Stichting Z-CERT
Wij vormen de frontlinie tegen cybercriminaliteit in de sector
en werken aan het digitaal weerbaarder maken van de zorg.
De Nederlandse zorgsector maakt grote stappen op het gebied van digitalisering.
Maar waar gedigitaliseerd wordt,
bestaat het risico op cybercriminaliteit.
Hacken, datalekken, phishing en ransomware zijn dagelijkse realiteit voor de zorg.
Informatie over zorgbehandelingen, patiëntgegevens,
maar ook gevoelige data over de ontwikkeling van baanbrekende geneesmiddelen.
We moeten het zorgvuldig beschermen.
De cyber technieken om deze informatie te ontvreemden...
...ontwikkelen zich sneller dan het licht.
Des te belangrijker dat de verdediging ertegen zo secuur mogelijk is.
Daarom is een stichting Z-CERT, het onafhankelijke sectorale...
...Computer Emergency Response Team.
Wij vormen de frontlinie tegen cybercriminaliteit in de sector
en werken aan het digitaal weerbaarder maken van de zorg.
Ons expertisecentrum verbindt de expertise op het gebied van cybersecurity...
...aan zorginstellingen.
Uit een groot internationaal netwerk van brancheorganisaties,
andere Computer Emergency Response teams en hacker communities...
...halen we kennis die direct toepasbaar is voor alle aangesloten organisaties.
We signaleren dreigementen en aanvalsvectoren en delen die realtime
via het Zorg Detectie Netwerk met de Nederlandse zorg
24 uur per dag, 7 dagen in de week houden
we de ontwikkelingen nauwgezet in de gaten.
Zo werken we samen aan een digitaal weerbare zorg.
Goedemiddag, dames en heren, welkom bij deze presentatie...
...die wordt verzorgd door Z-CERT.
Het Computer Emergency Response Team voor de zorg.
De titel luidt: Cyber secure besturen in zorg netwerken en dat is precies...
...waar het over gaat.
Normaliter is ons eerste aanspreekpunt:
de informatiebeveiliging specialist bij zorginstellingen,
maar in deze 15 tot 20 minuten richt ik me speciaal tot u
als bestuurder binnen een zorginstelling.
Want u hebt een voorbeeldfunctie als het gaat om informatiebeveiliging
en ook uiteindelijk een eindverantwoordelijkheid.
Eerst iets over mijzelf. Mijn naam is Wim Hafkamp.
Ik ben sinds 1 april 2020 de directeur van Z-CERT.
Hiervoor was ik iets meer als een jaar werkzaam als plaatsvervangend...
...directeur bij het Nationaal Cyber Security Centrum,
onderdeel van het ministerie van Justitie en Veiligheid in Den Haag.
En daarvoor ben ik langere tijd werkzaam geweest bij de Rabobank...
...als verantwoordelijk CISO: Chief Information Security Officer
Hier zit u onze missie staan: het versterken van digitale veiligheid
en de weerbaarheid van de zorgsector. Een belangrijke missie natuurlijk.
En er gebeurt ontzettend veel in de zorgsector als het gaat om digitalisering.
Ik hoef u dat bijna niet te vertellen, maar ik noem er toch een paar.
Het introduceren van elektronische patiëntendossiers.
De introductie en toepassing van wearables om op afstand patiënten te monitoren.
Maar ook de toepassing van kunstmatige intelligentie om uiteindelijk
ook een diagnose te kunnen stellen. Allemaal mooie voorbeelden ook van digitalisering.
Helaas heeft het ook een andere kant, want met de toenemende digitalisering...
...ontstaat er ook een risico, een risico op beveiligingsincidenten.
Immers, als we dit allemaal niet goed aanpakken, dan zou het
maar zo kunnen zijn dat de beschikbaarheid, integriteit of vertrouwelijkheid
van informatiebeveiliging in het geding komt. Wie is dan Z-CERT?
Hier ziet u een snapshot van het team in Amersfoort.
Wij zitten in Amersfoort. Op dit moment iets meer dan twintig specialisten.
Elke dag monitoren wij het internet en staan wij in contact met...
...allerlei collegiale computer Emergency Response Teams om te kijken...
...welke kwetsbaarheden en dreigingen relevant zijn voor de zorgsector
en relevant zijn voor de deelnemende zorginstellingen.
Dat doen we niet helemaal alleen moet ik in alle eerlijkheid zeggen,
want wij maken gebruik van een heel groot netwerk wat ik al zei...
...en wij kunnen gelukkig leunen op heel veel kennis vanuit onze community.
De 150 CISO's die elke dag werkzaam zijn binnen uw zorginstelling...
...om de beveiliging daar op orde te houden.
Ook sluiten zich steeds meer ambassadeurs bij ons aan.
Recent is een praktiserend huisarts die...
...in de praktijk af en toe ook nog iets doet met ethical hacking...
...actief betrokken bij onze activiteiten. En bij deze dan ook een oproep aan...
...Chief Medical Information Officers, CIO's of andere specialisten:
Heb je iets met informatiebeveiliging?
Neem dan contact op met Z-CERT.
Hier ziet u een overzicht van de huidige deelnemers bij Z-CERT,
in totaal ongeveer 168 zorginstellingen.
Afgelopen januari sloten meer dan 60 GGZ instellingen zich bij ons aan...
...via de koepel, de Nederlandse GGZ.
Op dit moment zijn wij in gesprek met onder andere Ambulancezorg Nederland,
met de GGD, GGD-GHOR en ook met Jeugdzorg Nederland.
En wij hopen uiteraard dat de komende periode veel meer instellingen
zich bij ons zullen gaan aansluiten.
Wij zijn gestart met deze initiatieven in 2017 en zijn...
...inmiddels vier jaar verder en zien dat het bereik van onze...
...informatie steeds groter en groter wordt. Wat is dan die informatie?
Die gaat natuurlijk over kwetsbaarheden en over dreigingen.
Helaas komen er ook incidenten voor.
Hier zit een overzicht van de incidenten die hebben gespeeld in 2020.
En wat opvalt is dat:
En dat was natuurlijk de periode dat corona ons leven beheerste,
dat we heel veel phishingmails hebben gezien.
68 phishing e-mails die gerelateerd konden worden aan fraude pogingen.
Daarnaast zagen we ook heel veel scanning activiteiten.
Er werd vooral gescand op kwetsbare zogeheten Remote Desktop Protocol:
protocollen die aan het internet hingen.
En dat was ook niet zo raar, want we zagen ook vorig jaar een...
...enorme vlucht aan thuiswerken en op afstand werken.
Vaak gebeurt dat via zo'n protocol.
En helaas worden die protocollen niet altijd goed ingericht.
Het is belangrijk om daar ook zicht op te hebben en daar ook voor te waarschuwen.
Het gaat inderdaad vaak mis of soms mis.
En soms gaat het ook goed mis en dan komt het in de media.
Hier ziet u een overzicht van alle incidenten van de afgelopen jaar,
twee jaar die nadrukkelijk het nieuws hebben gehaald.
Gelukkig niet allemaal zorg gerelateerd,
maar als je door je oogharen heen kijkt naar deze incidenten
vallen wel een paar dingen op.
Neem bijvoorbeeld de ransomware-aanval in december 2019 in Maastricht...
...en de hack bij de gemeente Hof van Twente.
Als je kijkt wat daar is misgegaan, vallen een paar dingen op. Allereerst security monitoring.
Beide hadden dat niet of maar beperkt ingericht.
Zagen dus niet dat ze werden aangevallen. En in beide situaties waren indringers...
...maandenlang al in het interne netwerk aanwezig, onzichtbaar.
Daarnaast, wat we ook zagen is dat er gebruik werd gemaakt van zwakke wachtwoorden,
zwakke wachtwoorden rondom beheerders accounts,
met sterke privileges en daardoor konden die hackers ook zo ver komen.
Verder viel het ook op dat in beide organisaties de backups...
...niet goed waren geregeld. Soms waren er online backups,
maar als de hackers daar ook toegang toe hebben, dan versleutelen ze...
...die backups, of gooien ze weg
en dan heb je er dus niets aan. Kortom, wees alert op dit soort...
...basis maatregelen en ik vind het heel tof,
werkelijk heel tof, dat beide organisaties: gemeente Hof van Twente
en Universiteit Maastricht zoveel openheid van zaken hebben gegeven...
...en hebben laten zien waar het bij hun misging.
Daar kunnen wij met z'n allen alleen maar van leren, want cybersecurity...
...is eigenlijk niets anders dan operationeel risicomanagement.
Namelijk je kijkt naar kans en impact op manifestatie van incidenten.
Incidenten die te maken hebben met de betrouwbaarheid, beschikbaarheid
en de vertrouwelijkheid van die data.
Het is belangrijk dat u als bestuurder niet alleen de vraag stelt:
of het bij ons kan gebeuren, maar wanneer het gebeurt en hoe erg het dan is.
Neem als voorbeeld de kwetsbaarheid rondom Microsoft Exchange Server,
nog steeds heel erg opportuun.
Ik verwacht dat u als bestuurder aan uw eigen organisatie gaat vragen: ''Zijn wij kwetsbaar?''
En ''Hoe erg is deze kwetsbaarheid? Zijn ze al binnen geweest?
Wat hebben ze er tegen gedaan?''
Dat zijn wat mij betreft basisvragen die u aan uw Information Security Officer...
...of uw IT manager zou moeten stellen.
Welke vragen kunt u dan nog meer stellen? Nou, dat is eigenlijk vrij simpel.
U pakt er gewoon de geldende norm bij: de NEN 7510.
Die is gerangschikt naar allerlei thema's en dan kunt u gewoon...
...een aantal vragen over stellen in uw interne organisatie.
Die norm is er natuurlijk niet voor niets, want die dekt,
als het goed is meer als 80 procent van uw cyber hygiëne af.
Als u dit goed geregeld hebt en goed geïmplementeerd hebt...
...en u monitort daar goed op.
Dan ben ik ervan overtuigd dat u veel, veel minder kwetsbaar bent...
...voor aanvallen en voor incidenten.
Dat staat ook in de norm.
Het draait niet alleen om technische maatregelen.
Hoe warmer ik en ook mijn collega's bij Z-CERT daar ook van worden.
Het draait ook om mensen en om processen.
Dit zijn de drie draaiknoppen waar u de beschikking tot hebt
en die u ook in balans moet invoeren binnen uw organisatie, mensen.
Vaak gaat het dan over bewustzijn.
Wat wij zien is heel veel beveiligings bewustzijn campagnes bij instellingen,
ook bij zorginstellingen,
waarin vooral wordt verteld wat er wel en wat er niet moet worden gedaan.
Dat wordt vaak opgesomd in dit soort flyers:
De do's en de don'ts.
Natuurlijk heel goed om die kennis ook tussen de oren te krijgen van de medewerkers,
maar ik denk dat u iets meer moet doen dan dat, want die kennis...
...is vluchtig en op moment dat je met je dagelijkse werkzaamheden bezig zijn,
heb je dit niet in je achterhoofd zitten.
Dus faciliteer ook het goede gedrag van je medewerkers.
Kijk bijvoorbeeld eens naar phishing e-mails.
Meer dan 99 procent van de phishing e-mails komt van buitenaf.
Waarom dan niet ook alle mails die van buitenaf komen zichtbaar maken?
Kleur ze anders of markeer ze anders.
Daarmee zet je in ieder geval je medewerker al op scherp.
Dan nog even iets over wachtwoorden,
want de meeste organisaties, ook zorginstellingen,
zeggen dat je complexe wachtwoorden moet hanteren.
En daar zit nou precies ook de pijn, want zo'n complex wachtwoord
is ontzettend moeilijk om te onthouden.
En wat gaan dan medewerkers, mensen, doen? Die gaan dat opschrijven.
Dus ons advies is introduceer een wachtwoord kluis.
Faciliteer dus dat is zo'n kluis aanwezig is,
waardoor de medewerker nog maar één wachtwoord hoeft te onthouden,
namelijk de toegang tot die wachtwoord kluis.
Process, ook niet onbelangrijk. Er zijn allerlei security gerelateerde processen.
Een mooi voorbeeld is het vulnerability management proces,
dus de zoektocht naar kwetsbaarheden in je eigen organisatie.
Meestal wordt dat gedaan door middel van vulnerability scanning. Dat levert altijd hits op.
Alleen wat wij zien is dat de resultaten van dit soort scans
niet altijd goed worden afgestemd op je patch beleid.
Dus je beleid waarin je nieuwe software update.
Dus zorg dat daar een goede koppeling tussen die twee elementen is...
...en wacht niet met patchen totdat het ''Patch Tuesday'' is, zoals Microsoft dat noemt,
maar begin daar direct mee en nadat u gepatcht hebt zorg er dan voor...
...dat u ook nog een keer een scan uitvoert...
...om te kijken of die kwetsbaarheid daadwerkelijk is weggenomen.
Ander voorbeeld van een belangrijk proces is natuurlijk Identity and Access Management,
of in goed Nederlands: autorisatiebeleid.
Ook dat is zo'n heel belangrijk proces wat u goed op orde moet hebben.
En wat wij vaak zien is dat er niet echt een koppeling is met het personeelsbeleid.
Wat je zou kunnen doen is een koppeling aanbrengen met je personeelsadministratie,
zodat als mensen uit dienst gaan daadwerkelijk ook en geautomatiseerd...
...het account in uw IAM-omgeving wordt geblockt, zodat binnen vierentwintig uur...
...er geen toegang meer kan worden verkregen tot dat account.
Of als de medewerker van functie verandert, een andere rol krijgt,
dat dat ook gelijk doordringt vanuit de personele administratie...
...naar het Identity and Access Management systeem wat u hanteert.
Als we dan kijken naar het overal proces: NEN 7510,
komt natuurlijk van de wereldwijde standaard ISO 27001, een wereldwijde standaard..
..die door ongeveer alle organisaties in Nederland gehanteerd worden.
Die NEN 7510 die zegt eigenlijk: je moet een Information Security Management systeem...
...hebben waarin je periodiek al die controles en die maatregelen nagaat.
En ook daarover rapporteert.
Dus als bestuurder zou ik zeggen: ''Zorg ervoor dat je tenminste...
...één keer per kwartaal zicht hebt op de resultaten van het ISMS-systeem.''
Vraag uw Information Security Officer daarom en laat hem uitleggen...
...als bepaalde zaken nog niet goed op orde zijn.
Technologie, ook super belangrijk natuurlijk, want met nieuwe technologie...
...kan je ook fantastische cybersecurity dingen doen.
Ik hoor heel vaak terug dat privacy een issue is.
Zeker als het gaat om organisaties die data...
...distribueren of verstrekken aan andere organisaties.
Dan is privacy natuurlijk een belangrijk aspect.
Maar wist u dat er tegenwoordig technologie is waarbij dus helemaal
niet meer nodig is om die data van A naar B te brengen?
Dat heet dan met een mooi woord: ''Privacy Enhancing Technology''.
Een hele nieuwe techniek binnen die brede scala aan PET-technologieën is...
Secure MPC: Secure Multi Party Compitation.
Cryptografische technieken die het mogelijk maakt dat de data...
...helemaal niet meer van A naar B moet,
maar dat als B toegang moet hebben tot de data van A,
die data gewoon bij organisatie A kan blijven staan en de onderzoekers
bij organisatie B via cryptografische technieken alleen dat stukje...
...data krijgen waarop ze onderzoek willen plegen wat voor hen nodig is.
Een hartstikke veilige en ook hartstikke privacy vriendelijke methodiek.
Ja, dan de NEN 7510.
Ik zie, wij zien binnen Z-CERT toch heel vaak dat het een beetje een moetje is.
Het staat in de wet en het is toch een beetje:
we moeten dat nou eenmaal doen.
En dus wordt het toch ook vaak beschouwd als een soort van vinken-lijst. En dat is jammer.
En ik denk ook echt dat het meer moet zijn dan compliancy.
Wat belangrijk is, dat je de normen snapt, dat je de maatregelen implementeert,
maar dat je ze vooral ook test, test, test.
En dat kan zijn op allerlei manieren, door een externe partij te vragen om te kijken...
...of de weerbaarheidsmaatregelen van voldoende kwaliteit zijn.
Je kan het ook nog wat extremer aanpakken door te red teamen.
Red Teaming is een een nieuwe methodiek waarbij...
...een bedrijf dezelfde middelen gebruikt als de aanvallers in de praktijk doen...
...en waarbij ook live wordt geprobeerd om een bepaald doel te realiseren.
Heel goed te doen en ook vooral heel erg leerzaam om te doen.
Maar als u dan toch bezig bent, vergeet u dan vooral ook niet
alleen naar uw eigen organisatie te kijken, maar ook naar belangrijke toeleveranciers.
En dat kunnen er heel veel zijn.
Dat kunnen zijn leveranciers die op afstand uw systemen of applicaties monitoren,
maar het kan zelfs gaan om tooling
die beheerd wordt door andere bedrijven.
Denk aan boekhoudkundige applicaties.
Wat wij gezien hebben is dat steeds vaker aanvallen via de zijflanken,
via die ketens binnenkomen en daarmee een heel naar en groot...
...bereik hebben binnen onder andere de zorgsector.
We hadden het over ketens, hier ziet u...
...een flink aantal van die ketenpartners waar wij binnen Z-CERT mee van doen hebben.
Dat zijn er best wel veel.
Misschien wel aardig om te noemen is dat...
...wij bezig zijn om met een groot aantal van deze bedrijven partnerships aan te gaan.
Zo hebben wij vorig jaar het soort detectie netwerk in het leven geroepen.
Dat is een een netwerk ten behoeve van onze deelnemers waarin wij...
...kwetsbaarheden informatie zo snel mogelijk bij onze deelnemers...
...geautomatiseert proberen te krijgen.
Wij zetten dan zogeheten Indicators of Compromise op,
bijvoorbeeld een malafide IP-adres.
Dat wordt op dat netwerk gezet en wordt direct dan in het...
...detectiesysteem van onze aangesloten deelnemer gestopt.
Op dit moment zijn al een kleine honderd organisaties aangesloten
op het zorgdetectie-netwerk. En wij kregen in het begin toch wel...
...vaak te horen van:
''De monitoring van ons systeem, dat doen we niet zelf,
dat doet een derde partij'',
een zogeheten managed security provider.
En toen hebben wij gezegd, dat is dat is goed om te weten,
want wij kunnen natuurlijk ook die derde partij aansluiten op het soort detectie netwerk.
Op dit moment zijn zeven security partners al aangesloten op
dat zorgdetectie-netwerk en de verwachting is dat dat er...
...in de toekomst nog veel meer worden.
Voorzitter van de informatieraad: Erik Gerritsen. Hij was bij ons...
...tijdens ons symposium op 1 februari aanwezig. En dit waren zijn woorden:
"Informatiebeveiliging hoort thuis in de bestuurskamer...
...en de chefsache is de verantwoordelijkheid van de bestuurder, niet meer en niet minder.''
En daar kan ik me alleen maar van harte bij aansluiten.
Tot slot de laatste slide: de taken van de bestuurder.
De vier bekende B's zoals die gepromoot worden door het ministerie.
Bewust worden, heel belangrijk.
En mijn vraag en ook verzoek aan u als bestuurder:
Vraag, vraag, vraag.
Vraag aan uw Information Security Officer. Vraag aan uw IT-manager.
Vraag aan een toeleverancier: ''Hoe heb je het geregeld?''
Tweede is: zorg dat er voldoende aandacht komt,
maar ook voldoende budget komt voor beveiliging.
De Cyber Security Raad heeft een paar jaar geleden de uitspraak gedaan...
...dat 10 procent van het IT-budget besteed moet worden aan cyber security.
Dat zou dus wel eens de eerstvolgende vraag van u kunnen zijn. Bewaken, monitoren.
Ik heb het al genoemd in de twee casussen bij Twente en bij Maastricht.
Heel, heel erg belangrijk, zorg dat die monitoring op orde is en
zorg dat daarover naar u wordt gerapporteerd. En tot slot het blussen.
Ik hoop dat het niet hoeft, maar als het dan toch een keer moet.
Zorg dat u alles op orde hebt en het een keer geoefend hebt,
want als je oefent weet je zeker dat je de dingen goed van tevoren...
...hebt doorleefd en doorgesproken.
Daarmee ben ik aan het einde gekomen van mijn presentatie.
Hartelijk dank voor het kijken en mochten er nog vragen zijn,
dan kunt u ons altijd in Amersfoort benaderen. Dank u wel.