Cybersecuritymaand: wat als een cruciaal systeem opeens niet meer beschikbaar is?

In deze Cybersecuritymaand besteedt ZKN extra aandacht aan cybersecurityonderwerpen. Deze week: wat gebeurt er als het EPD of een ander cruciaal systeem ineens niet meer beschikbaar is?

Wanneer organisaties denken aan cybersecurity gaat de aandacht vaak uit naar hackers, ransomware of datalekken. Maar de belangrijkste vraag is misschien wel een andere: kan de zorg doorgaan als een cruciaal systeem uitvalt?

De oorzaak van een verstoring maakt uiteindelijk weinig verschil. Of een systeem uitvalt door een cyberaanval, een technische storing, een software-update of een probleem bij een leverancier: de gevolgen kunnen direct merkbaar zijn voor patiënten, medewerkers en de dagelijkse bedrijfsvoering.

Digitale zorg betekent digitale afhankelijkheid

Vrijwel iedere kliniek maakt gebruik van digitale systemen voor planning, dossiervoering, diagnostiek, gegevensuitwisseling en communicatie. Die digitalisering biedt veel voordelen, maar creëert ook afhankelijkheden. Een verstoring van het EPD kan gevolgen hebben voor:

• de beschikbaarheid van patiëntinformatie;
• het afsprakenproces;
• overdrachten en gegevensuitwisseling;
• declaratieprocessen;
• communicatie met zorgverleners en patiënten.

De vraag is daarom niet óf een verstoring ooit optreedt, maar hoe goed de organisatie daarop is voorbereid.

Weet iedereen wat hij moet doen?

Veel organisaties beschikken over procedures voor calamiteiten en incidenten. In de praktijk blijkt echter regelmatig dat deze documenten vooral bekend zijn bij een beperkte groep medewerkers. Wanneer een systeem uitvalt, ontstaat vaak direct behoefte aan antwoorden:

• Wie neemt de leiding?
• Wie informeert medewerkers?
• Wanneer wordt de leverancier ingeschakeld?
• Welke zorgprocessen krijgen prioriteit?
• Wanneer wordt een incident opgeschaald?

Juist vooraf duidelijkheid creëren over rollen en verantwoordelijkheden voorkomt onrust op het moment dat iedere minuut telt.

Is er een werkbaar alternatief beschikbaar?

Veel klinieken beschikken over noodprocedures, maar deze zijn niet altijd actueel of praktisch toepasbaar. Een eenvoudige toets is daarom om de volgende vraag te stellen: kunnen wij morgenochtend onze belangrijkste zorgprocessen voortzetten als het EPD niet beschikbaar is? Denk daarbij bijvoorbeeld aan:

• patiëntidentificatie;
• het raadplegen van essentiële patiëntinformatie;
• het vastleggen van zorgactiviteiten;
• communicatie binnen de organisatie;
• het plannen en verwerken van afspraken.

De antwoorden geven vaak snel inzicht in de grootste kwetsbaarheden.

Hoe afhankelijk bent u van leveranciers?

Cyberaanvallen en storingen beperken zich niet tot de eigen organisatie. Een incident bij een softwareleverancier, hostingpartij of ketenpartner kan eveneens gevolgen hebben voor de dienstverlening van een kliniek. Daarom is het verstandig om periodiek stil te staan bij vragen als:

• Welke processen zijn afhankelijk van externe leveranciers?
• Welke afspraken zijn gemaakt over beschikbaarheid en ondersteuning?
• Wie is bereikbaar bij een ernstige verstoring?
• Worden incidenten en risico's actief met leveranciers besproken?

Ook vanuit wet- en regelgeving wordt steeds meer aandacht gevraagd voor risico's binnen de keten.

Heeft u het scenario ooit geoefend?

De meest waardevolle voorbereiding begint vaak niet met een nieuw document, maar met een gesprek. Een korte tafelsessie met management, staf en proceseigenaren levert vaak direct nuttige inzichten op. Leg bijvoorbeeld het volgende scenario op tafel:

"Het is maandagochtend 08.00 uur. Het EPD is niet beschikbaar en de leverancier kan nog niet aangeven wanneer het probleem is opgelost. Wat doen we?"

Binnen een half uur wordt vaak duidelijk welke afspraken goed zijn geregeld en waar nog aanvullende maatregelen nodig zijn.

Van reageren naar voorbereiden

Cyberweerbaarheid gaat niet alleen over het voorkomen van incidenten. Het gaat ook over het vermogen om de zorg te blijven leveren wanneer er iets misgaat. Voor managers en stafmedewerkers ligt hier een belangrijke verantwoordelijkheid. Door regelmatig stil te staan bij afhankelijkheden, noodprocedures en verantwoordelijkheden kan een verstoring worden teruggebracht van een crisis naar een beheersbaar incident.

De vraag is niet of een systeem ooit uitvalt. De vraag is hoe goed uw organisatie daarop is voorbereid.

ZKN Academie over informatieveilig gedrag in de zorg

ZKN sluit de Cybersecuritymaand af met een ZKN Academie verzorgd door het programma Informatieveilig gedrag in de Zorg. Op 27 oktober a.s. worden deelnemers tijdens een lunchsessie meegenomen in de kansen en risico’s rond AI en de stappen die zorgondernemers kunnen zetten om AI veilig in te zetten binnen de kliniek.

Meer informatie en direct aanmelden voor de ZKN Academie op 27 oktober.