben je dus te laat met segmentatie en least-privilege. En dat “single point of failure” zit ’m niet alleen bij ChipSoft, maar bij hoe ziekenhuizen dezelfde koppelingen, accounts en beheerkanalen inrichten; waarom is er nog steeds geen standaard voor onafhankelijke audit/pen-test eisen in de zorgketen??

Luister, “single point of failure” m’n reet: als je je zaakjes op orde hebt met backups, segmentatie en MFA, dan kan zo’n leverancier echt niet in één klap heel ziekenhuisland leegtrekken. Dit is gewoon weer ouderwets bezuinigd op IT-beheer en nu doen alsof het aan ChipSoft ligt, jansen.

Weer zo’n leverancier waar half zorg-nederland aan hangt, en dan doen ze alsof het “misschien” is… als je niet meteen hard kunt zeggen wat er is geraadpleegd, dan heb je je monitoring gewoon niet op orde. En let op: als er straks 50.000 dossiers rondzwerven, dan krijg je jaren ellende met phishing en verzekeringsfraude, en wie mag de extra controles en herstelwerk betalen? precies, de premiebetaler.

Verrast me niks. Ik heb hier zat meldingen gezien waar “we hadden alles achter een portaal” uiteindelijk neerkwam op een Excel met BSN’s op een gedeelde schijf en een mailbox vol doorstuurregels, en dan is één gecompromitteerd account al genoeg om maanden mee te lezen zonder dat iemand het merkt.

ja precies dit, en ik heb het in een ziekenhuis ook gewoon gezien: “tijdelijk” een excel met BSN’s op een gedeelde schijf, en hup doorgemaild via outlook omdat het EPD weer traag was… dan heb je geen elite-hacker nodig maar één gestreste medewerker of stagiair en je privacy is weg. we doen alsof het alleen om ChipSoft en fancy logging gaat, maar het hele data-ecosysteem in de zorg is lek en iedereen kijkt weg omdat “de patiënt moet door”!!!

“Kan niet uitsluiten” is echt managementtaal voor: we hebben het niet onder controle maar we hopen dat je stil blijft. Als jouw ziekenhuis winstprikkels + uitbesteed IT-gedoe belangrijker vindt dan security, dan moeten ze óf meteen iedereen actief informeren (niet pas na weken) óf dikke boetes + schadevergoeding aftikken — anders is dit gewoon de zoveelste datalek-roulette.

het probleem is dat “kan niet uitsluiten” altijd wordt gebracht alsof het een communicatiezinnetje is, maar het echte gat zit ’m in de keten: ziekenhuizen hebben hun data-infrastructuur uitbesteed aan één leverancier en hebben vervolgens nul zicht op logging, exfiltratie en wie er wanneer bij kon. de oplossing is verplicht: forensisch onderzoek met harde termijnen, patiënten proactief informeren zodra er redelijke indicaties zijn (niet pas bij 100% bewijs), en inkoopregels die afdwingen dat auditlogs, segmentatie en onafhankelijke pentests standaard zijn, anders blijven we elke keer hopen dat het “wel meevalt” terwijl het ontwerp gewoon faalt.

Dat “kan niet uitsluiten” is gewoon juridische damage control: ze hebben te weinig logging/forensics om hard te zeggen wat er wél gebeurd is, dus houden ze iedereen in onzekerheid. simpel: als je EPD-leverancier een keer ge-pwned is, ga er maar vanuit dat er data gekopieerd is en regel proactief patiëntmelding + monitoring, niet pas na 6 weken commissie-overleg terwijl de callcenters van “uw BSN is geschorst” al warmdraaien.

Die IAM-horrorstory klinkt stoer, maar “niet uit te sluiten” is in dit soort incidenten meestal gewoon: logging/forensics is (nog) niet compleet of niet betrouwbaar, niet per se dat er een admin-token door het hele zorgnetwerk heeft gezworven. ChipSoft is ook niet “de app” waar je even lateraal doorheen wandelt naar AD van het ziekenhuis; die koppelingen lopen via aparte koppelingen/segmenten en als die goed zijn ingericht kom je echt niet zomaar bij domeinadmin. Het echte probleem is vaak veel saaier: te veel accounts met te brede rechten en auditing die pas achteraf “oh ja” blijkt, en dáár gaan ze nu pas serieus naar kijken.

Die “niet uit te sluiten” is gewoon PR-taal voor: we weten het niet omdat de logging halfbakken is of omdat ze het nog niet durven zeggen. En ja, dan krijg je straks belletjes/mailtjes met genoeg details om je te laten schrikken, want met een BSN en een diagnose ben je goud waard in de verkeerde handen. Gratis monitoring en een meldplicht met echte boetes zou ze ineens heel snel “wel uitsluiten” laten regelen.

“Niet uit te sluiten” is echt de standaardzin als ze nog niet eens fatsoenlijk naar hun logs hebben gekeken… maar wie checkt dan of er exfiltratie was, of alleen “gekeken” via accounts? En waarom horen we alleen “twee ziekenhuizen” via ANP—wat zegt ChipSoft zelf, en wat zegt de AP over meldplicht/termijnen? Als je EPD-leverancier plat gaat, moet je toch meteen aannemen dat dossiers/BSN’s op straat kúnnen liggen en patiënten proactief waarschuwen, niet pas als de NOS erachteraan zit??

Die “niet uit te sluiten” betekent gewoon dat ze geen fatsoenlijke audit trail hebben, dus je kan achteraf niet eens bewijzen wie wat heeft bekeken… en ondertussen hangen al die systemen aan dezelfde leveranciers, dus 1 zwakke schakel = sectorbreed domino-effect met een dikke risicopremie op vertrouwen. als dit een beursfonds was, stond ie morgen -15% en ging iedereen ineens wél segmenteren.

Die “wachtwoord123”-woede is lekker, maar ook lui: in de meeste ziekenhuizen kun je echt niet zomaar even “één mailbox pakken” en dan het hele EPD leegtrekken, er zitten logging, rollen en segmentatie tussen (en ja, het is nooit perfect). Het echte probleem is juist paradoxaal genoeg dat we alles centraliseren bij een paar leveranciers en dan doen alsof één ketenpartner geen single point of failure is. En dat eeuwige app/mail-vingertje naar verpleegkundigen is ook te makkelijk: als de workflow niet werkt, gaat de praktijk altijd sluiproutes bouwen — wat zegt dat over ons dat we veiligheid blijven verkopen als moraal in plaats van als fatsoenlijk ontwerp?

“UX-fail” joh, het is geen app-update maar forensisch gepruts in logbestanden van een leverancier waar half zorgland aan vastzit. als ze nu al gaan roepen “labuitslagen geraakt!!” en het blijkt niet zo, heb je pas echt paniek en een claimcircus; liever even saai “niet uit te sluiten” dan stoer doen met info die ze nog niet hard hebben.

Weer dat “niet uit te sluiten” en ondertussen mag de patiënt het uitzoeken… als er 200.000 dossiers in zo’n systeem hangen en maar 1% wordt misbruikt, dan heb je al 2.000 mensen met ellende aan de telefoon en aan de balie. En wie betaalt die extra uren, brieven, callcenter en identiteitsrompslomp? niet ChipSoft hoor, dat wordt gewoon weer zorggeld dat al op is.

alsof “meteen waarschuwen” het probleem oplost… het probleem is dat we zorg-IT hebben uitbesteed aan een paar private vendors met quasi-monopolie en ziekenhuizen die al jaren kapotbezuinigd zijn op security en personeel — dan krijg je dit. en ja, phishing komt erna, maar de echte schade is dat je medische data straks als commodity rondzwerft omdat winst belangrijker is dan publieke digitale infrastructuur, oh ja want “de markt regelt het” 🙃

tuurlijk kost dat gedoe met brieven en telefoonlijnen geld, maar dat is niet “de echte rekening” hoor. de echte rekening is dat patiënten straks gaan twijfelen of ze nog eerlijk durven zijn over verslaving, soa, psychische shit, omdat ze bang zijn dat het op straat ligt, en dan wordt zorg pas echt duur en gevaarlijk. en die CISO is niet het probleem, het probleem is dat er jaren is beknibbeld op fatsoenlijke ict en veilige inrichting terwijl alles aan elkaar hangt bij zo’n leverancier.

Nou Wilma, dat “managementbonussen” roepen is zo makkelijk, maar zo’n aanval bij een leverancier is niet omdat iemand in het ziekenhuis even snel wil declareren. Ik wil vooral weten welke data het was en wie er geraakt is, en ja waarschuw patiënten meteen voor phishing, want daar gaan die criminelen als eerste mee stoken toch?

Nou, dat vertrouwen is inderdaad zo weg, maar juristen doen ook niet voor niks voorzichtig: als je te vroeg roept “alles ligt op straat” en het klopt niet, heb je ook paniek en schade toch? laat ze dan wél meteen duidelijk zijn wat patiënten nu moeten doen (mails/telefoontjes negeren, waar checken) en wie je belt als je gedoe krijgt.

eens dat “niet uit te sluiten” te vaak betekent: afwachten tot de storm overwaait, en de patiënt mag zelf maar uitzoeken of er ineens een nep-ziekenhuisfactuur in de mail zit. Maar laten we ook niet doen alsof elk ziekenhuis dit solo kan fixen terwijl we de zorg al jaren op efficiency/outsourcing hebben gezet — oh ja want security kost geld en levert geen productiepunten. ChipSoft én VWS mogen hier gewoon verplicht worden tot snelle, individuele melding + standaard hulp (monitoring/advies), niet alleen een persbericht en klaar.

ja dat “niet uit te sluiten” is echt zo’n standaardzin waar je als patiënt niks aan hebt, want je wil gewoon weten: is mijn dossier bekeken ja/nee en wat doen jullie nu. aan de andere kant snap ik ook wel dat ziekenhuizen niet meteen alles kunnen roepen als ze het nog aan het uitzoeken zijn, maar ondertussen ligt je meest privé info wel in de lucht en mag je maar afwachten...

Ja sorry maar “niet uit te sluiten” is gewoon hoe ze het netjes zeggen zolang het onderzoek loopt, dat is niet meteen “patiënt is de pineut” en klaar. Ik heb zat klanten in ’t ziekenhuis (en eentje werkt op ict daar) en die systemen loggen echt wel wie wat opent, dus als er echt gekeken is dan komt dat boven water, alleen dat kost ff tijd en dan ga je niet iedereen halfbakken bellen met “misschien” hè.

“als patiënt weer de pineut” klopt, maar je mist het grotere punt: we hebben zorgdata aan een private leverancier + ondergefinancierde IT uitbesteed omdat het “efficiënt” moest — en dan zijn we verbaasd dat security een afterthought is. en nee, een ziekenhuis gaat je niet bellen met details, want ze weten het zelf vaak niet eens door die vendor-lock-in rotzooi — oh ja want alles centraliseren was lekker goedkoop tot het misgaat.

In de praktijk is dat kwantumverhaal gewoon rookgordijn: als iemand binnen is geweest en je logs zijn rommelig, dan weet je het niet en ben je dus te laat. Dan moet je niet “niet uitsluiten” roepen maar meteen uitgaan van lek, mensen waarschuwen en die hele keten dichtzetten, ook al kost het geld en gedoe. en misschien stoppen met half zorg-NL op één leverancier te laten draaien, want dan heb je dus één grote voordeur voor hackers.

Goh, dat “buiten hun scope” is wel makkelijk praten ja, maar eerlijk is eerlijk: als ze nu nog niet zeker weten wat er is ingezien kunnen ze ook niet alvast alles roepen. Wel meteen patiënten waarschuwen voor nep-sms’jes en mails en een duidelijk meldpunt geven, want dáár gaat het mis straks toch?

Marco mist één ding: dit gaat niet alleen om “we houden het klein”, maar om het feit dat ChipSoft zélf een enorme single point of failure is waar half zorg-NL aan hangt. Welke ziekenhuizen zijn precies geraakt, welke versies/omgevingen, en was er daadwerkelijk data-exfiltratie of alleen verstoring—wie doet die forensische check, een extern bureau of “onze IT”? En waarom horen patiënten pas iets als het al in de media staat, terwijl je bij EPD/BSN gewoon direct moet melden + concreet maken wat er mogelijk is, anders kan niemand zich beschermen; bron/link naar de melding bij de AP en de tijdlijn graag.

“harde plicht op audits” klinkt stoer, maar dan zit je straks met nóg meer vinkjes en consultants en nog minder zorg aan het bed. Bottom line: ziekenhuizen moeten gewoon leveranciers kiezen met aantoonbare security (SLA’s, boetes, exit) en anders eruit, de markt bepaalt wie blijft draaien.