Naar aanleiding van de problemen rond het recente Citrix-lek

Door Anoniem: Bestond daar geen wetgeving voor? Beter laat dan nooit. Wat het ook mag worden...

Door Anoniem: Bestond daar geen wetgeving voor? Beter laat dan nooit. Wat het ook mag worden...

Door Anoniem: Ik ben benieuwd wat dit voor een gedrocht gaat worden...

Door Anoniem: Saillant detail is dat de Zorg door de overheid niet als vitaal wordt gezien, tenminste niet voor de Wbni. Het idee is dat als een ziekenhuis uitvalt, een ander ziekenhuis het wel opvangt. Daarbij is natuurlijk niet heel erg nagedacht dat ruim 60% op hetzelfde EPD draait (Chipsoft/Hix), dus als dat uitvalt door bv. een supply-chain attack, tja. En dit was ook een pre Corona insteek.

Als eind volgende week een UMC uitvalt, dan kost het wel degelijk levens, doordat niet iedereen de juiste zorg geleverd kan krijgen.

Door Anoniem: Saillant detail is dat de Zorg door de overheid niet als vitaal wordt gezien, tenminste niet voor de Wbni. Het idee is dat als een ziekenhuis uitvalt, een ander ziekenhuis het wel opvangt. Daarbij is natuurlijk niet heel erg nagedacht dat ruim 60% op hetzelfde EPD draait (Chipsoft/Hix), dus als dat uitvalt door bv. een supply-chain attack, tja. En dit was ook een pre Corona insteek. Als eind volgende week een UMC uitvalt, dan kost het wel degelijk levens, doordat niet iedereen de juiste zorg geleverd kan krijgen.

Door Anoniem:
Cross-post:

Weldenkende ministers en Tweede Kamer ...

In de Tweede Kamer zijn vertegenwoordigers bang voor een tweede virus uit bijv. onze veestapel.
Niets over het risico van cyberaanvallen op gezondheidsinstellingen tijdens deze crisis.

De EU Netwerk en InformatieBeveiliging (NIB) richtlijn stelt dat de cyberveiligheid van de gezondheidszorg beschermt moet worden en stelt daar eisen aan. De Nederlandse interpretatie van de richtlijn keipert echter de gezondheidszorg buiten dit stelsel aan voorzorgen en eisen.
Zie de Minister van Medische zorg in https://zoek.officielebekendmakingen.nl/kst-27529-158.html

Referend aan vitaal criteria: "Wij zijn destijds tot de conclusie gekomen dat er geen situaties zijn waarin uitval van ICT-systemen of -structuren in de zorg deze gevolgen zullen hebben. In Nederland is er namelijk geen centrale vitale technische infrastructuur voor de gehele zorg die bij uitval dergelijke gevolgen heeft voor landsbrede zorg. De zorg en de zorginfrastructuur in Nederland zijn niet centraal georganiseerd, maar decentraal en de instellingen zijn zelf verantwoordelijk voor de veiligheid van informatievoorziening en gegevensuitwisseling. Bij uitval van een deel van de zorg kan deze zorg in veel gevallen worden overgenomen door andere zorgaanbieders. Daarom heeft het Ministerie van VWS geen processen in de zorg als vitaal geïdentificeerd en zijn er dus geen AED’s [Aanbieders van Essentiële Diensten] aangewezen. "

"De continue beschikbaarheid en betrouwbaarheid van informatievoorziening en gegevensuitwisseling in de zorg is echter van groot belang voor de patiëntveiligheid. Wij hebben ons daarom met de zorgsector wel gericht op andere maatregelen om de veiligheid van de technische infrastructuur in de zorg te verhogen, zoals mijn ambtsvoorganger vorig jaar bij eerder genoemde brief van 20 juni 2017 aan uw Kamer heeft gemeld. Wij hebben specifieke normen voor informatieveiligheid in de zorg vastgesteld: De NEN-normen 7510, 7512 en 7513. Verder heeft de sector haar eigen sectorale CERT (Computer Emergency Response Team) voor de Zorg (Z-CERT) in het leven geroepen. Z-CERT draagt zorg voor specifieke monitoring, preventie en reparatie van informatieveiligheidsinbreuken in het zorgveld en medische apparatuur. Sinds 24 januari 2018 is Z-CERT officieel van start gegaan. Verder hebben wij samen met de koepels NVZ, NFU, ZKN en GGZ Nederland een Actieplan opgezet voor de verhoging van de veiligheid van patiëntgegevens. "

... niets over het cyberrisico van bevoorbeeld patientmonitoring, beademing, continuiteit van het laboratorium, ... essentieel voor de gezondheid van corona- en andere patiënten.

Nederland heeft als enig land in de EU geen enkele zorginstelling aangewezen als Aanbieder van Essentiele Diensten (AED) waardoor de zorginstellingen minder getoetst zullen worden op hun cybersecurityhygiëne.

Regeren is vooruitzien ... veel sterkte en applaus aan de medewerkers in de zorgsector die de cyberveiligheid proberen te waarborgen zonder overheidssteun.