De hernieuwde oproep van de FBI voor het delen van dreigingsinformatie

De FBI vraagt zorgorganisaties iets te doen wat veel van hen van oudsher vermijden: openlijk praten over de cyberaanvallen die ze hebben meegemaakt. Volgens berichtgeving dringt het bureau er bij zorginstellingen op aan om te delen wat ze weten over de dreigingen waarmee ze te maken hebben gehad, nu ransomware-aanvallen op de sector in een gestaag tempo doorgaan. De boodschap is duidelijk. Wanneer een ziekenhuis of kliniek wordt getroffen door een ransomware-bende, kunnen de tactieken, tools en indicatoren van compromittering die bij die aanval zijn gebruikt, andere organisaties helpen zichzelf te verdedigen, maar alleen als die informatie daadwerkelijk wordt doorgegeven.

Dit is geen nieuw idee binnen de cybersecuritywereld. Wetshandhavingsinstanties stellen al lang dat het delen van dreigingsinformatie fungeert als een early-warningsysteem voor een hele sector. Als een ziekenhuis in de ene staat een phishingcampagne of een specifiek type ransomware identificeert, en die informatie de FBI bereikt en wordt verspreid onder andere zorgaanbieders, kan dat het tijdsbestek verkleinen waarin aanvallers dezelfde tactiek elders kunnen misbruiken. De hernieuwde nadruk van de FBI hierop suggereert dat de informatie, ondanks jaren van waarschuwingen, nog steeds niet zo vrijelijk stroomt als onderzoekers zouden willen.

Waarom zorgorganisaties zwijgen

Het is redactioneel gezien de moeite waard om te vragen waarom zorgorganisaties überhaupt aarzelen om details van aanvallen te delen. Er zijn praktische redenen die verder gaan dan simpele terughoudendheid. Het melden van een aanval kan regelgevend toezicht uitlokken, vragen oproepen bij patiënten en partners en de deur openen voor rechtszaken. IT- en juridische teams van ziekenhuizen handelen vaak behoedzaam en wegen openbaarmakingsverplichtingen af tegen reputatierisico's. In een sector die toch al onder druk staat wat betreft cybersecurity-personeel en -budget, kan de extra stap om dreigingsdetails te verzamelen en te delen met wetshandhaving of branchegenoten simpelweg lager op de prioriteitenlijst belanden, zeker in de acute chaos van de reactie op een lopende inbreuk.

Dit betekent allemaal niet dat zorgorganisaties te kwader trouw handelen. Het betekent dat de prikkels rond openbaarmaking ingewikkeld zijn, en dat het beroep van de FBI in wezen een poging is om die calculus te verschuiven door te stellen dat gedeelde inlichtingen iedereen ten goede komen, inclusief de organisatie die deelt. Deze dynamiek is niet uniek voor ziekenhuizen. Beheerders van kritieke infrastructuur worden met een vergelijkbare spanning geconfronteerd, zoals te zien was toen CISA waarschuwde voor een toename van aanvallen op PLC's van waterbedrijven, een andere sector waar het tijdig delen van informatie tussen beheerders en federale instanties wordt beschouwd als een frontlinieverdediging in plaats van een bijzaak.

De kostprijs van stilzwijgen voor patiënten en consumenten

Wanneer zorgorganisaties zwijgen over de cyberdreigingen waarmee ze worden geconfronteerd, zijn het uiteindelijk de patiënten die het risico dragen. Medische dossiers bevatten enkele van de meest gevoelige persoonsgegevens die er bestaan, van diagnoses en behandelgeschiedenissen tot verzekerings- en factureringsinformatie. Een vertraagde melding van een datalek, of een gebrek aan gedeelde inlichtingen die een tweede aanval hadden kunnen voorkomen, vertaalt zich direct in meer blootgestelde dossiers en meer mensen die in het ongewisse blijven over hun eigen gegevens.

Dit patroon van trage of onvolledige openbaarmaking beperkt zich niet tot de gezondheidszorg. Het duikt op wanneer organisaties transparantie afwegen tegen reputatiezorgen op de korte termijn, zoals te zien was in zaken als de door de Handala-groep opgeëiste inbreuk bij VAE-overheidsinstanties, waar de omvang van een inbreuk publiek wordt via de eigen claims van de aanvaller in plaats van via proactieve openbaarmaking. Los daarvan bleek uit een onderzoek van Proofpoint dat organisaties die losgeld betalen vaak opnieuw doelwit worden, een herinnering dat een stille, reactieve aanpak van ransomware-incidenten zelden de onderliggende kwetsbaarheid oplost, of er nu losgeld wordt betaald of niet.

Wat dit voor u betekent

Als u patiënt bent bij een zorgaanbieder, hebt u waarschijnlijk beperkt zicht op hoe goed die organisatie dreigingsinformatie deelt of ransomware-incidenten intern afhandelt. Maar er zijn nog steeds stappen die binnen uw controle liggen. Vraag uw zorgaanbieders naar hun beleid voor gegevensbeveiliging en melding van datalekken. Schenk aandacht aan meldingsbrieven over datalekken wanneer deze arriveren en onderneem snel actie in plaats van ze opzij te leggen. Overweeg om sterke, unieke wachtwoorden te gebruiken voor patiëntportalen en om multi-factor authenticatie in te schakelen overal waar deze wordt aangeboden. Encryptie van gegevens, zowel tijdens verzending als opgeslagen, samen met beveiligde tools voor externe toegang zoals VPN's voor zorgmedewerkers die buiten de traditionele netwerkgrenzen werken, speelt een rol bij het verkleinen van het aanvalsoppervlak dat ransomware-groepen in de eerste plaats misbruiken.

Concrete aanbevelingen

De oproep van de FBI aan zorgorganisaties om cyberdreigingsinformatie te delen, legt een structurele kloof bloot die iedereen treft die verbonden is met het zorgsysteem, niet alleen IT-afdelingen. Zolang ransomware-aanvallen ziekenhuizen en klinieken blijven viseren, kan snellere en meer open communicatie over dreigingen leiden tot minder succesvolle aanvallen in de toekomst. In de tussentijd kunnen patiënten zichzelf beschermen door meldingen van datalekken nauwlettend in de gaten te houden, sterke authenticatie te gebruiken op elk medisch portaal en aanbieders directe vragen te stellen over hun cybersecurity-praktijken. Het delen van dreigingsinformatie is misschien een beleidsdiscussie die op institutioneel niveau plaatsvindt, maar de impact in de echte wereld komt rechtstreeks terecht bij de mensen wier gegevens op het spel staan.