RDI onderzoekt wegens ransomware-aanval beveiliging van ChipSoft

In dit artikel:

De Rijksinspectie Digitale Infrastructuur (RDI) onderzoekt de beveiliging van ChipSoft nadat de EPD-leverancier begin april werd getroffen door een ransomware-aanval. De toezichthouder wil achterhalen hoe de aanval kon slagen, onder welke omstandigheden dat gebeurde en wat de gevolgen waren. ChipSoft levert het elektronische patiëntendossier voor een groot deel van de Nederlandse ziekenhuizen en heeft daarmee een geschat marktaandeel van ongeveer 70 procent.

Bij de aanval zijn ook persoonsgegevens van patiënten buitgemaakt, waaronder medische gegevens. De ransomwaregroep Embargo claimde de aanval en stelde op een eigen site dat zij 100 gigabyte aan data hadden gestolen. De groep dreigde die informatie te publiceren als er geen losgeld zou worden betaald. ChipSoft meldde later dat het, met hulp van cybersecurityspecialisten, had voorkomen dat de data online werd gezet en dat de bestanden vernietigd zouden zijn. Minister Sterk plaatste daar in een brief aan de Tweede Kamer wel een kanttekening bij: volledig zeker is volgens hem nooit vast te stellen dat gestolen bestanden echt allemaal zijn vernietigd.

Omdat ChipSoft onder de Wet beveiliging netwerk- en informatiesystemen valt, moet het bedrijf passende technische en organisatorische beveiligingsmaatregelen nemen. De RDI benadrukt dat incidenten niet altijd te voorkomen zijn, maar dat organisaties hun digitale verdediging wel op orde moeten hebben. De toezichthouder kijkt daarnaast ook naar een vergelijkbare ransomwarezaak bij Odido.