IT-beveiliging van veel tandartspraktijken is niet op orde

De IT-omgevingen van veel tandartspraktijken zitten vol beveiligingsgaten. Tijdens de frequent uitgevoerde IT security checks komt naar voren dat ofwel tandartsen zelf hun IT-voorzieningen inrichten en onderhouden, ofwel deze werkzaamheden uitbesteden aan partijen in de vrienden- of familiekring. En daar waar wel bedrijven werden ingehuurd, bleken die externe IT-partners de ICT-omgeving dusdanig complex te hebben ingericht, dat zelfs zij het totaalplaatje niet meer overzien. Dat maakt het inregelen van de veiligheidsmaatregelen moeizaam en zorgt voor gaten in een netwerk.

Dit blijkt uit onderzoek van ICT-dienstverleners Qfast, die frequent IT security checks uitvoert bij tandartspraktijken in Nederland. Ook zijn er IT-partijen die het veiligheidsniveau te laag hebben ingericht omdat zij simpelweg geen ervaring hebben met het leveren en onderhouden van een volwaardig bedrijfsnetwerk. Qfast concludeert dat IT-omgevingen van tandartspraktijken in veel gevallen zijn verwaarloosd, wat het risico op cyberaanvallen en datalekken vergroot. Dit terwijl dergelijke incidenten een fors risico kunnen vormen voor de bedrijfsvoering van de praktijken.

Grootste tekortkomingen

Uit de IT-checklists en rapporten is een lijst samengesteld met de top 10 grootste tekortkomingen:

1. Windows OS update. 90% heeft dit niet op orde.
2. Antivirus. 85% heeft dit niet op orde.
3. Remote / Thuiswerken. 76% heeft dit niet op orde.
4. Back-up. 71% heeft dit niet op orde.
5. WiFi. 70% heeft dit niet op orde.
6. Verontreinigde disks. 69% heeft dit niet op orde.
7. Verouderde applicatie software. 63% heeft dit niet op orde.
8. Toegangscontrole. 59% heeft dit niet op orde.
9. Niet gebruikte/relevante/onveilige software. 58% heeft dit niet op orde.
10. Fysieke systemen. 45% heeft dit niet op orde.

Forse risico’s

Qfast waarschuwt dat de slechte IT-beveiliging van veel tandartspraktijken risico’s met zich mee brengt. Het meest voor de hand liggende risico heeft betrekking op de meldplicht datalek. Na de introductie van 1 januari 2016 is men zich nog steeds onvoldoende bewust dat de aanwezigheid van een oude Windows server 2003 in het bedrijfsnetwerk van een tandartspraktijk direct gemeld moet worden aan de Autoriteit Persoonsgegevens (AP). Deze verplichting geldt overigens niet alleen voor verouderde systemen, maar ook voor nieuwere systemen waarbij onder andere updates zijn uitgeschakeld of standaard niet automatisch worden doorgevoerd. Ook meldt Qfast dat verschillende praktijken te maken hebben gehad met ransomware.