Het venijn van een cyberaanval zit ‘m niet in de spreekwoordelijke staart, maar in de kop. Neem je in het begin zo min mogelijk verkeerde beslissingen en hanteer je een goed doordachte aanpak, dan voorkom je dat het incident alleen maar groter wordt. Bovendien bescherm je zo je data en de continuïteit van je dienstverlening. Daar komt nog bij dat de Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de Europese NIS2-richtlijn, je verplicht te weten wat je moet doen in een crisissituatie. Met name in die cruciale eerste 72 uur.
Daarom zetten we hier voor je op een rij wat je in die eerste minuten, uren en dagen doet. Dat doen we aan de hand van een voorbeeld uit de praktijk: een cyberaanval op een zorgorganisatie.
1. Het eerste half uur
Stel, je zorgorganisatie ontdekt vroeg in de ochtend dat de elektronische dossiers ineens onbereikbaar zijn. Zorgprofessionals kunnen niet verder, medicatieoverzichten zijn niet beschikbaar. Het is vrijwel zeker dat het een cyberaanval is. De automatische reactie is dan vaak: ingrijpen! Systemen uitzetten of isoleren, gebruikers in quarantaine plaatsen of het netwerk dichtzetten. ‘Niet zomaar ondoordacht doen,’ waarschuwt Willem. ‘Zolang onduidelijk is wat er is gebeurd en hoe, kan je per ongeluk cruciaal bewijsmateriaal verwijderen. En dat bemoeilijkt het forensisch onderzoek. Ook kan je met dit soort mitigerende handelingen eventuele aanvallers in de systemen alarmeren. Met als gevolg dat ze hun werkwijze aanpassen of versnellen.’
In die eerste minuten maak je daarom vooral de inschatting óf je het incident zelf kan overzien. Weet je hoever de inbrekers gekomen zijn en welke systemen aangevallen zijn? En vooral: heb je de expertise in huis om die inschatting goed te maken? Zo ja, zorg dan dat je securitymensen eerst goed overzicht hebben en de reikwijdte van de aanval kunnen overzien. Pas dan ga je in de actiemodus.
Twijfel je? Ga dan vooral niet zelf dokteren en schakel zo snel mogelijk een gespecialiseerde partij in. Willem: ‘Die kan voorkomen dat je de verkeerde dingen doet en de inbrekers wijzer maakt dan ze al zijn. Bel je externe specialist wel zo snel mogelijk, zodat ze meteen aan de slag kunnen. Elke minuut telt immers wanneer hackers je patiënt- of cliëntdata naar buiten sluizen of systemen proberen te versleutelen.’
2. Het eerste etmaal
Je security- en incidentresponsspecialisten zijn de eerste 24 uur hard aan het werk om grip te krijgen op de scope van de aanval. Tegelijk is er geen minuut te verliezen. Geen makkelijke afweging, weet Willem uit ervaring. Toch moet je juist dan het hoofd koel houden. ‘Wanneer je in dat belangrijke eerste etmaal een kostbaar uur verspilt aan iets dat uiteindelijk maar 1% impact heeft, terwijl je ook 3 uur kan spenderen aan iets dat 15% impact heeft, dan is de keuze – achteraf – snel gemaakt. Dat maakt het zo essentieel dat je die eerste 24 uur goed weet wat je doet.’
Willem: ‘Met forensisch onderzoek kunnen je specialisten ontdekken of ze de scope goed te pakken hebben. Simultaan isoleren ze de systemen en omgevingen waarvan ze een sterk vermoeden hebben dat ze betrokken zijn bij de hack. Een continue cirkelbeweging dus, van onderzoeken en isoleren. Die in de dagen en zelfs weken hierna nog doorgaat, want in een etmaal kan je niet alle systemen van een ziekenhuis of zorgorganisatie doorlopen.’
Bestuurders hebben in die eerste 24 uur bovendien advies nodig over de impact op de organisatie en de continuïteit van zorgverlening. Welke systemen en processen lopen gevaar? Wie moeten we direct informeren? Wat staat er op het spel? Een multidisciplinair team wordt samengesteld. Naast je bestuurders, zijn dat bijvoorbeeld ook zorgmanagers en de afdeling juridische zaken: de verplichte eerste melding van een cyberincident bij de toezichthouder(s) moet volgens de Cbw namelijk binnen 24 uur gebeuren. Woordvoerders of communicatiespecialisten moeten een eerste reactie aan de pers kunnen geven.
Van Cbw naar echte weerbaarheid
Ben jij klaar voor een cyberincident? De Cyberbeveiligingswet (Cbw), gebaseerd op de NIS2-richtlijn, verplicht organisaties om hun digitale weerbaarheid op orde te brengen. Zo moet je een cyberaanval tijdig kunnen detecteren en er snel op kunnen reageren, zodat de schade beperkt blijft. Ook moet je een ernstig incident binnen 24 uur melden. Maar hoe pak je dat in de praktijk aan?
3. Dag 2 en 3
Terwijl je security- en incidentresponsspecialisten werken aan de continue cirkelbeweging van onderzoeken en isoleren, kunnen de andere disciplines nu ook volop aan de slag. Zij krijgen van het crisisteam of het CSIRT de benodigde informatie voor alle vervolgacties. Zo brengt personeelszaken of het zorgmanagement de gevolgen voor de zorgteams en individuele zorgprofessionals in kaart. Welke zorg- en werkprocessen zijn geraakt door de hack? Zijn er ook persoonlijke gegevens van zorgprofessionals gestolen? En wat hebben zorgprofessionals en -teams nodig om wel veilig te kunnen werken?
Communicatie onderzoekt welke patiënt- of cliëntgroepen geïnformeerd moeten worden. Ook schatten zij in wat de eventuele reputatieschade is, hoe ze de pers gaan informeren en hoe ze, eventueel samen met leveranciers en samenwerkingspartners, zo goed mogelijk de maatschappelijke omgeving kunnen informeren.
Nadat de eerste Cbw-melding binnen het eerste etmaal is gedaan, zorgt juridische zaken nu voor de verplichte (vervolg)melding na 72 uur. Dit keer is dat zowel voor de Cbw als voor de AVG verplicht. Bij een cyberaanval, zeker met gijzelsoftware, is de kans namelijk groot dat er persoonlijke gegevens, van patiënten, cliënten of zorgprofessionals zijn gelekt. Daarom moet je ook binnen 72 uur een melding doen bij de Autoriteit Persoonsgegevens (AP). Hoe eerder, hoe beter: wanneer je binnen 72 uur zekerheid kan aangeven dat patiënt- of cliëntdata veilig zijn, bespaart je dat weer een publieke melding.
En erna
Na een maand maak je een eerste volledig rapport op, in lijn met zowel de Cbw- als de AVG-verplichtingen. Heb je een externe specialist ingeschakeld, dan ontvang je doorgaans een rapport van hen. Stop dit niet in een la, want doorgaans zit het vol handige aanbevelingen en praktische tips. Dat dit rapport meer is dan ‘nice-to-have’ laat de herhaalinbraak wel zien: het zal niet de eerste keer zijn dat een organisatie die al eens aangevallen is, na 3 tot 4 maanden opnieuw het slachtoffer wordt van een aanval.
Willem: ‘Een organisatie die eenmaal gehackt is, is een interessant doelwit voor nieuwe hacks. Meestal zijn er data gestolen die veel vertellen over de getroffen zorgorganisatie. Daarnaast hebben de IT’ers van de zorgorganisatie maandenlang keihard gewerkt om de gevolgen onder controle te krijgen. De aandacht verslapt. Omdat de financiële impact groot kan zijn, is na 3 tot 4 maanden ook het budget op. Voor hackers, dezelfde of andere groepen, dus een uitgelezen moment om het opnieuw te proberen. Zorg daarom dat je security goed op orde is, juist na een hack.’
Wat je ter voorbereiding doet
Natuurlijk, op het moment van een incident zelf zit je niet te wachten op een lijstje ‘wat je had kunnen doen’. Toch kan zo’n checklist je in de toekomst wel helpen. Dit zijn de belangrijkste zaken:
- Maak een praktisch crisisplan (dat is volgens de Cbw ook verplicht) waarbij je alle disciplines betrekt.
- Zorg ervoor dat iedereen weet wat z’n rol is, zodat je op het moment zelf in de hectiek niet de verkeerde dingen doet.
- Zet het plan centraal zwart op wit (op papier en digitaal), zodat je in een crisissituatie direct het plan erbij kan pakken.
- Neem daarin ook contactgegevens van interne en externe specialisten op, zodat je ze direct kan bellen.
- Doe, net als je voor brandgevaar doet, geregeld oefeningen.
- Organiseer dat je binnen 15 minuten de inschatting kan maken: kan ik dit zelf aan of schakel ik externe expertise in?
- Breng de basishygiëne van je security op orde, en laat de maatregelen uit de Cbw je daarbij helpen.
- Lobby van tevoren voor voldoende budget: tijdens een crisis moet je dat budget snel kunnen vrijmaken.
