Kabinet positief over Europees plan voor cybersecurity ziekenhuizen
Het kabinet is positief over een Europees actieplan om de cybersecurity bij ziekenhuizen en zorgaanbieders te versterken, onder andere tegen ransomware-aanvallen, zo blijkt uit een kabinetsreactie. Vorige maand presenteerde de Europese Commissie het plan dat voor de oprichting van een European Cybersecurity Support Centre for hospitals and healthcare providers moet zorgen, alsmede voor verschillende maatregelen pleit. Het centrum zal vervolgens voor een uniforme Europese cyberaanpak in de zorg moeten gaan zorgen.
Het actieplan en de voorgestelde maatregelen zijn onderverdeeld in vijf thema’s: preventie, detectie, respons, herstel en afschrikking. Als eerste wordt er gewerkt aan betere preventie, waarbij er een rol is weggelegd voor de Europese identiteitswallet, zo staat in de reactie vermeld. De wallet is volgens het kabinet een manier om van de afhankelijkheid van zwakke identificatiemechanismen af te komen.
Ten tweede moet de detectie en identificatie van cyberincidenten bij ziekenhuizen en zorgaanbieders beter. Onder andere door een 'EU-breed early-warning abonnement' waarmee zorgaanbieders real time alerts kunnen ontvangen. Het derde en vierde thema richten zich op het adequaat reageren op cyberaanvallen en het herstel hiervan, om de gevolgen van cyberaanvallen te beperken. Zo moet er een Rapid Response Service voor de gezondheidszorgsector komen. Als laatste wil de Europese Commissie door middel van diplomatieke reacties aanvallers afschrikken.
Het kabinet zegt het doel van het actieplan te verwelkomen. "Aangezien de zorginstellingen dicht bij de burger staan en geavanceerde cyberaanvallen grote consequenties hebben op patiëntveiligheid en de samenleving, is het van belang de digitale weerbaarheid van zorginstellingen te vergroten." Verder is het kabinet positief over de aandacht in het actieplan voor ransomware en de voorstellen om de aanpak van ransomware te versterken.
In de reactie op het actieplan laat het kabinet tevens weten dat het de meerwaarde ziet van training en bewustwordingsactiviteiten. "Onlinetrainingen en cursussen kunnen zorgen voor een sterke basis van bewustzijn over cybersecurity, en in het bijzonder het herkennen van (cyber)dreigingen. Het is daarom van belang dat de trainingen toegankelijk zijn voor verschillende soorten zorgprofessionals." Het kabinet heeft nog wel vragen over het op te richten centrum en de kosten hiervan. Daarnaast wil het kabinet een verdere uitwerking van de financiële gevolgen die het actieplan voor lidstaten heeft.
Zou wel eens willen weten welke lobbyisten hierachter zich verschuilen?
https://www.digitaltrustcenter.nl/cybersecurity-initiatieven/stichting-z-cert
Dit nieuwe iniatief slaat echt werkelijk nergens op.
Nou ga jij naar Noord Korea om dat even te verkondigen? Of naar Rusland? Of China? Die landen boeit het echt niet.
En die wallet was toch vrijwiliig? Zo vrijwillig dat die straks nodig is om bij een ziekenhuis in te loggen?
Nou ga jij naar Noord Korea om dat even te verkondigen? Of naar Rusland? Of China? Die landen boeit het echt niet.
Als er mensen aan overlijden door deze vorm van hacken mag het best als moord worden bestraft. (20 jaar cel)
Als er niemand aan overlijd mag de boete en gevangenisstraf sowieso best hoger voor het in gevaar brengen van kwetsbare mensen.
Zonder eID geen zorg, net of je dat nu al krijgt als er al plek is. Ook de kwaliteit is tegenwoordig om te janken dus je kunt net zo goed naar een Afrikaans ziekenhuis want de mate van zorg verschilt niet zoveel meer. Tis alleen wel goedkoper in Afrika.
https://www.digitaltrustcenter.nl/cybersecurity-initiatieven/stichting-z-cert
Dit nieuwe iniatief slaat echt werkelijk nergens op.
Als ziekenhuizen te maken krijgen met een security incident gaan ze meestal naar NFIR of Fox.
Hoe betrouwbaarder een authenticatiesysteem is, hoe groter de risico's voor slachtoffers. Het ergste is een authenticatiesysteem dat verondersteld wordt sterker te zijn dan het is en er geen passende vangnetten voor slachoffers van identiteitsfraude zijn ingericht.
Helaas komt deze combinatie het vaakst voor in de praktijk (je krijgt dan de krankzinnige situatie dat bankklanten moeten gaan beredeneren hoe de identiteitsfraude kon plaatsvinden, terwijl de bewijslast bij de verifieerder ligt: https://security.nl/posting/877095). Of als je de DigiD-app gebruikt en jouw identiteit misbruikt is: helemaal niemand wil dan iets van de risico's weten die burgers lopen. Jij zult wel iets stoms hebben gedaan.
M.b.t. DigiD: dat is een authenticatiesysteem uitsluitend bestemd voor partijen die BSN's mogen verwerken. En waarbij de risico's worden beperkt doordat Logius stevige eisen stelt aan die partijen, en door het relatief kleine aantal daarvan, Logius de checks lijkt te kunnen behappen.
De "fix" (workaround) bij de Europese identiteitswallet is dat er geen BSN wordt gebruikt, maar een Europees burgernummer - dat elke idioot mag verwerken. En waarbij er (in tegenstelling tot bij DigiD) géén backend-koppeling vanuit de verifiërende website vereist is, waardoor AitM-aanvallen 100% voorspelbaar zijn (zie het plaatje onderin https://security.nl/posting/877799 voor alle zwakke plekken die ik kon verzinnen; aanvullingen en correcties zie ik graag tegemoet).
Zie ook mijn (*) discussie over de risico's van EDIW/EUDIW met Ivo Jansch, een van de ontwerpers daarvan in https://tweakers.net/nieuws/204138/#r_18249704 (een evt. cookie-banner verwijdert alles vanaf '#', de link heropenen werkt daarna meestal wel). Reageerder "denan" doet of deed iets bij Yivi (voorheen Irma). Eerder was Ivo Jansch betrokken bij het ontwerp van CoronaMelder en CoronaCheck.
Overigens hartstikke aardig van Ivo dat hij in https://tweakers.net/nieuws/204138/#r_18248262 schrijft dat hij vindt dat er altijd een alternatief moet blijven bestaan, maar daar gaat hij niet over en de praktijk leert volstrekt anders (er bestaat bijv. geen fatsoenlijk alternatief meer voor internetbankieren, en "bankloos" door het leven gaan ist strengstens verboten).
(*) Op https://tweakers.net ben ik "Anoniem: 1576590" sinds Tweakers mijn account heeft omgedoopt nadat ik mijn account had opgeheven en ik hen vroeg om al mijn reacties te verwijderen (m.i. interessant en soms handig om het resultaat te aanschouwen: iets "Anoniem" noemen wil niet zeggen dat het zo is - overigens veel te gangbare volksverlakkerij. Want los van de mijn eigen ontboezemingen: Googlen naar "Anoniem: 1576590" site:tweakers.net correleert prima - inclusief een aantal reacties van anderen die mijn oude accountnaam hebben overgetikt - sneller te vinden door bovenstaande zoekstring uit te breiden met ErikvanStraten).
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
