De migratie van Nederlandse zorginstellingen naar de cloud neemt nieuwe risico's met zich mee. It-leveranciers worden vaker getroffen door cyberaanvallen dan zorginstellingen, zo meldt Z-CERT in het vandaag verschenen Cybersecurity Dreigingsbeeld voor de zorg 2023 (pdf). Z-CERT is het Computer Emergency Response Team voor de Nederlandse zorg.

De organisatie schat het dreigingsniveau voor incidenten door ransomware en afpersen met datalekken bij leveranciers van zorginstellingen in als ‘hoog’. Zo bleek dat it-dienstverleners in Europa vorig jaar vaker getroffen werden door ransomware-aanvallen dan de zorgaanbieders zelf. "Dit kan impact hebben op zorginstellingen indien zij diensten afnemen van deze leverancier", aldus het rapport.

Vorig jaar meldde negen procent van de respondenten die aan onderzoek van Z-CERT meededen ransomware-incidenten bij leveranciers. Bij Nederlandse zorgaanbieders registreerde Z-CERT in 2023 in totaal drie ransomware-incidenten, twee minder dan in 2022. Voor dit jaar verwacht Z-CERT dat er meerdere ransomware-incidenten zullen plaatsvinden bij leveranciers, met impact op Nederlandse zorginstellingen. Naast ransomware werden it-leveranciers ook slachtoffer van ddos-aanvallen.

"De zorg maakt steeds meer de transitie naar de cloud waarbij veel gebruik gemaakt wordt van webapplicaties en mobiele apps. In 2023 werd deze dreiging zichtbaar toen een ethische hacker toegang kreeg tot gevoelige data verzameld via een app voor het melden van grensoverschrijdend gedrag in ziekenhuizen. Dankzij een misconfiguratie kon hij gevoelige informatie inzien en het beheerderwachtwoord onderscheppen", zo laat het Dreigingsbeeld verder weten.

Datalekken

Naast aanvallen met ransomware kregen Nederlandse zorginstellingen ook met datalekken te maken die niet door ransomware werden veroorzaakt. Ook hierbij kunnen it-leveranciers de zwakke plek zijn. Bij Z-CERT zijn acht Nederlandse gevallen bekend waarbij er data van zorginstellingen werden gelekt via een leverancier. In twee gevallen was dit gebeurd via een onderleverancier. "Het is daarom belangrijk dat zorginstellingen goede afspraken maken met hun leveranciers over informatiebeveiliging", aldus Z-CERT.