Wat is er gebeurd?
Op de jubileumconferentie van de ziekenhuis-IT-leidinggevenden in Berlijn presenteerden Prof. Sebastian Schinzel en Nico Brüggemann van het Fraunhofer-instituut voor Beveiligde Informatietechnologie (SIT) een crisissimulatie van een cyberaanval op een fictief, voor Duitsland typisch ziekenhuis. In een seminar namen 23 deelnemers 12 rollen op zich – van IT en directie tot medische leiding en verpleging, tot informatiebeveiliging en crisisteam. Doel was te onderzoeken of een instelling handelingsbekwaam blijft wanneer de IT volledig uitvalt.
Daarbij werd niet de techniek zelf gesimuleerd, maar de organisatorische reactie – met realistische firewall-uittreksels, passende namen, domeinen en netwerken, evenals zogenoemde injects, dat wil zeggen ingevoerde gebeurtenissen zoals persvragen of systeemstoringen.
De details
De gesimuleerde aanval begint onopvallend: met klassiek OSINT-onderzoek (Open Source Intelligence) verzamelt de aanvaller via de website van het ziekenhuis e-mailadressen, namen, functies en aanwijzingen voor externe systemen. Op basis daarvan wordt een op maat gemaakte phishingmail opgesteld. In het scenario trapt een IT-medewerker met beheerdersrechten erin. De aanvaller gebruikt vervolgens de VPN-toegang, scant het netwerk, vindt een Exchange-server en buit daar inloggegevens uit. Vanaf dat punt geldt volgens Brüggemann in principe het hele Active Directory als gecompromitteerd.
Daarna volgt de escalatie: verdachte logs, datalekken, uitvallende systemen zoals het ziekenhuisinformatiesysteem, radiologie- en laboratoriumsystemen – en ten slotte een afpersingsbrief.
In de oefening functioneerde de escalatieketen van beheerder via IT-leiding en informatiebeveiligingsfunctionaris (ISB) tot aan de directie goed, evenals duidelijke principebesluiten zoals geen losgeld betalen en het huis van internet afsluiten. Moeilijker was de terugweg: het crisisteam werd een eenrichtingsstraat, informatie stroomde erin, maar nauwelijks terug. IT-medewerkers zaten soms zonder kennis van de genomen besluiten in de ruimte ernaast.
Een centraal resultaat betrof de documentatie: tijdens de oefening vroeg iemand naar een maatregel die al lang besloten was – alleen had niemand het vastgelegd. Ook de reflexreactie om onmiddellijk alles uit te schakelen, bleek problematisch: een ongecontroleerde uitschakeling vernietigt forensische sporen, bovendien is vaak onduidelijk welke systemen op dat moment dringend nodig zijn, bijvoorbeeld tijdens een operatie. De betere maatregel is meestal gerichte netwerksegmentatie.
Valt de IT uit, dan vallen ook onzichtbare processen weg: opname, bevindingen, beeldarchief, medicatie, dienstrooster, voedselvoorziening. In de oefening ging het daarom ook over boodschappenlopen, ploegenwissels en pragmatische oplossingen zoals het uitbetalen van salarissen ter hoogte van de vorige maand, omdat een herberekening niet mogelijk was.
Context
Schinzel, die al meer dan 20 jaar actief is in de IT-beveiligingswereld en vroeger zelf penetratietester was, benadrukte: "Ik heb zo'n dynamiek nog nooit eerder meegemaakt." Hij wees op een mogelijke toekomstige dreiging door malware die toegang heeft tot een LLM en zich zelfstandig aanpast – dan zou ook het klassieke tegenmiddel, het afsluiten van de internetverbinding, mogelijk niet meer werken, bijvoorbeeld wanneer aanvallers intern een GPU vinden waarop ze een klein model kunnen draaien.
Eigen ervaring brengt Schinzel mee uit de ransomware-aanval op de FH Münster in 2022. Van andere getroffen hogescholen hoorde hij hoe crises kunnen ontsporen: ontslagen IT-leidinggevenden, afdelingen die juist dan niet meer met elkaar praten wanneer communicatie van levensbelang is.
Bijzonder veelzeggend is de bevinding over de hersteltijd: teams schatten de terugkeer naar normale werking vaak op dagen, realistisch zijn echter weken tot maanden. Een geval uit de regio Frankfurt, dat Brüggemann kent, had ongeveer een jaar nodig om terug te keren naar de oorspronkelijke staat – en daarbij was zelfs niet versleuteld, maar alleen het Active Directory gecompromitteerd. Back-ups blijven weliswaar onmisbaar, maar lossen het probleem van een gecompromitteerde infrastructuur niet op.
Praktijktips
- Organiseer het crisisteam als tweerichtingscommunicatie: er zijn mensen nodig die voortdurend van ruimte naar ruimte gaan en alle betrokkenen op de hoogte houden.
- Definieer vaste rollen voor notulen en situatiebeeld: wie documenteert besluiten, wie beheert de maatregelenlijst, wie informeert intern en extern?
- Koppel rollen aan vervanging in plaats van aan namen, omdat personen kunnen uitvallen.
- Schakel niet reflexmatig alles uit – controleer in plaats daarvan gerichte netwerksegmentatie en behoud forensische sporen.
- Bereid analoge noodprocessen voor opname, medicatie, dienstrooster en voedselvoorziening voor, voor het geval e-mail, Teams en telefonie uitvallen.
- Plan realistische tijdshorizonten voor herstel – weken tot maanden in plaats van alleen dagen.
Vooruitblik
De simulaties zijn wetenschappelijk opgezet: processen en beslissingen worden geëvalueerd, deelnemende instellingen ontvangen een eindrapport. Fraunhofer SIT zoekt momenteel meer ziekenhuizen als studiedeelnemers. De scenario's worden vooraf via een vragenlijst aangepast aan de betreffende IT-omgeving, maar blijven onderling vergelijkbaar. Brüggemann benadrukte tegenover heise online dat alleen met een groter aantal oefeningen uiteindelijk betrouwbare gegevens kunnen worden verkregen. De feedback van de deelnemers vloeit daarbij rechtstreeks door in de verdere ontwikkeling van simulatie en noodprocessen.
Voor de ziekenhuis-IT-sector levert de oefening daarmee belangrijke impulsen op: informatiebeveiliging kan niet simpelweg worden gedelegeerd aan de IT-afdeling, maar raakt de hele organisatie – van verpleging tot directie. Juist bij samenwerkingsverbanden met meerdere locaties wordt de situatie in een noodgeval snel complex, zoals een deelneemster van de oefening samenvatte.
