Cyberweerbare zorg: slimme AI-strategie met klein budget

De zorg is goud waard voor hackers – en dat weten ze

Zorginstellingen besteden gemiddeld rond de 6% van hun IT-budget aan security, terwijl andere sectoren eerder richting de 13% gaan. Tegelijkertijd beheren zorgorganisaties extreem gevoelige en waardevolle data: medische dossiers, BSN’s, medicatiehistorie, zelfs psychologische rapportages.

Die combinatie – waardevolle data en beperkte budgetten – maakt Nederlandse zorgorganisaties een ideaal doelwit. En nu AI het voor criminelen makkelijker maakt om geloofwaardige phishing, deepfakes en helpdeskfraude te produceren, loopt de druk alleen maar verder op.

In deze blog – onderdeel van onze reeks “AI voor Nederlandse Zorg: Implementatiegids” – laat ik zien hoe je als zorgorganisatie met beperkte middelen toch een sterke digitale basis neerzet. Met een scherpe focus op menselijk gedrag, slimme inzet van AI én praktische maatregelen die je deze maand nog kunt regelen.

---

Waar het écht misgaat: niet in de techniek, maar in gedrag

De meeste grote incidenten in de zorg starten niet met een Hollywood-achtige hack, maar met één klik. Een medewerker die:

• op een phishing-link klikt;
• inlogt op een valse inlogpagina (Adversary-in-the-Middle);
• een “helpdeskmedewerker” terugbelt en software installeert;
• een betaalverzoek uitvoert op basis van een gemanipuleerde mail of deepfake-stem.

Volgens cybersecurity-experts begint circa 83% van alle aanvallen met een malafide e-mail. In de zorg is dat percentage nog hoger. Dat is geen technisch probleem. Dat is een gedragsprobleem.

Digitale veiligheid in de zorg valt of staat met het dagelijks gedrag van artsen, verpleegkundigen, planners, IT’ers en bestuurders.

Als je AI in je organisatie wilt inzetten – of dat nu voor triage, capaciteitsplanning of decision support is – dan heb je data nodig die betrouwbaar, beschikbaar en veilig is. Zonder basisbeveiliging ondermijn je je eigen AI-strategie.

---

De nieuwe generatie phishing: Adversary-in-the-Middle en deepfakes

1. Adversary-in-the-Middle (AitM): MFA is niet meer genoeg

Steeds meer aanvallen in de zorg maken gebruik van Adversary-in-the-Middle phishing. De opzet:

1. Medewerker ontvangt een legitiem ogende mail met link.
2. Link wijst naar een nagemaakte inlogpagina (bijvoorbeeld “Microsoft”, “EPD”, “Zorgportaal”).
3. Medewerker logt in zoals altijd, mét multi-factor authenticatie (mfa).
4. De aanvaller onderschept zowel de inloggegevens als de sessie-cookie.
5. De hacker kan nu binnendringen alsof hij de medewerker zélf is.

Zelfs met prima techniek en beleid kun je dus met één klik de pineut zijn. Dat maakt AitM bijzonder gevaarlijk voor zorginstellingen die vertrouwen op standaard MFA en denken “wij zijn goed geregeld”.

2. AI-gedreven deepfakes en helpdeskfraude

AI maakt social engineering veel geloofwaardiger:

• Met 11 seconden audio kan een aanvaller al een stem behoorlijk goed deepfaken.
• E-mails en chats zijn grammaticaal perfect, in foutloos Nederlands, vaak met herkenbare interne termen.
• Via Teams of LinkedIn kunnen criminelen zich voordoen als collega, specialist, leverancier of bestuurder.

Typische scenario’s die ik in de praktijk zie:

• Een “financieel directeur” vraagt per mail of WhatsApp om snel een spoedbetaling te doen.
• Een “ICT-service desk” vraagt je om een nieuwe remote tooling te installeren.
• Een “EPD-leverancier” meldt een dringende beveiligingspatch die je direct moet uitvoeren.

Zolang de organisatie geen duidelijke afspraken heeft (“wij doen nooit X via kanaal Y”) is het voor medewerkers bijna onmogelijk om dit op gevoel te detecteren.

---

Basishygiëne voor zorg-IT: vijf maatregelen met groot effect

Met beperkte budgetten moet je scherp kiezen. Dit zijn de maatregelen die in Nederlandse zorginstellingen in mijn ervaring de beste verhouding tussen impact en kosten hebben.

1. Multi-factor authenticatie – maar dan slim ingericht

MFA blijft basis, maar moet contextbewust zijn:

• Verplicht MFA voor alle zorgsystemen met patiëntdata.
• Blokkeer inloggen vanaf onbekende landen of risicovolle IP-ranges.
• Sta alleen inlog toe vanaf beheerde werkplekken (werk-laptops, VDI).
• Beperk uitzonderingen tot een minimaal aantal accounts en leg die expliciet vast.

Zo verklein je de kans dat AitM-aanvallen of gestolen wachtwoorden meteen leiden tot een datalek.

2. Uniform apparaatbeleid: één lijn voor iedereen

In veel zorginstellingen ontstaan problemen door uitzonderingen:

• De specialist met een eigen laptop “voor het gemak”.
• De externe consultant met tijdelijke toegang.
• De manager die mail op een privételefoon wil.

Een duidelijke regel werkt beter:

Alle toegang tot patiënt- en medewerkerdata gaat via beheerde, up-to-date apparaten onder ICT-regie.

Dat klinkt streng, maar het maakt monitoring, patching en incidentresponse veel overzichtelijker – en is cruciaal als je AI-oplossingen integreert die toegang hebben tot meerdere databronnen.

3. E-mailbeveiliging mét 24/7 monitoring

Een dure e-mailfilter zonder monitoring na 17.00 uur geeft een vals gevoel van veiligheid. Zorg voor:

• geavanceerde filtering (spoofing, bijlagen, links, domeinreputatie);
• sandboxing voor verdachte bijlagen;
• 24/7 monitoring op verdachte patronen (massale loginpogingen, afwijkende bijlages, opvallende links);
• duidelijke incidentprocessen: wie doet wat als er een verdachte campagne loopt?

Voor veel middelgrote zorginstellingen is een MSSP of SOC-dienst (Security Operations Center as a Service) kostenefficiënter dan zelf nacht- en weekenddiensten organiseren.

4. Toegangsregels en finance controls

Cybersecurity is niet alleen een ICT-thema. Zeker bij AI- en dataprojecten lopen IT en finance dwars door elkaar.

Regel in beleid en techniek dat:

• betalingen boven een bepaalde drempel altijd vier-ogen-principe vereisen;
• wijziging van bankrekeningen nooit alleen via e-mail wordt bevestigd;
• kritische financiële handelingen én EPD-toegang worden gelogd en periodiek geanalyseerd (eventueel met AI-anomaly detection);
• bij twijfel over een opdracht (betaling, wachtwoord, installatie) altijd telefonisch of fysiek wordt geverifieerd.

5. Geen standaard e-learning, maar échte bewustwording

Klassieke “klik-eens-per-jaar-door-de-slides” securitytraining werkt nauwelijks. Zorgmedewerkers hebben weinig tijd, veel prikkels en een hoge werkdruk. Wat wél werkt:

• Korte, praktijkgerichte sessies (15–30 minuten) per functiegroep.
• Gebruik echte phishing-mails en incidentvoorbeelden uit jullie eigen organisatie.
• Laat zorgprofessionals zélf voorbeelden aandragen van verdachte situaties.
• Zorg dat leidinggevenden het goede voorbeeld geven: zij bepalen de norm.

Phishing-simulaties kunnen nuttig zijn, maar alleen als ze zorgvuldig worden ingezet:

• Niet als ‘afrekentool’, maar als gespreksstarter.
• Combineer resultaten direct met extra uitleg en concrete verbeterafspraken.

---

Hoe AI helpt om zorgveiliger én efficiënter te maken

AI is geen magische muur tegen hackers, maar kan in de zorg wél drie dingen heel goed:

1. Sneller aanvallen herkennen dan een mens.
2. Mensen ondersteunen bij het nemen van veilige beslissingen.
3. Patronen zien in gedrag en logs die anders blijven liggen.

1. AI voor detectie: van logs naar signalen

Zorginstellingen genereren enorme hoeveelheden logdata: EPD-logins, VPN-sessies, toegangslogs, mailflow, PACS-toegang, noem maar op. Handmatig monitoren is kansloos.

Met AI-gedreven security-oplossingen kun je bijvoorbeeld:

• afwijkende inlogpatronen herkennen (tijdstip, locatie, device);
• verdachte e-mails automatisch labelen en prioriteren;
• ongebruikelijke datastromen (grote exports, vreemde query’s) signaleren;
• correlaties leggen tussen meerdere kleine gebeurtenissen die samen een aanval vormen.

Voor Nederlandse zorg-MKB en grotere instellingen is dit haalbaar via:

• cloudgebaseerde SIEM/SOAR-oplossingen;
• security-diensten van gespecialiseerde partijen;
• integratie met bestaande Microsoft-, Google- of EPD-omgevingen.

2. AI als assistent voor medewerkers

Je kunt AI ook inzetten om medewerkers veiliger gedrag te laten vertonen, bijvoorbeeld:

• Een “security-coach” in Outlook of Teams die bij twijfel een mail beoordeelt.
• Contextuele waarschuwingen als iemand een bestand buiten de organisatie wil delen.
• Chatbots die 24/7 eenvoudige securityvragen beantwoorden (“Mag ik deze link vertrouwen?”, “Hoe meld ik een incident?”).

Belangrijk is dat deze assistenten laagdrempelig en niet veroordelend zijn. Je wilt melden aantrekkelijk maken, niet eng.

3. AI en privacy: voorwaarde voor verantwoord gebruik

AI voor zorgdata werkt alleen als je:

• dataminimalisatie toepast: gebruik alleen data die nodig is;
• anonimiseert of pseudonimiseert waar het kan (bij onderzoek, dashboards);
• strakke toegangsrechten inricht, vooral bij data lakes en AI-trainingsomgevingen;
• een DPIA en verwerkingsregister op orde hebt.

Sterke cybersecurity is hier geen ‘extra’, maar een voorwaarde om überhaupt verantwoord AI in de zorg te kunnen inzetten.

---

Concreet stappenplan: zo maak je jouw zorgorganisatie cyberweerbaar

Als je alles bij elkaar zet – menselijk gedrag, phishing, AI-aanvallen, beperkte budgetten – dan lijkt het misschien een enorme berg werk. In de praktijk kun je met een gefaseerde aanpak veel bereiken.

Stap 1 – Inventariseer risico’s en kroonjuwelen

• Welke systemen bevatten de meest gevoelige data?
• Waar zitten de meeste menselijke interacties (mail, Teams, helpdesk)?
• Welke AI-toepassingen draaien of worden binnenkort geïntroduceerd?

Stap 2 – Leg de basismaatregelen vast

• MFA, apparaatbeleid, toegangsregels, finance controls.
• Kies bewust welke uitzonderingen écht nodig zijn en documenteer die.

Stap 3 – Richt monitoring en incidentrespons in

• Bepaal wie 24/7 monitort (intern of extern).
• Maak een helder stappenplan voor incidenten: detectie, besluitvorming, communicatie, herstel.

Stap 4 – Start met gerichte gedragsinterventies

• Korte trainingen per doelgroep.
• Gebruik eigen voorbeelden en recente phishing-campagnes.
• Maak melden makkelijk en beloon gewenst gedrag.

Stap 5 – Voeg AI slim toe

• Begin klein: AI voor log-analyse of mailclassificatie.
• Test met één afdeling of één type incident.
• Evalueer, stel bij en schaalt pas op als het werkt.

---

Waarom dit nú urgent is – en hoe dit past in je AI-strategie

Zorgorganisaties staan aan de vooravond van grootschalige AI-adoptie: van decision support in het EPD tot voorspellen van ligduur, triage in de spoedzorg en capaciteitsplanning in de wijkverpleging. Al die toepassingen draaien op dezelfde basis: betrouwbare, veilige data en een digitaal weerbare organisatie.

Wie veiligheid nu voor zich uitschuift, loopt straks vast bij:

• interne en externe audits;
• verzekeraars en toezichthouders;
• medewerkers die AI niet vertrouwen omdat de basis niet op orde is;
• patiënten die afhaken na een datalek.

De realiteit? Het is eenvoudiger dan veel organisaties denken. Met een paar scherpe keuzes, heldere afspraken over gedrag en gerichte inzet van AI kun je met beperkte middelen toch een professioneel beveiligingsniveau neerzetten.

Wil je AI echt laten werken voor jouw organisatie – van veilige data-analyse tot verantwoorde decision support – dan begint dat niet bij een algoritme, maar bij één vraag:

Hoe zorgen we dat elke medewerker, van balie tot bestuurskamer, morgen net een beetje veiliger klikt dan vandaag?