Bij Siza veiligheid vóór alles met Managed Detection en Response

Werken met cliënt- en bedrijfsgegevens in Microsoft Online-diensten en SharePoint zonder de achterdeur echt goed op slot te draaien. Dat kan vervelende gevolgen hebben. De Managed Detection en Response (MDR)-dienst biedt uitkomst, vindt Niels Fontein, CISO en verantwoordelijk voor de informatiebeveiliging van zorgorganisatie Siza. Sectormanager Layla Jongerius van Wortell benadrukt de noodzaak van de MDR-dienst: “Het is cruciaal om de kroonjuwelen van een zorgorganisatie te beveiligen.”

Siza biedt ondersteuning en zorg aan mensen met een lichamelijke, verstandelijke of meervoudige beperking en aan mensen met een niet-aangeboren hersenletsel of autisme. Zo’n 2.500 medewerkers staan klaar voor ruim 3.500 cliënten. Dit gebeurt op 150 locaties in Gelderland en Midden-Brabant. Siza heeft veel stappen gezet op IT-gebied: waar zo’n tien jaar geleden eigen systeembeheerders nog de Citrix- en Applicatieservers op locatie beheerden, is de I&T-afdeling doorgegroeid naar een regieorganisatie en neemt Siza alleen nog maar (SaaS-) diensten af. Met als laatste grote stap de ingebruikname van de online Microsoft 365-diensten, zoals Exchange Online en Sharepoint.

24/7 bewakingsdienst

“Zo’n anderhalf jaar geleden kwamen we er op een nare manier achter dat we aan de slag moesten met onze beveiliging: we kregen te maken met een hack, waarbij iemand op afstand in een mailbox inlogde en honderden spammails verstuurde,” begint Niels. Het was een onverwacht scenario voor Siza. “Op zo’n moment kun je alleen zo veel mogelijk aan damage control doen. We trokken een belangrijke conclusie: we werken vanuit een ICT-regiemodel en hebben geen eigen beheerders meer in dienst die 24/7 kunnen klaarstaan en alles proactief in de gaten houden. We moeten een betere oplossing zoeken.” Niels kende Wortell al jaren en had al vaker gelezen over hun MDR-dienst. Wortell bleek één van de vijf Microsoft Gold-partners op dit gebied te zijn. Dat gaf genoeg aanleiding om gesprekken aan te gaan over hun Managed Detection en Response-dienst. “Wij zochten een 24/7 bewakingsdienst met beheer, detectie en respons. Ook als wij er niet zijn: ’s nachts, in het weekend en tijdens feestdagen. Wij hadden wel oren naar wat Wortell bood. Referentiegesprekken met andere zorgorganisaties bevestigden het goede gevoel dat Wortell ons gaf. Het klopte gewoon om deze samenwerking aan te gaan.”

Geen angsttroef spelen

Tegenwoordig staat veiligheid expliciet op de agenda van de directie. “Dat helpt wel om besluiten erdoor te krijgen. We hadden tot dit punt alleen de hoogstnodige Microsoftlicenties afgenomen, dus het was een forse investering. Gelukkig hebben wij als zorginstantie in de tussentijd een non-profitstatus bij Microsoft gekregen, waarmee de licentieprijzen een stuk lager uitvallen. We hebben meerdere problemen in één keer opgepakt, maar blijven werken met de NEN 7510-norm als kapstok. We namen de tijd voor een goede voorbereiding en kozen er bewust voor om geen angsttroef te spelen. Onze uitgangspunten waren risico’s verminderen en zorgen dat de continuïteit van zorg zoveel mogelijk gewaarborgd blijft; dat is immers ons primaire proces.” De directie ging akkoord, in september 2022 werd de implementatie van de dienst gestart en in december stond deze live. “Met betrekking tot de beveiligingsfunctionaliteiten die Microsoft biedt, was er nog maar weinig aanwezig. Na de uitbreiding van onze licenties heeft Wortell een security-baseline ingericht, die als basis dient om de MDR-dienst te kunnen activeren. Daarbij is Wortell de expert en gaan wij graag aan de slag met de verbeteradviezen. Zij weten precies hoe het werkt en wat er nodig is om ervoor te zorgen dat we het beveiligingsniveau continu blijven verbeteren.”

Layla Jongerius, Sectormanager Wortell, onderschrijft dit: “Siza kent de eigen rol goed. Hun specialisatie zit in de beste zorg voor hun cliënten. Daarbij gaan ze op zoek naar kwaliteit rondom hun organisatie. Een security operation center is kostbaar en ingewikkeld om op te bouwen. Dan kun je beter op zoek gaan naar een betrouwbare partner die dat regelt en daar regie op voert. Het is te prijzen dat Siza die keuze maakt. Ik ben ervan overtuigd dat het ook voor de cliënten goed is. Siza laat zien: wij doen er het maximale aan om veilig om met jullie gegevens om te gaan.”

“We hebben meerdere problemen in één keer opgepakt, maar blijven werken met de NEN 7510-norm als kapstok”

Balans tussen wat moet en wat kan

Vanuit beveiligingsoogpunt moeten er ook weleens instellingen ingeschakeld worden waar collega's misschien níet op zitten te wachten. “Een voorbeeld is dat je e-mails niet meer zelf automatisch kunt doorsturen naar een privé-mailadres. Zo kunnen we het risico op een datalek verkleinen.” Dit soort instellingen is soms even wennen voor collega’s. “We zijn nog zoekende naar de balans tussen wat moet en wat kan. Wat past bij onze collega’s? Wortell adviseert ons over wat nodig is om risico's te verlagen, wij wegen af of de impact op onze collega’s realistisch is. Zo trekken we gezamenlijk op en zorgen we ervoor dat het niveau van onze informatiebeveiliging telkens verbetert.” Beveiliging is immers een continu proces, merkt Niels op. “Processen inrichten en een grote verbetering realiseren was een projectfase. Vanaf dat punt blijven we elke keer stappen vooruitzetten. We willen dit jaar flinke meters maken om het algehele niveau van informatiebeveiliging te verbeteren. Met het afnemen van de MDR-dienst van Wortell hebben we de eerste grote stap gezet, waarmee forse risico’s zijn gemitigeerd.”

“Wortell adviseert ons over wat nodig is om risico's te verlagen, wij wegen af of de impact op onze collega’s realistisch is”

Proactief partnerschap

Wortell is een van de vijf Gold-partners op beveiligingsgebied in de zorg. Volgens Niels is dat terecht. “Het is geen leverancier-klant-relatie. Dat vinden wij heel belangrijk. Wortell werkt proactief, ze wijzen ons op nieuws in de markt en nodigen ons uit voor deelname aan een webinar of workshop. Ze hebben ervaring in de zorg en kunnen onze situatie goed inschatten. We zijn door de goede ervaringen ook een volgend traject gestart voor de beveiliging van onze werkplekken. Momenteel worden onze werkplekken nog niet beheerd binnen een Microsoft-oplossing. We zijn al gestart om nieuwe werkplekken onder te brengen binnen Microsoft Endpoint-manager. Het is een hele logische vervolgstap om onze werkplekken beter te integreren met de MDR-dienst.”

Layla vult aan: “De relatie tussen opdrachtgever en opdrachtnemer kan heel zakelijk zijn. In dit geval is er openheid geweest over een zekere kwetsbaarheid en hebben we geholpen met het overtuigen van de besluitvormers. Dit doen wij als partner, niet louter als leverancier.”

Tips voor andere zorgorganisaties

• Neem de directie mee en overtuig ze van het belang van een veilige omgeving.
• Werk vanuit richtlijnen, en gebruik die als kapstok voor trajecten en projecten. Geen losse flodders, geen ad-hoc-aanpak.
• Gebruik de metafoor: hang camera’s op om je huis, zodat je weet wat er gebeurt. In plaats van het ophangen van sloten op plaatsen waar het wellicht onnodig is.
• Schakel een partij in die direct kan acteren én verder kan kijken. Wij hebben Wortell gevraagd een roadmap te maken voor continue verbetering