Waarom beveiliging geen bijzaak mag zijn

Beveiliging telt overal, maar meer zodra een systeem gevoelige, persoonlijke informatie bevat: medische dossiers, financiële gegevens. In de zorg schaadt een inbreuk zowel de patiënt als de organisatie, dus we behandelen beveiliging als deel van de ontwikkeling, niet als een laag op het einde.

De basis, consequent toegepast

De meeste inbreuken vragen niets exotisch; de patronen zijn goed gedocumenteerd, OWASP's top tien voorop. De organisaties die uit de problemen blijven, zijn die welke telkens weer de onopvallende basis doen:

• Hou systemen gepatcht en up-to-date, zodat gekende gaten dicht zijn voor iemand erdoor stapt.
• Voer een sterk wachtwoordbeleid, met multifactorauthenticatie zodat een gestolen wachtwoord veel minder bruikbaar is voor een aanvaller.
• Train het team om bedreigingen te herkennen en te vermijden, want de meeste aanvallen beginnen bij een mens, niet bij een machine.
• Beperk de toegang tot gevoelige data tot wie ze echt nodig heeft.

Beveiliging in lagen

Geen enkele maatregel volstaat. Strikte toegangscontrole, regelmatige back-ups voor het geval van een aanval, en versleuteling van data tijdens overdracht sluiten elk een andere deur. Cloudhosting voegt nog een laag toe, met servers die fysiek beveiligd en voortdurend bewaakt worden.

Oefen de slechte dag

Een beveiligingsplan dat nooit geoefend is, is een document, geen vermogen. Herstel minstens één keer echt uit een back-up, beslis in rustige tijden wie wie belt wanneer iets er verdacht uitziet, en loop het eerste uur van een incident door voor je er ooit in zit. Teams die geoefend hebben, beheersen een slechte dag; teams die dat niet deden, improviseren hem.

Naast databescherming gaat dit over vertrouwen. Een inbreuk kost het vertrouwen van patiënten en partners, en dat is veel moeilijker te herstellen dan een systeem. De systemen waar we trots op zijn, blijven zowel verdedigbaar als makkelijk te vertrouwen, dag na dag.