Hoe beschermt threat hunting back-ups in de zorg tegen ransomware?

Waarom hebben back-ups in de zorg threat hunting nodig?

Omdat de back-up waarmee je herstelt al aangetast kan zijn. Ransomware-aanvallers zitten meestal een tijd in een netwerk voordat ze iets versleutelen. Die tijd gebruiken ze om herstelmogelijkheden te vinden en uit te schakelen.

Neem een ziekenhuis dat zaterdagavond laat wordt getroffen. De back-ups zien er goed uit, dus het team begint met terugzetten. Dan beginnen de herinfecties: de indringer zat al weken binnen en elk herstelpunt uit die periode brengt dezelfde accounts, geplande taken en malware terug. Een herstel dat op dagen was gepland, loopt uit tot weken met uitgestelde operaties en omgeleide patiënten.

Dit is niet ongewoon. Het rapport M-Trends 2026 van Mandiant noemt voor incidenten die in 2025 zijn onderzocht een wereldwijde mediane verblijftijd (dwell time, de tijd dat aanvallers onopgemerkt blijven) van 14 dagen. Het beschrijft ook ransomwaregroepen die back-upinfrastructuur systematisch in kaart brengen, verwijderen en versleutelen. Tools zoals een EDR-platform helpen je IT-team of MSP die activiteit op endpoints (laptops, desktops en mobiele apparaten) te zien. Threat hunting past dezelfde werkwijze toe op back-ups.

Wat is threat hunting voor back-ups?

Threat hunting voor back-ups is het proactief zoeken naar tekenen van een aantasting in back-upsystemen en herstelpunten, voordat een incident ze onmisbaar maakt. De hunter wacht niet op een melding, maar begint met een hypothese, zoals "een aanvaller heeft beheerrechten op onze back-upconsole", en zoekt naar bewijs.

Typische signalen waar je naar zoekt:

• Wijzigingen in bewaartermijnen. Kortere bewaartermijnen of uitgeschakelde instellingen voor onveranderbaarheid waar niemand om heeft gevraagd.
• Ongebruikelijke toegang tot de console. Logins op de back-upconsole of de repository van nieuwe accounts, op vreemde tijden of vanaf onverwachte locaties.
• Sabotage van herstel. Verwijderde shadow copies, back-upcatalogi of VM-snapshots. MITRE ATT&CK noemt dit T1490 Inhibit System Recovery.
• Sprongen in omvang en wijzigingspercentage. Plotselinge pieken in gewijzigde data of een daling van de compressie. Dat kan betekenen dat bestanden zijn versleuteld voordat de taak draaide.
• Persistentie in herstelpunten. Nieuwe geplande taken, services of beheeraccounts die opduiken in images van de weken voor een incident.

Hunting vult geautomatiseerde controles aan. Automatisch scannen vindt bekende malware; een hunter zoekt naar de stille wijzigingen die een aanvaller maakt om verborgen te blijven.

Waarom is de zorg zo vaak doelwit van ransomware?

Omdat downtime in de zorg patiënten raakt, niet alleen de omzet, en aanvallers op die druk rekenen om betaald te krijgen. Structurele factoren maken het erger.

In zijn dreigingsbeeld voor de gezondheidszorg (2023) vond ENISA dat ransomware goed was voor 54% van de cyberdreigingen in de Europese gezondheidszorg, op basis van 215 openbaar gemelde incidenten. Bij 42% van de incidenten waren ziekenhuizen betrokken. Patiëntgegevens, waaronder elektronische patiëntdossiers, waren met 30% het vaakst het doelwit. ENISA vond ook dat slechts 27% van de ondervraagde zorgorganisaties een eigen programma tegen ransomware had.

Veelvoorkomende zwakke plekken:

• Klinische systemen en medische apparatuur die niet snel of helemaal niet kunnen worden gepatcht
• Grote netwerken van apparatuur die door leveranciers wordt beheerd, met toegang op afstand
• Kleine IT-teams die een 24/7-bedrijfsvoering moeten afdekken
• Grote hoeveelheden gevoelige gezondheidsgegevens

Wat kost een mislukte back-up een zorgorganisatie?

Verstoring van de zorg, juridische risico's en een langer, duurder herstel. Aangetaste back-ups maken het ook waarschijnlijker dat je het losgeld betaalt.

Volgens State of Ransomware in Healthcare 2024 van Sophos zei 95% van de zorgorganisaties die door ransomware werden getroffen dat aanvallers hun back-ups probeerden aan te tasten. Organisaties met aangetaste back-ups betaalden het losgeld veel vaker (63%) dan organisaties waarvan de back-ups overleefden (27%). Slechts 22% herstelde binnen een week volledig en 37% had meer dan een maand nodig.

Back-ups blijven de belangrijkste uitweg, maar minder vaak dan zou moeten. Uit het zorgrapport van Sophos uit 2025 bleek dat 51% van de zorgorganisaties met versleutelde data back-ups gebruikte om te herstellen, tegen 72% een jaar eerder.

• Klinisch: uitgestelde operaties, omgeleide spoedpatiënten en medewerkers die op papier werken.
• Regelgeving: zorgaanbieders staan in bijlage I van de NIS2-richtlijn. NIS2-artikel 21(2)(c) vereist bedrijfscontinuïteit, zoals back-upbeheer, disaster recovery en crisisbeheer (zie ons overzicht van artikel 21). NIS2-artikel 34 stelt boetes vast van ten minste € 10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten. Daarbovenop gelden de meldplichten voor datalekken uit de AVG.
• Financieel: herstelkosten, overwerk, externe incidentrespons en uitgevallen activiteiten.

Hoe zet je threat hunting voor back-ups op? Een plan in zes stappen

Begin met een nulmeting, scan herstelpunten in plaats van alleen live systemen en maak hunts een vaste routine. Deze stappen werken ongeacht of je IT zelf doet of via een MSP.

1. Stel baselines vast. Leg per systeem de normale taakgroottes, duur, wijzigingspercentages en toegangspatronen tot de console vast. Afwijkingen vallen alleen op tegen een bekende norm.
2. Gebruik threat intelligence. Vertaal indicatoren van je nationale CERT (in Nederland Z-CERT voor de zorg) en rapportages van ENISA naar concrete controles op back-upsystemen.
3. Scan herstelpunten, niet alleen live systemen. Koppel recente herstelpunten in een geïsoleerde omgeving en scan ze op malware, persistentie en bekende indicators of compromise. Bewaar de resultaten met datum.
4. Voer elk kwartaal gestructureerde hunts uit. Kies een hypothese, betrek zowel IT-beheer als beveiliging en documenteer de uitkomst, ook als je niets vindt.
5. Isoleer en verhard de back-upinfrastructuur. Gebruik aparte inloggegevens, MFA (meervoudige authenticatie) op beheeracties, geen permanente beheersessies, onveranderbare kopieën en een air-gapped kopie.
6. Test herstel aan de hand van klinische doelen. Meet de werkelijke RTO (maximale hersteltijd) en RPO (maximaal dataverlies) en leg ze naast wat afdelingen nodig hebben. Een herstel dat werkt maar twee weken duurt, is in een ziekenhuis een mislukte maatregel.

Voor MSP's die klinieken en zorggroepen bedienen: modules zoals threat hunting, bewaking van bestandsintegriteit en MITRE ATT&CK-mapping in een EDR-platform geven je analisten de data om stap 3 en 4 over meerdere tenants uit te voeren.

Threat hunting of onveranderbare back-ups: wat heb je nodig?

Beide. Hunting vindt de indringer en vertelt je welke herstelpunten schoon zijn. Onveranderbaarheid zorgt dat een schone kopie overleeft, ook als hunting iets mist.

Volgens de Nederlandse regels verwacht de Inspectie Gezondheidszorg en Jeugd (IGJ) dat zorgaanbieders aantoonbaar voldoen aan de wettelijke norm voor informatiebeveiliging, NEN 7510. Gedocumenteerde hunts en geteste hersteltijden zijn precies zulk aantoonbaar bewijs. Voor de herstelkant lees je hoe je controleert of je back-up werkt en onze tijdlijn van herstel na ransomware.

Wat je nu kunt doen

De vraag is niet of je back-ups hebt, maar of ze schoon en actueel zijn en onder druk terug te zetten. Zoek in je back-upsystemen vóór een incident, bewaar onveranderbare kopieën voor als hunting iets mist en test het herstel aan de hand van wat je klinische afdelingen aankunnen.

Mindtime is ISO 27001- en NEN 7510-gecertificeerd. Back-ups staan alleen in onze eigen Tier III-datacenters in Nederland en Duitsland, als onveranderbare kopieën (Object Lock) plus een air-gapped kopie. Elke back-uptaak wordt automatisch gecontroleerd en back-ups worden gescand op malware. Je kunt VM's direct opstarten in een geïsoleerde herstelomgeving op een apart, schoon netwerk om een herstelpunt te controleren voordat het productie raakt. MSP's gebruiken het EDR-platform van Mindtime om threat hunting uit te voeren voor hun klanten. Mindtime levert de tools en de MSP draait de dienst.

Wil je zien hoe een controle op een schoon herstel in je eigen omgeving zou werken? Plan een gratis demo van 15 minuten.

Dit artikel is algemene informatie, geen juridisch advies.