Vergeet het endpoint niet bij NIS2 in de zorg
Dat de nieuwe wet eraan zat te komen, weten we al geruime tijd. Maar nieuwe verplichtingen zijn ook een mooie aanleiding voor wat bezinning en reflectie. Want wat gebeurt er precies als je hele bedrijf platligt door een cyberaanval? Kan een arts op de spoedeisende hulp nog een CT- of MRI-scan maken? Kunnen labuitslagen geraadpleegd worden? Kun je een behandelplan nog inzien? Kortom, kan er nog complete zorg verleend worden? James Millington (foto), Field CTO Healthcare, EMEA bij IGEL, gaat in deze blog er nader op in.
Morgen wijzigen de cybersecurityverplichtingen voor duizenden organisaties in Nederland. De Cyberbeveiligingswet, die de Europese NIS2-richtlijn omzet in Nederlandse wetgeving, brengt nieuwe verplichtingen met zich mee. Denk aan het registreren en melden van incidenten. En het beheren van risico’s rond cybersecurity. Voor zorgorganisaties die onder de wet vallen, betekent dit dat cybersecurity niet langer alleen de verantwoordelijkheid van de IT-afdeling is. Die komt namelijk expliciet bij de organisatieleiding te liggen.
Het naleven van de wet is natuurlijk belangrijk. Maar voor de gezondheidszorg zie ik een nog fundamentelere vraag. Kunnen we ook nog zorg blijven verlenen als endpoints massaal uitvallen of gecompromitteerd zijn? De ransomwareaanval op EPD-leverancier ChipSoft eerder dit jaar verstoorde verschillende digitale zorgdiensten die met elkaar verbonden waren, maar de toegang tot het elektronisch patiëntendossier bleef beschikbaar. Daar heb je alleen niets aan als je geen veilig apparaat hebt om de gegevens te bekijken.
Cyberweerbaarheid begint bij preventie
NIS2 vraagt van organisaties om passende maatregelen te nemen. Cyberrisico’s beheersen en de gevolgen van incidenten zoveel mogelijk beperken, zijn de belangrijkste nieuwe spelregels. De zorgsector investeerde daarom fors in detectie en respons. Als er een dreiging wordt ontdekt, kunnen ze snel reageren. Toch wordt er vaak een stap vergeten: het endpoint minder aantrekkelijk en minder kwetsbaar maken voor aanvallers.
In plaats van klinische endpoints te behandelen als algemene computers waarop van alles kan en mag worden geïnstalleerd, moet je eigenlijk kijken naar wat er allemaal al op staat. Of nog beter, wat er eigenlijk helemaal niet op zou moeten staan.
Dat kan, als je kiest voor een veilig, onveranderbaar besturingssysteem met centraal beheerde configuratie en een bewust beperkte endpointomgeving. Kies voor minder lokale applicaties, services en data. Dat maakt het aanvalsoppervlak kleiner en betekent simpelweg minder risico. Natuurlijk kan geen enkel endpointplatform ervoor zorgen dat een organisatie NIS2-compliant is. Dat is ook niet het doel. Het doel is veel praktischer: verwijder onnodige risico’s, zo veel je kunt!
15 augustus is een startpunt, geen eindpunt
De Nederlandse zorgorganisaties die onder de wet vallen, zetten nu nog meer in op governance, risicobeheer, identiteits- en toegangsbeheer, netwerken, applicaties en incidentrespons. Dat is natuurlijk heel goed, maar ik breek graag nog een lans voor het endpoint. Want die hoort simpelweg in datzelfde gesprek thuis. Niet alleen omdat endpoints beschermd moeten worden, maar omdat juist daar cybersecurity, digitale zorg en continuïteit van de zorg samenkomen.
Als zorgbestuurder wil je het endpointrisico zo ver mogelijk terugbrengen en ervoor zorgen dat zorgprofessionals altijd zorg kunnen blijven verlenen. Ook als de reguliere endpointomgeving wordt gecompromitteerd. Dat is uiteindelijk de test van cyberweerbaarheid die ertoe doet.
Door: James Millington, Field CTO Healthcare, EMEA bij IGEL
