Een basisprincipe in informatiebeveiliging is de scheiding tussen verschillende netwerkonderdelen. De meldplicht datalekken en regulering zoals NEN7510 stimuleren ook het aanbrengen van zones in het netwerk, zodat patiënten met hun iPad niet bij het ziekenhuisinformatiesysteem kunnen komen, en een computervirus bij de afdeling communicatie niet een scanapparaat kan stilleggen. Vergelijk het met compartimentering voor brandveiligheid. Als er brand uitbreekt in één compartiment, verhindert een branddeur dat het vuur zich naar het volgende compartiment uitbreidt.

In de juiste zone
Het aanleggen van zones, zogeheten VLAN’s, in het computernetwerk is voor een netwerkbeheerder geen kunst. Maar hoe zorg je ervoor dat de juiste computers altijd in de juiste zones zitten, ook als ze worden verplaatst? Ook dat is voor een beheerder niet zo lastig; er is alleen standaardapparatuur voor nodig.
Elke computer zit met een kabeltje aan het netwerk verbonden. (Voor een draadloos netwerk geldt hetzelfde principe.) Het kabeltje gaat vanaf een computer via kabelgoten, rekken en gangen naar de serverruimte. Daar is het andere uiteinde van het kabeltje op een ‘switch’ aangesloten, net als alle andere duizenden kabeltjes uit het hele ziekenhuis. In de switch bepaal je welke kabeltjes met elkaar kunnen ‘praten’ door ze in genummerde groepen in te delen. En zo zijn de VLAN’s een feit.

In één grote groep
En nu zijn we bij de uitdaging aangekomen. Omdat computers continu worden verplaatst, worden ze telkens aan een andere kabel verbonden. Dus je moet continu opletten of computers nog wel in de juiste zone zitten. In de praktijk worden bij gebrek aan tijd en vanwege de complexiteit alle computers vaak toch in één grote groep geplaatst. Geen compartimenten, geen branddeuren. Eén klein ‘brandje’ kan het hele netwerk platleggen.
Het gevaar wordt versterkt door het feit dat systemen altijd beschikbaar moeten zijn. Het mag niet voorkomen dat een mobiel röntgenapparaat het niet doet omdat het niet in het juiste VLAN is geplaatst. Of dat een hartmonitor niet meer af te lezen is omdat de monitor en computer in verschillende VLAN’s staan.

Voor dichte deur
Dit gaat over de interne – en dus bekende – systemen in het ziekenhuis. Hoe kunnen de netwerkbeheerders ervoor zorgen dat alleen de eigen systemen toegang hebben tot het ziekenhuisnetwerk en externe op een dichte deur stuiten? Een ziekenhuis is tenslotte een publiekelijke instelling waar iedereen naar binnen kan lopen. Zo is het netwerk vaak ook toegankelijk voor gasten. En een patiënt of bezoeker kan een niet-gebruikte poort proberen, of ergens een VOIP-telefoon of ander apparaat loskoppelen en zijn eigen laptop aansluiten.

Network Acces Control
Technologie van het type Network Access Control (NAC) is erop gericht computers automatisch in het juiste VLAN te plaatsen zodra ze worden aangezet, ongeacht via welke kabel ze verbonden zijn. De meeste NAC-oplossingen stellen nog meer eisen aan de veiligheid van een computer. Dit betekent concreet dat bijvoorbeeld een systeem zonder antivirussoftware geen toegang krijgt tot het netwerk. Met een goed ingerichte NAC-oplossing kunnen ongeautoriseerde systemen geen toegang krijgen tot het bedrijfsnetwerk en patiëntgegevens. Wat mij betreft komt NAC hoog in de prioriteitenlijstjes van ict-afdelingen te staan. Dat lijkt een open deur, maar toch hebben nog maar weinig organisaties zoiets geïmplementeerd. Dit komt vooral doordat er een zweem van complexiteit om NAC hangt, terwijl dat met de nieuwste oplossingen helemaal niet meer het geval is. Dus: start met segmenteren!