image

Beveiliging gehackt Clinical Diagnostics voldeed niet aan verplichte norm

woensdag 13 mei 2026, 12:44 door Redactie, 9 reacties
Laatst bijgewerkt: Gisteren, 13:12

De beveiliging van het medisch laboratorium Clinical Diagnostics voldeed op het moment dat het werd gehackt niet aan de wettelijk verplichte norm NEN 7510 voor informatiebeveiliging in de zorg. Het incident was mogelijk via een gehackt account dat via een remote desktopconnectie toegang kreeg tot de legacy-omgeving van het lab. Voor het account was geen multifactorauthenticatie (MFA) ingeschakeld. Dat meldt de Inspectie Gezondheidszorg en Jeugd (IGJ) vandaag, dat onderzoek deed naar de informatiebeveiliging van het lab.

Bij Clinical Diagnostics werden vorig jaar de persoonlijke gegevens van een groot aantal mensen gestolen. Het ging om 850.000 vrouwen die deelnamen aan het bevolkingsonderzoek baarmoederhalskanker en patiënten van privéklinieken en huisartsen. Clinical Diagnostics betaalde de criminelen uiteindelijk losgeld om publicatie van de gestolen gegevens te voorkomen.

Tijdens de hack kregen aanvallers toegang tot gegevens in de legacy-omgeving. Deze omgeving zou worden overgezet naar een centrale omgeving. De data in de betreffende omgeving was echter nog niet overgezet naar de centrale omgeving. Uit extern onderzoek dat Clinical Diagnostics liet uitvoeren bleek dat de aanval is uitgevoerd via een gehackt gebruikersaccount. Met dit gebruikersaccount was via een remote desktopconnectie toegang verkregen tot de legacy-omgeving. Hoe de aanvallers toegang tot het account hebben gekregen was volgens Clinical Diagnostics niet te achterhalen.

Geen monitoring en MFA

De gehele omgeving van Clinical Diagnostics werd gemonitord door het Security Operations Center (SOC) van de internationale Eurofins-organisatie. Volgens het medische lab ging het ook om de legacy-omgevingen die nog niet waren overgezet naar de centrale omgeving. Door een menselijke fout vond er geen monitoring van de legacy-omgevingen plaats. "Het SOC verkeerde op basis van onjuiste informatie in de veronderstelling dat de betreffende legacy-omgeving niet langer actief was en heeft de monitoring hiervan uitgeschakeld. Hierdoor werden afwijkende patronen in de logging niet opgemerkt", aldus de IGJ.

Clinical Diagnostics liet de inspectie weten dat het gehackte account was beveiligd met een wachtwoord van zestien karakters. Voor het getroffen account werd op dat moment geen MFA gebruikt. Op de omgeving waarbinnen het account zich begaf zou volgens het medische lab wel MFA actief zijn geweest. Ook zou voor het gehackte account in het verleden MFA ingeschakeld zijn geweest.

Verder bleek dat Clinical Diagnostics geen onafhankelijke audit had uitgevoerd op informatiebeveiliging. Daarnaast had het bedrijf risico’s bij het verwerken van gegevens niet periodiek in kaart gebracht. "Zonder inzicht te hebben in die risico’s kon zij niet bepalen welke maatregelen nodig waren voor databeveiliging", aldus de IGJ. De Inspectie zegt dat het medische lab, zowel tijdens de hack als het inspectiebezoek, niet aan de norm voldeed.

"Gezien de grote omvang van de verwerking en de risico’s voor de persoonlijke levenssfeer van betrokkenen door de gevoelige aard van de gegevens, hadden Clinical Diagnostics LCPL en NMDL zich hebben moeten vergewissen van hun verantwoordelijkheid. De wettelijke plicht om te werken volgens NEN 7510 bestaat juist om dit soort risico’s te beperken", concludeert de IGJ. De inspectie heeft Clinical Diagnostics gevraagd om op korte termijn aantoonbaar te voldoen aan de NEN7510. Op basis van de Wabvpz (Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg) kan de IGJ geen bestraffende maatregelen opleggen. De Autoriteit Persoonsgegevens kan dat wel op basis van de AVG.

Reacties (9)
Gisteren, 12:54 door Anoniem
NEN 7510-certificering had vooraf gemoeten, niet pas na een hack. En de opdrachtgevers zijn laakbaar omdat zij niet hebben valideerd. Een keten van onkunde.
Gisteren, 13:02 door Anoniem
Door een menselijke fout vond er geen monitoring van de legacy-omgevingen plaats. "Het SOC verkeerde op basis van onjuiste informatie in de veronderstelling dat de betreffende legacy-omgeving niet langer actief was en heeft de monitoring hiervan uitgeschakeld. Hierdoor werden afwijkende patronen in de logging niet opgemerkt"

Afgaand op de beperkte informatie in dit artikel: dit is geen mensenlijke fout. Als dit gebeurt, dan gaat het op alle mogelijke lagen fout.

(1) Change management processen worden niet gevolgd en changes worden onvoldoende goed beoordeeld door een CAB (ik ga er vanuit dat dit soort impactvolle changes door een CAB gaan).
(2) Het SOC doet neem ik aan niet zomaar dingen helemaal zelf. Ze bedienen de klant. Hoe zit het met de taken, verantwoordelijkheden en bevoegdheden? Periodieke rapportages? Hoe werkt die communicatie tussen partijen als mensen ongedetecteerd dit soort zaken aan kunnen passen?
(3) Schijnbaar heeft niemand opgemerkt dat monitoring is uitgeschakeld. Geen change-overzicht, geen maandelijkse rapportages, geen registratie van bevindingen die er ineens niet meer zijn, geen dashboarding, helemaal niets.
(4) De technisch verantwoordelijke heeft niet in de gaten dat zijn product niet meer wordt gemonitord. Oftewel, niet in control van het product. Als de backup wordt uitgeschakeld, valt dat ook niet op? Of patching, gaat dat ook langs mensen heen?
(5) ... (vast nog wel meer dingen te melden)

Dit is niet 1 verdwaalde IT'er die op eigen houtje zonder change her en der wat dingen aanpast. Dit is structureel problematisch, zoals bij een hoop bedrijven trouwens.
Gisteren, 13:08 door meidoorn
Duidelijk de Wet van Murphy.
Gisteren, 13:10 door Anoniem
En wie gaat nu bloeden voor deze FAIL?
Gisteren, 13:19 door Anoniem
juist ja,

Kortom het gehele bestuur ontslaan, en een verbod om nog verder te mogen werken in de sector
Gisteren, 14:00 door Anoniem
We geven een kusje op de bloedende knie. Plakken er ook nog een pleister op. En we gaan weer over naar de orde van de dag.
Tot de volgende hack bij dit bedrijf of een sectorgenoot de volgende massale dataset met patientgegevens op straat gooit.
Gisteren, 14:18 door CautiousMe
Het rapport van de IGJ is wel opmerkelijk om de volgende redenen:
1) De IGJ heeft alleen de focus gelegd op CD en dochterondernemingen, waarom niet op de moederorganisatie Eurofins?
2) Waarom geen focus op BVO NL, die hebben werk geoutsourced en dataverwerking laten doen door Eurofins/CD. BVO NL is de verwerkingsverantwoordelijke en had kunnen weten dat Eurofins/CD niet volledig aan NEN7510 voldeed.
3) Waarom geen focus op de IGJ zelf als toezichthouder voor BVO NL/Eurofins/CD/etc?
4) De IGJ geeft aan geen handhavingsinstrumenten te hebben obv de Wapvpz, dat kan wel zo zijn, echter er is ook nog steeds de NIS-1/Wbni. Vanuit de Wbni heeft IGJ wel handhavingsmiddelen richting BVO NL/Eurofins/CD/etc. Weilswaar minder dan NIS-2/Cbw straks, maar al voldoende handhavingsmiddelen om dwang/druk of zelfs ingrijpen te bewerkstelligen.
Gisteren, 19:31 door Anoniem
Door Anoniem: Dit is niet 1 verdwaalde IT'er die op eigen houtje zonder change her en der wat dingen aanpast. Dit is structureel problematisch, zoals bij een hoop bedrijven trouwens.
Ja. De pest is natuurlijk dat een bedrijf gespecialiseerd in medische diagnostiek ongeveer net zoveel verstand heeft van wat jij allemaal aankaart als ik en jij (neem ik aan) verstand hebben van medische diagnostiek. Ze zouden die kennis moeten hebben, want ze gebruiken computers, maar het lastige is dat je pas snapt dat je die kennis moet hebben als je hem voldoende hebt. Dat is het Dunning-Kruger-effect in actie: je hebt niet door hoe slecht je ergens in bent als je er slecht in bent.

Ik ga even zo'n 30 jaar terug in de tijd. Er waren al een paar jaar internetproviders, maar in Windows 3.11 moest je snappen waar je mee bezig was en extra dingen installeren om dat aan de praat te krijgen. Toen kwam Windows 95, met kant en klaar alles aan boord wat je nodig had voor internettoegang, met een marketingcampagne zoals de wereld voor zover ik weet nog niet eerder had gezien. De pc-privé-projecten schoten als paddenstoelen uit de grond en opeens hadden ongelofelijk veel mensen een pc in huis met internettoegang.

Ik deed aan zo'n pc-privéproject mee en kreeg toen ook internettoegang, maar wat mij verbaasde was dat met afstand het meest complexe apparaat dat mensen ooit in huis haalden niet eens met een gebruiksaanwijzing werd geleverd (bij Windows 3.11 kreeg je aanzienlijk meer, inclusief een cursusboek dat je leerde met de muis om te gaan en wat er nog meer bij kwam kijken). In plaats daarvan was het opeens "intuïtief". En die mensen moesten niet alleen als gebruiker van hun computer zien te functioneren, ze werden ook meteen tot systeembeheerder ervan gebombardeerd, zonder ook maar enige kennis van zaken. En dan deden tot Windows XP de consumentenversies van Windows niet aan het isoleren van processen of users, niet op schijf en niet in het geheugen, zodat al heel snel een exponentieel toenemende hoeveelheid virussen in omloop was. En al waren uit de hoek van Unix- en mainframemensen de klachten daarover luid en duidelijk, Microsoft deed alsof die niet bestonden en alsof er niets aan de hand was.

Zelf was ik van begin af aan verbijsterd erover, met al ruim tien jaar ervaring als ontwikkelaar in een mainframe-omgeving, systemen waar je echt niets op mag waarvoor je niet uitdrukkelijk bent geautoriseerd, met een hele reeks aan gespecialiseerde functionarissen gericht op verschillende aspecten van het systeem. En dan komt er opeens een stortvloed aan complexiteit die iedereen zomaar even "intuïtief" aan zou kunnen. Verbijsterend.

Over hoe intuïtief Windows nou werkelijk was: ik heb tot ver na het jaar 2000 nog mensen aangetroffen die ook met de komst van Windows 95 aan een pc en internet zijn begonnen en die nog nooit hadden ontdekt of van een ander hadden geleerd dat je tekst kan selecteren, kopiëren en plakken.

Met dat gebrek aan kennis is de wereld massaal aan de pc en aan Windows gegaan. Het drong ook al snel door tot het bedrijfsleven en andere organisaties, maar al te vaak met hetzelfde gebrek aan kennis, en alles en iedereen werd er ondertussen afhankelijk van. De schade daarvan ondervinden we nog steeds dag in dag uit, in mijn ogen. Clinical Diagnostics is maar een van de vele, vele voorbeelden. Ik had liever gezien dat de ontwikkelingen heel wat rustiger en heel wat degelijker waren gegaan, dan hadden we er denk ik nu beter voorgestaan.
Gisteren, 22:11 door Anoniem
Door Anoniem:
Door Anoniem: Dit is niet 1 verdwaalde IT'er die op eigen houtje zonder change her en der wat dingen aanpast. Dit is structureel problematisch, zoals bij een hoop bedrijven trouwens.
Ja. De pest is natuurlijk dat een bedrijf gespecialiseerd in medische diagnostiek ongeveer net zoveel verstand heeft van wat jij allemaal aankaart als ik en jij (neem ik aan) verstand hebben van medische diagnostiek. Ze zouden die kennis moeten hebben, want ze gebruiken computers, maar het lastige is dat je pas snapt dat je die kennis moet hebben als je hem voldoende hebt. Dat is het Dunning-Kruger-effect in actie: je hebt niet door hoe slecht je ergens in bent als je er slecht in bent.

Ik ga even zo'n 30 jaar terug in de tijd. Er waren al een paar jaar internetproviders, maar in Windows 3.11 moest je snappen waar je mee bezig was en extra dingen installeren om dat aan de praat te krijgen. Toen kwam Windows 95, met kant en klaar alles aan boord wat je nodig had voor internettoegang, met een marketingcampagne zoals de wereld voor zover ik weet nog niet eerder had gezien. De pc-privé-projecten schoten als paddenstoelen uit de grond en opeens hadden ongelofelijk veel mensen een pc in huis met internettoegang.

Ik deed aan zo'n pc-privéproject mee en kreeg toen ook internettoegang, maar wat mij verbaasde was dat met afstand het meest complexe apparaat dat mensen ooit in huis haalden niet eens met een gebruiksaanwijzing werd geleverd (bij Windows 3.11 kreeg je aanzienlijk meer, inclusief een cursusboek dat je leerde met de muis om te gaan en wat er nog meer bij kwam kijken). In plaats daarvan was het opeens "intuïtief". En die mensen moesten niet alleen als gebruiker van hun computer zien te functioneren, ze werden ook meteen tot systeembeheerder ervan gebombardeerd, zonder ook maar enige kennis van zaken. En dan deden tot Windows XP de consumentenversies van Windows niet aan het isoleren van processen of users, niet op schijf en niet in het geheugen, zodat al heel snel een exponentieel toenemende hoeveelheid virussen in omloop was. En al waren uit de hoek van Unix- en mainframemensen de klachten daarover luid en duidelijk, Microsoft deed alsof die niet bestonden en alsof er niets aan de hand was.

Zelf was ik van begin af aan verbijsterd erover, met al ruim tien jaar ervaring als ontwikkelaar in een mainframe-omgeving, systemen waar je echt niets op mag waarvoor je niet uitdrukkelijk bent geautoriseerd, met een hele reeks aan gespecialiseerde functionarissen gericht op verschillende aspecten van het systeem. En dan komt er opeens een stortvloed aan complexiteit die iedereen zomaar even "intuïtief" aan zou kunnen. Verbijsterend.

Over hoe intuïtief Windows nou werkelijk was: ik heb tot ver na het jaar 2000 nog mensen aangetroffen die ook met de komst van Windows 95 aan een pc en internet zijn begonnen en die nog nooit hadden ontdekt of van een ander hadden geleerd dat je tekst kan selecteren, kopiëren en plakken.

Met dat gebrek aan kennis is de wereld massaal aan de pc en aan Windows gegaan. Het drong ook al snel door tot het bedrijfsleven en andere organisaties, maar al te vaak met hetzelfde gebrek aan kennis, en alles en iedereen werd er ondertussen afhankelijk van. De schade daarvan ondervinden we nog steeds dag in dag uit, in mijn ogen. Clinical Diagnostics is maar een van de vele, vele voorbeelden. Ik had liever gezien dat de ontwikkelingen heel wat rustiger en heel wat degelijker waren gegaan, dan hadden we er denk ik nu beter voorgestaan.
Microsoft heeft de telecommunicatie industrie in diskrediet gebracht met die verschrikkelijk slechte kwaliteit software. De managers hadden het inderdaad thuis en dus moest het bedrijf er ook aan, met een TCO van heb je hou daar. We liepen de deur van de baas plat om zijn windows weer aan de praat te krijgen. Wij waren met Sun workstations, Indy en Apollo mijlen ver vooruit. Soms doen we blijkbaar in het kader van de vooruitgang een stap terug. Vergeet ik nog bijna de DEC Alpha te vermelden https://dev.to/viz-x/dec-alpha-the-fastest-cpu-architecture-you-probably-never-used-36o0
Mijn god wat heeft dat bedrijf zitten slapen. Zelfs DR-DOS was veel beter.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.