UZA Ziekenhuis voorkomt dat menselijke fouten een cyberincident veroorzaken

Wanneer ziekenhuizen het slachtoffer worden van hackers, staan levens op het spel. Technologie faciliteert de moderne geneeskunde, maar zorgt er tegelijk voor dat dergelijke instellingen steeds meer moeten inzetten op nieuwe technieken om hun netwerken te beveiligen. “Ieder ziekenhuis doet zijn uiterste best om haar medewerkers meer bewust te maken voor de digitale gevaren van vandaag,” zegt Filip Goyens, DPO bij UZA, “en wij doen dat door sterk in te zetten op Phished.”

Organisaties die worden getroffen door ransomware of andere malware hebben vaak twee opties: losgeld betalen en de controle over hun netwerk terugkrijgen, of geduld uitoefenen en wachten tot de IT-afdeling het netwerk weet te bevrijden door middel van back-ups. Voor zorginstellingen zijn dat geen geruststellende opties: het zijn organisaties waar geld doorgaans wordt besteed aan hulpbehoevenden, en als de wachttijd te lang oploopt, kan dat zware gevolgen hebben. Het begrip ‘kritieke infrastructuur’ krijgt in zulke omgevingen een extra dimensie.

“We zijn, zeker de voorbije twee jaar, volop bezig om cyber awareness hoger op de agenda te plaatsen,” zegt Goyens. “Regelmatig overleggen we met verschillende DPO’s van ziekenhuizen en delen we best practices – e-health is ons zeker niet onbekend. De recente hacks van grote ziekenhuizen (bv. Doornik en Mol) tonen aan dat het echt nodig is. Ieder ziekenhuis legt natuurlijk zijn eigen accenten en wij doen dat door in te zetten op het platform van Phished.”

Het UZA onderging in die twee jaar een grote verandering in haar cyberbewustzijnsbeleid. Waar het in het verleden gebruikmaakte van traditionele voorlichtingsmiddelen als brochures en het driemaandelijkse personeelsblad, wordt vandaag resoluut de digitale kaart getrokken. Goyens: “We gebruiken al geruime tijd de screensavers van de computers op ons netwerk om nuttige informatie snel te verspreiden, zo ook met phishing- en ransomwarepreventie, maar we merkten dat er nog steeds heel wat mensen vatbaar bleven voor die praktijken.”

“Niet dat we al grote incidenten meemaakten,” vertelt Goyens, “maar we hadden in het verleden al wel kleine voorvallen die we gelukkig snel konden herstellen. Als zorginstelling wilden we echter niet wachten tot een grote hack op ons dak viel. Daarom deden we twee jaar geleden al een externe audit: het resultaat daarvan moedigde ons nogmaals aan om een structurele oplossing te zoeken.”

Bij de nulmeting door Phished liep ongeveer 30% van alle ontvangers in de phishingval – een gemiddeld resultaat. Op slechts enkele maanden tijd werd dit al teruggedrongen naar 8%. Goyens: “We merken dus duidelijk de return on investment. Dankzij de uitgebreide rapportering hebben we de cijfers week na week zien dalen en dat geeft ons uiteraard veel voldoening en gemoedsrust. Het Facebook-voorval onlangs was nog maar eens de bevestiging dat je zeer voorzichtig moet zijn met systemen, maar ook met persoonlijke gegevens. Een goed resultaat op phishingsimulaties versterkt ons gevoel dat we onze verantwoordelijkheid nemen.”

“Bovendien kunnen we nu nog korter op de bal spelen als we merken dat een medewerker, of zelfs een hele afdeling nood heeft aan extra ondersteuning. Verder vertrouwen we op het algoritme om onze collega’s op te leiden; de cijfers bewijzen dat het werkt.”

Het UZA werkt momenteel aan een gecentraliseerd security operations center om de verschillende IT-diensten die aan cyberaanvalpreventie doen beter en makkelijker te laten samenwerken. Daardoor zullen ze beter en concreter kunnen optreden bij mogelijke problemen en ook de preventie-inspanningen zullen gestroomlijnder kunnen verlopen.

Phished speelt een belangrijke rol bij de realisatie van die plannen dankzij het gemak van de geautomatiseerde phishingsimulaties, de diepgaande rapportering en het automatisch up-to-date houden van het personeelsbestand – in zulke grote organisaties is schaalbaarheid immers geen onbelangrijke factor.