De hack bij medisch laboratorium Clinical Diagnostics heeft mogelijk gevolgen gehad voor het vertrouwen in het bevolkingsonderzoek naar baarmoederhalskanker. Volgens minister Hermans van Volksgezondheid is het “goed voorstelbaar” dat het incident het vertrouwen negatief heeft beïnvloed, al kan een direct oorzakelijk verband niet met zekerheid worden vastgesteld. Uit cijfers blijkt dat vorig jaar minder vrouwen deelnamen aan het bevolkingsonderzoek dan het jaar daarvoor.
Bevestigd: minder deelname na groot datalek
De kwestie draait om een datalek bij Clinical Diagnostics, waarbij criminelen vorig jaar persoonlijke gegevens buitmaakten. Het ging volgens de beschikbare informatie om vrouwen die hadden meegedaan aan het bevolkingsonderzoek naar baarmoederhalskanker, maar ook om patiënten van privéklinieken en huisartsen.
Clinical Diagnostics betaalde uiteindelijk losgeld aan de criminelen om publicatie van de gestolen gegevens te voorkomen. Daarmee is het incident niet alleen een technisch beveiligingsprobleem, maar ook een vertrouwenskwestie rond medische gegevens en publieke gezondheidsprogramma’s.
Naar aanleiding van het datalek diende de Tweede Kamer afgelopen juni twee moties in, die ook werden aangenomen. Daarin werd de regering gevraagd te meten of het deelnamecijfer en het vertrouwen in het bevolkingsonderzoek sinds de hack zijn gedaald. Ook werd gevraagd om, bij een eventuele daling, maatregelen te nemen om deelname en vertrouwen te herstellen.
Minister: verband voorstelbaar, maar niet hard bewezen
In een brief aan de Tweede Kamer meldt de bewindsvrouw dat er inderdaad sprake is van een daling in deelname. Tegelijk blijft voorzichtigheid geboden bij de interpretatie van die cijfers. Volgens de minister kan de hack het vertrouwen negatief hebben beïnvloed, maar is niet met zekerheid vast te stellen dat de daling rechtstreeks door het incident komt.
Een andere mogelijkheid is dat vrouwen hun uitnodiging voor het bevolkingsonderzoek langer hebben laten liggen naar aanleiding van de berichtgeving over de hack. In dat scenario zouden sommige genodigden op een later moment alsnog kunnen deelnemen. Bevolkingsonderzoek Nederland voert dit najaar opnieuw een sentimentmeting uit om het vertrouwen in het onderzoek te meten.
Technische oorzaak: gehackt account en legacy-omgeving
Uit onderzoek naar het incident bleek dat de beveiliging van Clinical Diagnostics op het moment van de hack niet voldeed aan NEN 7510, de wettelijk verplichte norm voor informatiebeveiliging in de zorg. Die norm is bedoeld om de beschikbaarheid, integriteit en vertrouwelijkheid van zorginformatie te beschermen.
Het incident was mogelijk via een gehackt account dat via een remote desktopconnectie toegang kreeg tot de legacy-omgeving van het laboratorium. Daarmee komen meerdere bekende risicofactoren samen: toegang op afstand, misbruik van accounts en oudere IT-omgevingen die in zorgprocessen vaak moeilijk snel te vervangen zijn.
Waarom dit relevant is voor organisaties en burgers
Voor burgers raakt dit incident aan een gevoelig punt: deelname aan bevolkingsonderzoeken vereist vertrouwen dat medische en persoonlijke gegevens zorgvuldig worden verwerkt. Als dat vertrouwen afneemt, kan dat gevolgen hebben voor de bereidheid om mee te doen aan preventieve zorgprogramma’s.
Voor zorgorganisaties laat de zaak zien dat informatiebeveiliging niet alleen een technische of juridische verplichting is. Een datalek kan direct doorwerken in publieke dienstverlening, reputatie en deelnamebereidheid. Zeker bij medische gegevens kan de impact verder gaan dan de betrokken organisatie zelf.
Analyse: herstel van vertrouwen wordt minstens zo belangrijk als herstel van systemen
Bevestigd is dat er minder deelname was en dat de minister een negatieve invloed van de hack voorstelbaar acht. Niet bevestigd is dat de hack de directe oorzaak van de daling is. Die nuance is belangrijk: deelnamecijfers kunnen door meerdere factoren worden beïnvloed.
Tegelijk is de maatschappelijke impact van het incident duidelijk breder dan de oorspronkelijke inbraak. Wanneer een laboratorium dat betrokken is bij bevolkingsonderzoek niet aan de verplichte beveiligingsnorm voldeed, kan dat vragen oproepen over toezicht, afhankelijkheden in de zorgketen en de manier waarop publieke taken worden uitgevoerd door private partijen.
Eind september maakte het kabinet bekend dat Clinical Diagnostics weer bevolkingsonderzoek mag uitvoeren. Die beslissing kreeg kritiek. Privacyrechtadvocaat Ina Brouwer noemde de keuze in een opiniestuk voor NRC onbegrijpelijk en stelde dat de minister het datalek achter zich lijkt te willen laten, mede omdat Nederland afhankelijk zou zijn van het internationale concern.
Bron en verdere informatie
Dit artikel is gebaseerd op berichtgeving van Security.nl
