Ransomware in een zorgpraktijk: wat gebeurt er tijdens de eerste 72 uur?
De eerste uren dienen om de verspreiding te stoppen, niet om te herstellen: u koppelt de getroffen toestellen los van het netwerk zonder ze uit te schakelen, u belt uw IT-dienstverlener en de praktijk schakelt over op papier. Binnen 72 uur moet u het datalek in principe melden aan de Gegevensbeschermingsautoriteit. U dient ook zo snel mogelijk klacht in en u controleert of de back-ups gezond zijn, zonder het losgeld te betalen. Het volledige herstel volgt daarna, vanuit gezonde back-ups.
Het scenario in het kort
Voorbeeld, verzonnen ter illustratie. Een maandag, 7.50 uur. De secretaresse van een praktijk met vier kinesitherapeuten zet de pc aan het onthaal aan. De agenda gaat niet open. Op het bureaublad hebben alle bestanden een onbekende extensie, en een document legt uit dat er betaald moet worden om ze terug te krijgen. De eerste patiënt komt om 8 uur.
Dat is ransomware (ook wel gijzelsoftware genoemd): een kwaadaardig programma dat uw bestanden versleutelt, met andere woorden onleesbaar maakt zonder een sleutel die alleen de criminelen hebben. Vaak heeft het ook gegevens gekopieerd voordat het ze blokkeerde, om te dreigen ze openbaar te maken.
Volledig herstellen van zo’n aanval kost tijd. Maar wat in de eerste uren beslist wordt, weegt zwaar door. Hieronder stap voor stap wat er gebeurt en wat u doet.
Uur 0 tot 1: loskoppelen zonder uitschakelen
De natuurlijke reflex is om de computer uit te schakelen. Dat is een vergissing. Schakel de getroffen toestellen niet uit: afsluiten kan sporen in het geheugen wissen die nuttig zijn om de aanval te begrijpen. U moet ze isoleren, niet uitzetten.
- Trek de netwerkkabel uit de getroffen computers en schakel hun wifi uit. Twijfelt u over hoe ver het reikt, koppel dan de internetmodem van de praktijk los.
- Laat ze aanstaan, met het scherm zoals het is. Neem met een smartphone een foto van de losgeldeis.
- Koppel de back-upschijf los als ze nog aan een pc of aan het netwerk hangt, zodat ze niet ook versleuteld wordt.
- Zet toestellen die nog uitstaan niet aan (laptop, pc in een behandelruimte): misschien zijn ze nog intact.
- Begin een logboek op papier: het uur, wie wat gedaan heeft, wat men gezien heeft. U hebt het nodig voor de klacht, de verzekeraar en de Gegevensbeschermingsautoriteit.
Bel daarna uw IT-dienstverlener, liever telefonisch dan per mail. Beschouw de mailbox van de praktijk als mogelijk gecompromitteerd en communiceer via een apart kanaal, bijvoorbeeld een groep in een versleutelde berichtenapp, op de smartphones.
Uur 1 tot 6: wie verwittigen, en hoe
In een kleine praktijk bestaat de ‘crisiscel’ vaak uit twee mensen: de titularis en de IT-dienstverlener. Belangrijk is dat iedereen weet wie wie belt. Uw eerste aanspreekpunt is uw IT-dienstverlener.
| Wie | Waarom | Hoe |
|---|---|---|
| Uw IT-dienstverlener | Het netwerk isoleren, de sporen bewaren, de omvang bepalen | Telefonisch, nummer op papier genoteerd |
| Uw verzekeraar | Weten wat het contract dekt voor u kosten maakt | Polisnummer bij de hand |
| De lokale politie | Klacht indienen: de aanval is een misdrijf | Op het politiekantoor, met foto’s en logboek |
| Het team van de praktijk | Eén versie van de feiten, geen geknutsel | Tien minuten rechtstaand overleg, schriftelijke instructies |
Weet wat u kunt verwachten: volgens de meldingspagina van het CCB is het adres [email protected] voorbehouden aan getroffen organisaties en is een antwoord van een medewerker niet gegarandeerd: dat hangt af van de ernst van het incident. Het noodnummer is voorbehouden aan entiteiten die onder de NIS2-richtlijn vallen (de Europese wet die cyberbeveiligingsregels oplegt aan essentiële sectoren, waaronder sommige zorgactoren). Uw eerste aanspreekpunt is uw IT-dienstverlener.
Wat de verzekering betreft: kijk na of incidentrespons in uw contract zit. Bel voor u een offerte voor een interventie ondertekent: het contract bepaalt wat ten laste genomen wordt, en onder welke voorwaarden.
Uur 6 tot 24: de schade in kaart brengen en patiënten blijven behandelen
Heropbouwen is niet de eerste stap. Eerst moet u weten wat versleuteld is en wat gekopieerd kan zijn. Uw IT-dienstverlener zoekt een antwoord op vier vragen.
- Welke toestellen zijn getroffen? Alleen de pc aan het onthaal, of ook de server met de patiëntendossiers?
- Welke gegevens stonden erop? Agenda, medische dossiers, boekhouding, kopieën van identiteitskaarten.
- Zijn er gegevens weggelekt? Criminelen kopiëren vaak eerst en versleutelen daarna, om druk te zetten.
- Zijn de back-ups intact? Die vraag bepaalt al de rest.
Op dat laatste punt draait alles om een onafhankelijke en gecontroleerde kopie van uw gegevens, die de aanvaller niet kon bereiken: als die bestaat, herstelt u vanuit die kopie. Vandaar het belang van zogenaamde onveranderlijke back-ups: back-ups die gedurende een vooraf bepaalde periode niet gewijzigd of gewist kunnen worden.
De praktijk op papier
Ondertussen komen de patiënten. Schakel over op een noodwerking: stel de afsprakenlijst van de dag opnieuw op aan de hand van de verstuurde herinneringen of de smartphones, noteer de behandelingen op papieren fiches en stel uit wat niet dringend is. Draait uw software voor patiëntendossiers online en is die niet getroffen, meld u dan alleen aan vanaf een toestel dat uw IT-dienstverlener gezond verklaard heeft.
Communiceer vroeg, eerst met het team, daarna met de partners en de betrokken patiënten, met een korte boodschap: wat u weet, wat u doet, wanneer u nieuws geeft.
Uur 24 tot 72: de wettelijke verplichtingen
Ransomware in een praktijk is bijna altijd een datalek in de zin van de AVG (de GDPR). Het Europees Comité voor gegevensbescherming rekent gegevens die onbeschikbaar zijn geworden door de versleuteling van ransomware uitdrukkelijk tot die categorie, ook als er niets gestolen is.
| Verplichting | Termijn | Waar |
|---|---|---|
| Het datalek melden aan de Gegevensbeschermingsautoriteit (GBA) | Zonder onredelijke vertraging en indien mogelijk binnen 72 uur nadat u er kennis van kreeg, tenzij een risico voor de betrokkenen onwaarschijnlijk is | Portaal van de GBA (een melding per mail wordt niet behandeld) |
| De betrokken patiënten informeren | Zonder onredelijke vertraging, als het risico voor hen hoog is | Brief of bericht, in eenvoudige woorden |
| Het incident intern documenteren | Altijd, ook zonder melding | Register van datalekken van de praktijk |
| Klacht indienen | Zo snel mogelijk | Lokale politie |
De melding mag in verschillende stappen gebeuren: de AVG (artikel 33) laat toe de informatie gefaseerd te verstrekken. Een eerste melding met wat u weet, daarna aanvullingen. De procedure staat op de pagina van de GBA over gegevensinbreuken.
En het losgeld?
Betaal niet. Zoals de site No More Ransom benadrukt, is er geen enkele garantie dat u de ontsleutelingssleutel krijgt, en betalen bevestigt de criminelen dat hun methode werkt. Betalen doet ook uw verplichtingen tegenover de GBA en uw patiënten niet verdwijnen.
Bewaar een kopie van de versleutelde bestanden: later kan er een gratis ontsleutelingstool voor uw ransomware opduiken. No More Ransom publiceert er regelmatig nieuwe.
Na 72 uur: heropbouwen zonder opnieuw besmet te raken
Zodra de omvang gekend is en de back-ups gecontroleerd zijn, verloopt de heropstart in een vaste volgorde.
- Alle wachtwoorden wijzigen, te beginnen met de beheerdersaccounts, en tweestapsverificatie inschakelen: een code op de smartphone bovenop het wachtwoord.
- De getroffen toestellen volledig opnieuw installeren, updates inbegrepen, in plaats van te proberen ze te ‘reinigen’.
- Eerst de server herstellen, daarna de werkposten, vanuit een back-up van vóór de aanval die gezond bevonden is. Nooit vanuit een back-up van kort voor of na de aanval, die de indringer zou kunnen bevatten.
- De internettoegang geleidelijk heropenen, eerst voor de werkposten die onmisbaar zijn om weer op te starten.
- Begrijpen langs waar de aanvaller binnenkwam (phishingmail, slecht beveiligde toegang op afstand, verouderde software) en die deur sluiten voor u de bladzijde omdraait.
Wat u vanaf maandag kunt voorbereiden
De eerste 72 uur verlopen veel beter als u ze hebt voorbereid. Vijf handelingen die bijna niets vragen:
- Een noodfiche op papier aan het onthaal: nummers van de IT-dienstverlener en de verzekeraar, polisnummer, politiekantoor, adres van het portaal van de GBA.
- Een hersteltest: vraag uw IT-dienstverlener om in uw bijzijn een patiëntendossier van een maand geleden terug te halen.
- Minstens één offline of onveranderlijke back-up, buiten bereik van een indringer die het netwerk zou hebben overgenomen.
- Een papieren werkwijze die klaarligt: blanco behandelfiches, en de agenda van de volgende dag die elke avond geëxporteerd en achter slot bewaard wordt.
- Een oefening van dertig minuten met het team: ‘Het scherm toont een losgeldeis, wat doen we?’
Wilt u meer weten over de verplichtingen? De gids voor kleine ondernemingen van het Europees Comité voor gegevensbescherming legt in eenvoudige woorden uit wat een datalek is en wanneer u het moet melden.
Uw praktijk voorbereiden op ransomware→
Veelgestelde vragen
Moet u de computer uitschakelen bij ransomware?
Nee. Uitschakelen kan sporen in het geheugen wissen die nuttig zijn om de aanval te begrijpen. Isoleer de getroffen toestellen: trek de netwerkkabel uit en schakel de wifi uit, en bel dan uw IT-dienstverlener.
Moet u het losgeld betalen?
Nee. Niets garandeert dat u een werkende sleutel krijgt, en betalen bevestigt de criminelen dat hun methode werkt. Hebt u een onafhankelijke en gecontroleerde back-up, herstel dan vanuit die back-up. Bewaar een kopie van de versleutelde bestanden: later kan er een gratis ontsleutelingstool opduiken, bijvoorbeeld op de site No More Ransom.
Is ransomware een datalek dat u moet melden aan de GBA?
In principe wel. Gegevens die door versleuteling onbeschikbaar zijn geworden, vormen een datalek in de zin van de AVG, ook zonder diefstal. U meldt het aan de Gegevensbeschermingsautoriteit via haar portaal, zonder onredelijke vertraging en indien mogelijk binnen 72 uur, tenzij het risico voor de betrokkenen onwaarschijnlijk is. In elk geval documenteert u het incident intern.
Moet u de patiënten verwittigen?
Ja, als het datalek waarschijnlijk een hoog risico voor hen inhoudt, bijvoorbeeld als medische dossiers gekopieerd kunnen zijn. Ze moeten zonder onredelijke vertraging geïnformeerd worden, in eenvoudige woorden: wat er gebeurd is, om welke gegevens het gaat, wat u doet en wat zij kunnen doen.
Hoelang duurt het om te herstellen van ransomware?
De eerste 72 uur dienen om te isoleren, te verwittigen, de schade in kaart te brengen en de wettelijke verplichtingen na te komen. Het heropbouwen volgt daarna, vanuit gezonde back-ups. Hoelang dat duurt, hangt vooral af van één vraag: hebt u een gezonde back-up, buiten bereik van de aanvaller? Zonder die back-up wordt het herstel lang en onzeker.
Wie verwittigt u na een ransomwareaanval in België?
Eerst uw IT-dienstverlener, daarna uw verzekeraar. Dien klacht in bij de politie, en meld het datalek via haar portaal aan de Gegevensbeschermingsautoriteit als er persoonsgegevens getroffen zijn.