Hoe organiseer je 24/7 security in de zorg, zonder twaalf specialisten in dienst?

Zorgorganisaties zijn continu digitaal verbonden. Met laboratoria, leveranciers, portalen, cloudomgevingen, medische systemen en externe dienstverleners. Die verbondenheid maakt zorg sneller en efficiënter, maar vergroot ook de afhankelijkheid van systemen en partijen buiten de eigen organisatie. 

Dat werd onder meer zichtbaar bij Bevolkingsonderzoek Nederland. Door een aanval op laboratoriumleverancier Clinical Diagnostics kreeg de organisatie te maken met een datadiefstal die 941.000 mensen raakte. Daarmee werd duidelijk hoe een incident bij één ketenpartner direct kan doorwerken naar de publieke gezondheidszorg. 

Tegelijkertijd stopt patiëntenzorg niet om vijf uur ’s middags. De digitale keten waarin die zorg plaatsvindt, draait dag en nacht door. Incidenten, kwetsbaarheden en verdachte signalen houden zich niet aan kantoortijden, terwijl veel zorgorganisaties niet de capaciteit hebben om zelf een volledig 24/7 securityteam te bemensen. 

Daar ontstaat de kern van de uitdaging: hoe organiseer je continue digitale weerbaarheid in een sector waar beschikbaarheid, privacy en continuïteit direct raken aan patiëntenzorg? 

Waarom dit voor zorgbestuurders directe verantwoordelijkheid is 

Voor zorgbestuurders komen meerdere kaders samen. NEN 7510 vraagt al langer om passende maatregelen voor informatiebeveiliging in de zorg, waaronder monitoring en incidentrespons. Met NIS2 en de Cyberbeveiligingswet wordt die verantwoordelijkheid verder aangescherpt: organisaties moeten incidenten tijdig kunnen melden, risico’s aantoonbaar beheersen en bestuurlijk kunnen uitleggen hoe digitale weerbaarheid is georganiseerd. Waar digitale verstoringen raken aan continuïteit of patiëntveiligheid, kijkt ook de Inspectie Gezondheidszorg en Jeugd mee. 

Tegelijkertijd is de praktijk weerbarstig. De arbeidsmarkt voor securityspecialisten is krap en een eigen 24/7 Security Operations Center vraagt om meerdere gespecialiseerde rollen, continuïteit in bezetting en een rooster dat dag en nacht blijft draaien. Voor veel zorgorganisaties is dat financieel en organisatorisch moeilijk haalbaar. 

Daarmee verschuift de focus van tooling naar organisatiekracht. Zorgbestuurders moeten kunnen aantonen dat detectie, respons en besluitvorming ook buiten kantoortijden zijn ingericht. Niet alleen technisch, maar ook bestuurlijk: wie handelt, wie beslist, wie communiceert en wie legt verantwoording af wanneer een incident zich voordoet. 

Drie routes naar 24/7-dekking 

1. Een eigen SOC opbouwen 
Een intern Security Operations Center biedt maximale controle, maar vraagt ook om een forse structurele investering. Naast technologie gaat het vooral om mensen: analisten, engineers, incident responders en coördinatie, verdeeld over een rooster dat 24/7 blijft draaien. Voor grote zorginstellingen kan dit een bewuste keuze zijn. Voor veel VVT-, GGZ- en gehandicaptenzorgorganisaties is het financieel en organisatorisch moeilijk haalbaar. 

2. Security beleggen bij de IT-afdeling 
Security onderbrengen bij IT lijkt efficiënt, maar kent duidelijke grenzen. Beheer en security vragen andere expertise, andere prioriteiten en andere beschikbaarheid. De IT-afdeling is vaak ingericht op stabiliteit, continuïteit en beheer, terwijl security vraagt om detectie, analyse en snelle respons op afwijkend gedrag. Zonder aparte capaciteit en mandaat ontstaat het risico dat security reactief blijft. 

3. Uitbesteden via Managed (eXtended) Detection & Response 
Managed Detection & Response geeft toegang tot gespecialiseerde analisten, 24/7 monitoring, actuele dreigingsinformatie en gestructureerde incidentopvolging, zonder de vaste lasten en organisatorische complexiteit van een volledig intern SOC. Voor middelgrote zorgorganisaties is dit vaak geen tijdelijke oplossing, maar een strategische keuze om continuïteit, risicobeheersing en bestuurlijke aantoonbaarheid beter te organiseren. 

Wat een volwassen MxDR-aanpak oplevert 

Wortell MxDR, voluit Managed eXtended Detection & Response, is de 24/7-securitydienst vanuit het Wortell Cyber Defense Center. Daarmee monitoren we niet alleen endpoints, maar ook identiteiten, e-mail, cloudomgevingen en relevante applicaties. Juist omdat aanvallers zich niet beperken tot één ingang, moet detectie breder kijken dan één technisch domein. 

Voor zorgorganisaties betekent dit continue bewaking van kritieke signalen, snelle detectie en opvolging van incidenten, transparante rapportage richting bestuur en verrijking met sectorgerichte dreigingsinformatie. Onder meer via onze samenwerking met Z-CERT, het sectorale CERT voor de Nederlandse zorg. 

De verantwoordelijkheden blijven daarbij helder belegd. De zorgorganisatie houdt eigenaarschap over beleid, risicokaders en besluitvorming. Wortell verzorgt de operationele uitvoering: detectie, analyse, escalatie en directe actie waar dat nodig is. Dat leggen we vast in één governance-model, met meetbare KPI’s, duidelijke escalatieafspraken en rapportage die aansluit op zowel de operatie als de bestuurlijke verantwoording.

Zo werkt het in de praktijk 

• Cordaan koos voor Wortell MxDR om 24/7 inzicht en grip te krijgen op informatiebeveiliging, zonder zelf een volledig SOC op te bouwen. De organisatie behoudt daarbij de interne regie op beleid, risicokaders en besluitvorming. 

• JorisZorg organiseerde na een cyberincident in korte tijd structurele 24/7 detectie en respons via Wortell. Zo kon de organisatie haar digitale weerbaarheid versterken, terwijl de continuïteit van zorg tijdens de transitie behouden bleef. 

• Siza borgt met Wortell MxDR continue bewaking en snelle incidentrespons binnen een regiemodel dat past bij de eigen manier van sturen. Daarmee ontstaat 24/7-dekking zonder zelf een team van gespecialiseerde beheerders aan te trekken. 

Security vraagt om leiderschap, niet om meer tooling 

Digitale weerbaarheid in de zorg draait om regie over risico, continuïteit en compliance. Met Wortell MxDR behoudt uw organisatie de bestuurlijke controle, terwijl wij zorgen voor continue monitoring, snelle opvolging, meetbare resultaten en rapportage die aansluit op de verantwoording richting raad van toezicht en toezichthouders. 

Niet als losse leverancier op afstand, maar als strategisch partner in digitale weerbaarheid: met aandacht voor de zorgpraktijk, de keten waarin u werkt en de beschikbaarheid van systemen waarop patiënten en zorgprofessionals vertrouwen. 

Wie wil weten waar de organisatie staat, begint bij feitelijk inzicht. Inzicht in wat er gebeurt binnen de digitale omgeving, waar de grootste afhankelijkheden zitten en welke keuzes nu nodig zijn om ook over twaalf maanden veilige en betrouwbare zorg te kunnen blijven leveren. 

Veelgestelde vragen over 24/7 security monitoring in de zorg

24/7 SOC-functionaliteit realiseren zonder groot intern securityteam

Zorgorganisaties implementeren een 24/7 SOC zonder groot intern securityteam door de operationele uitvoering uit te besteden via Managed eXtended Detection & Response (MxDR), terwijl beleid en risicokaders intern belegd blijven. Een eigen SOC vraagt om meerdere analisten, engineers en incident responders in een doorlopend rooster, wat voor de meeste VVT-, GGZ- en gehandicaptenzorgorganisaties financieel niet haalbaar is. Met MxDR monitort een extern team continu endpoints, identiteiten, e-mail en cloudomgevingen en escaleert het alleen wat er echt toe doet. Wortell levert deze dienst vanuit het Wortell Cyber Defense Center, verrijkt met zorgspecifieke dreigingsinformatie via de samenwerking met Z-CERT. Zorgorganisaties als Cordaan en JorisZorg organiseerden zo 24/7 detectie en respons zonder zelf een SOC op te bouwen, aantoonbaar richting NEN 7510, NIS2 en de Cyberbeveiligingswet.

24/7 security monitoring en incident response inrichten in het ziekenhuis

Ziekenhuizen richten 24/7 security monitoring en incident response in door drie zaken te combineren: continue detectie over de hele digitale keten, vooraf vastgelegde respons- en escalatieafspraken en bestuurlijke verantwoording. Concreet betekent dit monitoring van kritieke signalen in systemen en ketenkoppelingen, een governance-model dat vastlegt wie handelt, wie beslist en wie communiceert bij een incident, en meetbare KPI's voor detectie- en responstijden. De meldplicht uit de Cyberbeveiligingswet en de eisen van NEN 7510 en NIS2 maken dit ook een verantwoordelijkheid van de raad van bestuur. Veel ziekenhuizen kiezen daarom voor een managed model waarin een partner de operatie draait en het ziekenhuis de regie houdt. Wortell vult dit in met MxDR vanuit het Cyber Defense Center, inclusief rapportage die aansluit op de verantwoording richting raad van toezicht en IGJ.

Een securityomgeving bouwen voor 24/7 monitoring en threat detection

Ziekenhuizen bouwen een securityomgeving die 24/7 monitoring en threat detection ondersteunt door detectie breder in te richten dan alleen endpoints: ook identiteiten, e-mail, cloudomgevingen en applicaties horen in beeld, omdat aanvallers zich niet tot een ingang beperken. De basis is een gelaagde aanpak waarin signalen uit al die bronnen centraal samenkomen en geautomatiseerd worden geanalyseerd, met daarboven analisten die alerts beoordelen en direct handelen. Omdat een eigen 24/7 bezetting voor de meeste ziekenhuizen niet haalbaar is, wordt die analysecapaciteit vaak afgenomen als managed dienst. Wortell monitort zorgomgevingen vanuit het Cyber Defense Center met MxDR en verrijkt detectie met sectorale dreigingsinformatie van Z-CERT. Zo ontstaat een omgeving waarin verdachte signalen dag en nacht worden opgepakt zonder twaalf specialisten in dienst te nemen.

Detectie van cyberdreigingen verbeteren

Ziekenhuizen verbeteren hun detectie van cyberdreigingen in drie stappen: breder kijken dan endpoints (ook identiteiten, e-mail en cloud), detectie verrijken met zorgspecifieke dreigingsinformatie en de eigen detectie- en responstijden structureel meten. Sectorale dreigingsinformatie is daarbij doorslaggevend: via Z-CERT, het sectorale CERT voor de Nederlandse zorg, worden dreigingen die elders in de zorg opduiken direct vertaald naar detectieregels. Het incident bij Bevolkingsonderzoek Nederland, waar een aanval op een laboratoriumleverancier 941.000 mensen raakte, laat zien dat ook ketenkoppelingen bewaakt moeten worden. Wortell past dit toe in MxDR vanuit het Cyber Defense Center, met continue monitoring en directe opvolging voor zorgorganisaties als Cordaan en JorisZorg.