Volgens Internet Cleanup Foundation maakt een kwart van de Nederlandse ziekenhuizen en GGD’s geen gebruik van basale beveiligingsstandaarden voor hun websites en mailservers. Dat kan leiden tot diefstal van gegevens. De stichting onderzocht bijna 5900 domeinen van 116 ziekenhuizen en GGD’s.

De meerderheid van de onderzochte zorginstellingen maakt gebruik van beveiligingsstandaarden zoals https, dnssec, starttls, spf, dkim, dmarc en hsts. Maar bij een kwart is dit niet of niet altijd het geval. Zo trof de stichting 67 ftp-sites aan, waarbij gegevens zonder versleuteling worden verstuurd en was voor 137 websites geen https ingesteld. Ook stond dmarc bij 508 domeinen niet ingesteld, wat de organisaties kwetsbaar maakt voor verdachte e-mails, zoals die waarbij de afzender wordt vervalst (spoofing).

Uiterst privacygevoelig
Binnen de zorg worden uiterst privacygevoelige gegevens verwerkt en dat gaat volgens de stichting niet altijd even zorgvuldig. Zo werden geregeld projectdomeinen aangetroffen die te maken hebben met specifieke aandoeningen, zoals de ziekte van Alzheimer, galblaas of depressie. Het gaat dan om aparte domeinen, die los staan van de algemene website van de instelling en onder een apart beleid lijken te vallen. Volgens ethisch hacker Elger Jonker, voorzitter van de stichting, is het beter om alle informatie te integreren, zodat alles kan voldoen aan het gestelde basisniveau voor de beveiliging.

Maatregelen
Voordat de kwetsbaarheden binnen de zorg naar buiten werden gebracht, werden de betreffende zorginstellingen van Z-Cert geïnformeerd door Internet Cleanup Foundation. Dan konden tijdig maatregelen worden getroffen. Veel instellingen stelden het op prijs, dat zij geattendeerd werden op de gebrekkige beveiliging, maar er was ook verbazing. Van sommige domeinen was niet eens bekend dat deze nog bestonden. Via het door de stichting opgezette Basisbeveiliging.nl is te zien hoe de instellingen ervoor staan. Dat wordt dagelijks gemeten. De kleuren rood, oranje en groen geven het beveiligingsniveau per instelling aan. Zo is te zien dat het Centraal Militair Hospitaal in Utrecht de zaken prima op orde heeft, maar dat bij het op dezelfde locatie gevestigde UMC Utrecht nog wel het een en ander te verbeteren valt. Bij het eveneens in de Domstad gevestigde Diakonessenhuis staat de meter zelfs grotendeels op rood. Het ‘slechtste jongetje uit de klas’ is het UMC Groningen.