Wie aan informatiebeveiliging in de zorg denkt, denkt niet als eerste aan een organisatie voor hoogcomplexe zorg: daar gaat bijna alle aandacht naar de zorg zelf, en dat hoort ook zo. Een dagbehandelcentrum met 125 cliënten en 136 medewerkers draait op bijna één-op-één zorg, met beademing, epilepsiebewaking en vaste begeleiders voor kinderen en volwassenen die niet kunnen praten. Als het in zo’n omgeving over IT-beveiliging gaat, hoor je vaak dezelfde vraag: “Wat kunnen ze bij ons nou stelen?”
Die vraag klinkt redelijk. Het medisch dossier staat in een landelijk systeem, buiten de eigen omgeving, en daar zorgt een andere partij voor. Wat er in de eigen Microsoft-omgeving staat, lijkt dan vooral administratie: roosters, notulen, een begroting, wat correspondentie met ouders en het zorgkantoor. Niemand in een groep van zes tot acht kinderen met drie begeleiders denkt tijdens een dienst na over wie er bij die bestanden kan.
Kijk alleen eens wat er werkelijk in die administratie staat. BSN-nummers van cliënten. Mogelijk ook bankrekeningnummers. Kopieën van ID-bewijzen van medewerkers, die u verplicht moet bewaren. Cv’s van sollicitanten. Bij één zorgorganisatie bleek uit een audit dat er ook ID-kopieën van cliënten waren opgeslagen, en dat mag juist niet: u moet de identiteit controleren, maar het document niet bewaren. Iedereen dacht dat het in orde was, tot iemand van buiten meekeek.
Daarnaast neemt de controle toe. Zorgkantoren doen nacalculaties, financiers van de Jeugdwet willen precies weten welke vijf cliënten onder hun regeling vallen, en auditors kijken naar veiligheid. De gegevens die u daarvoor bijhoudt, zijn precies de gegevens die een crimineel wil hebben. Het probleem is dus niet dat u te weinig waardevolle data heeft. Het probleem is het idee dat die er niet is.
Breng in kaart wat er echt rondslingert
Meestal schaffen organisaties eerst iets aan: een extra virusscanner, een cursus, een nieuw wachtwoordbeleid. Dat helpt weinig zolang niemand weet waar de gevoelige gegevens staan. In een organisatie die jaren op twee lokale servers heeft gedraaid, staan bestanden al snel verspreid over gedeelde mappen en mailboxen. Begin dus met een inventaris, nog voordat u ook maar één tool kiest.
De verhuizing van oude servers naar Microsoft 365 is daar een goed moment voor. Een zorgorganisatie die wij in 2024 hebben overgezet, had last van storingen en van Word- en Excel-bestanden die geblokkeerd waren omdat iemand anders ze open had. Sinds de overstap werken medewerkers van de ondersteunende diensten tegelijk in één document en kunnen ze overal veilig inloggen. En zo’n overstap is het moment om vast te leggen welke data waar staat en wie erbij kan.
De beveiliging die daarna komt, merkt u soms in het dagelijks werk. Wie gegevens uit de zakelijke omgeving probeert te kopiëren naar een privé-app, krijgt een foutmelding. Dat is soms een beetje lastig, maar het voorkomt precies het soort lek waar niemand bewust voor kiest.
Techniek dekt maar de helft. De andere helft is een manager die het blijft benoemen: geen cv op het kopieerapparaat laten liggen, zo min mogelijk printen, en accounts en bestanden meteen opruimen als iemand uit dienst gaat. Zorgmedewerkers zitten liever niet achter een computer, en dat is begrijpelijk. Daarom moet de omgeving zo zijn ingericht dat de veilige keuze ook de makkelijkste is. Denk aan inloggen zonder eindeloze wachtwoorden, een vaste plek voor elk soort document en sjablonen die gevoelige velden alvast afschermen. Hoe minder iemand hoeft na te denken, hoe kleiner de kans dat het misgaat.
Vier plekken waar het misgaat
Begin bij deze vier zwakke plekken. Ze hebben weinig te maken met geavanceerde aanvallen en veel met gewoontes die zijn ontstaan in jaren waarin de zorg voorging, en dat is begrijpelijk. Wie deze vier langsloopt, heeft al een groot deel van het risico in beeld. En bij de volgende audit kunt u dan vragen beantwoorden waar u nu waarschijnlijk nog geen direct antwoord op heeft.
Bewaren wat weg moet
De eerste is data die er niet meer hoort te staan: ID-kopieën van cliënten, cv’s van afgewezen sollicitanten, mappen van medewerkers die al twee jaar weg zijn. Elke bewaarde kopie kan uitlekken, terwijl u er niets aan heeft. Een vaste bewaartermijn per soort document, die automatisch wordt toegepast, lost dit grotendeels op. Handmatig opruimen schiet er in de drukte van alledag gewoon bij in, zeker als de lift het niet doet en de rolstoelbussen voor de deur staan.
Toegang, papier en mensen
De tweede is toegang die blijft hangen. Medewerkers wisselen van groep, gaan parttime werken of vertrekken, maar hun rechten worden alleen maar uitgebreid. Een begeleider op één groep hoeft niet in de financiële administratie te kunnen. Een halfjaarlijkse controle van wie waar bij kan, gekoppeld aan de personeelsadministratie, voorkomt veel. De derde is papier: de printer waar BSN-nummers en salarisstroken een hele middag blijven liggen. Printen met een pas, zodat een document pas uit de printer komt als de eigenaar ernaast staat, kost weinig en lost dit op. De vierde is de gedachte dat beveiliging iets is van de IT-partij, terwijl de zwakste schakel vaak een medewerker is die een geloofwaardige phishingmail opent, bijvoorbeeld een nep-factuur die zogenaamd van het zorgkantoor komt.
Waarom niemand belt als het goed gaat
Goed IT-beheer is ondankbaar werk. Niemand belt het waterbedrijf om te zeggen dat het douchen lekker ging, en niemand belt de IT-partner omdat er vandaag geen storing was. Daardoor is het voor een bestuurder lastig om te zien wat preventie oplevert. U merkt het pas als het misgaat, en dan bent u te laat. In een organisatie voor hoogcomplexe zorg is een datalek geen IT-incident, maar een vertrouwensprobleem bij ouders die al genoeg op hun bord hebben.
Daarom werkt proactieve monitoring beter dan reageren op meldingen. U ziet afwijkend inloggedrag voordat er iets gestolen is, verlopen rechten voordat een auditor ze vindt en verouderde systemen voordat ze uitvallen. Combineer dat met een paar keer per jaar een korte awarenesssessie op de werkvloer, en de vraag “wat kunnen ze bij ons stelen?” krijgt een concreet antwoord: weinig, omdat we weten wat er staat en wie erbij kan.
De grootste kwetsbaarheid in hoogcomplexe zorg is zelden de techniek. Het is de aanname dat er weinig te halen valt. Wie eerst inventariseert welke BSN-nummers, ID-kopieën en bankgegevens er werkelijk in de eigen omgeving staan, kan daarna gericht beveiligen en de volgende audit met een gerust hart tegemoet zien. Constant IT doet die inventarisatie, beheert daarna de Microsoft-omgeving en houdt er continu toezicht op. Zo kunnen uw mensen zich met de zorg bezighouden.
