Met ruim veertig locaties en labels als Xpert Clinics, Xpert Handtherapie, Velthuis kliniek en Cosmedic heeft Equipe Zorgbedrijven een complexe ICT-omgeving. Aandacht voor cyberbeveiliging is essentieel. Dit valt onder de verantwoordelijkheid van security officer Xander van Bommel. Hij werkt op dit punt samen met Bastiaan Pex, accountmanager cybersecurity services bij Conscia, een Europese speler in cyberbeveiliging, netwerken en managed cloud services. Er is alle reden om het onderwerp cyberveiligheid serieus te nemen, vindt Van Bommel. “De dreiging wordt niet minder, eerder groter.” Normen en wetgeving zoals de NEN7510-norm en de aankomende Cyberbeveiligingswet NIS2 helpen om daarmee aan de slag te gaan. Deze kunnen dienen als een kapstok om beleid aan op te hangen, vindt Van Bommel. “De beleidsregels en normen staan hierin uitgeschreven. Ook zijn er tools beschikbaar om deze te waarborgen. Maar, heel eerlijk, collega’s op de werkvloer zullen het vooral als een extra administratieve last ervaren. Dit komt omdat ze gewoon meer moeten doen.” Hij is er beducht voor om zijn collega’s te veel te belasten. Reden waarom hij vindt dat het aantal trainingen behapbaar moet blijven. “Anders gaat het tegen je werken.”
Pijnpunten
Cyberveiligheid begint bij inzicht in wat jouw organisatie aan bestaande oplossingen, beleid en processen heeft ingericht, denkt Van Bommel. “Als je dat hebt, kun je sneller schakelen.” Een van de tools die Equipe, in samenwerking met Conscia, daarvoor gebruikt, is het zogeheten CIS-assessment. Pex legt uit wat dit precies inhoudt. “CIS staat voor Centre for Internet Security. Dat is een non-profit organisatie die best practices voor beveiligingsmaatregelen ontwikkelt. Het assessment kent achttien CIS-controls. Met dat middel kun je nagaan hoe weerbaar of kwetsbaar jouw veiligheidsmaatregelen zijn. Per domein wordt duidelijk of jij je zaakjes op orde hebt of niet. Het CIS-assessment biedt ook de mogelijkheid om jouw prestaties te benchmarken met vergelijkbare organisaties. Je ziet dan of je het beter of minder goed doet dan anderen.”
Volgens Van Bommel heeft het assessment hem meer inzicht gegeven: “Wij misten nog de nodige informatie. Na het assessment zagen we per control en subcategorie of we het al goed hadden ingericht of niet. Op een aantal dingen scoorden we goed, maar het bracht ook pijnpunten naar boven.” Van Bommel verwacht dat het assessment gaat helpen bij het maken van keuzes in de organisatie. “Voldoen aan veiligheidsnormen kost geld. Mede dankzij het assessment kunnen we dat inzichtelijk maken bij collega’s.”
Ongewenste AI
Equipe heeft ook nog een AI-assessment gedaan, vertelt Van Bommel. “We moeten met kunstmatige intelligentie gaan werken, maar de vraag is: hoe doen we dat veilig?” Het beleid bij Equipe is dat standaard met Copilot wordt gewerkt en dat ChatGPT niet gebruikt mag worden. Pex: “Het is belangrijk dat medewerkers zich houden aan de regels die de organisatie oplegt. Je moet het gebruik van ongewenste AI kunnen tegenhouden. Wij bieden oplossingen die dit kunnen reguleren en medewerkers helpen de toegestane AI-tools te gebruiken.” Uniform gebruik van ICT in een organisatie is voor de veiligheid essentieel, vindt ook Van Bommel. “Wij hebben standaardsystemen waar iedereen mee moet werken.” Dit moet duidelijk zijn, al helemaal bij bestuurders die een voorbeeldfunctie hebben. De aankomende cyberbeveiligingswet NIS2 gaat wat dat betreft een duw in de goede richting geven, vertelt Pex. Bestuurders moeten daardoor straks verplicht een training volgen en worden nadrukkelijker aansprakelijk gemaakt. Pex denkt dat, mede dankzij de nieuwe normen en wet, de bewustwording toeneemt. Dat is echter geen reden om achterover te leunen, want ook de bedreigingen nemen toe. Pex: “Ontwikkelingen, zoals AI, gaan razendsnel. Aanvallen duren geen dagen meer maar minuten. Dus blijft het belangrijk om inzicht te houden in hoe je ervoor staat en wat er op je afkomt.”
