Wat gebeurt er wanneer aanvallers sneller bewegen dan de gezondheidszorg kan patchen?

De gezondheidssector heeft al lange tijd een echte hindernis bij het patchen van beveiligingsproblemen: Het beveiligingsteam van een ziekenhuis kan in één middag een kwetsbaarheid in een klinisch systeem identificeren, maar het veilig installeren van een oplossing wordt meestal belemmerd door de praktische realiteit van het hectische dagelijkse tempo van een ziekenhuis. De fabrikant van het apparaat moet mogelijk een update valideren, het ziekenhuis moet deze testen en downtime inplannen, en sommige wijzigingen vereisen zelfs een regelgevende beoordeling.

Aanvallers hebben geen van die beperkingen. Met AI‑tools die de verkenning en het onderzoek van kwetsbaarheden versnellen, evenals de ontwikkeling van exploits, komen de al onder druk staande herstelprocessen in de gezondheidszorg onder nog meer druk te staan.

Wat dit een bijzonder pijnlijk probleem maakt, is dat patch‑vertragingen vaak worden verlengd door afhankelijkheden van leveranciers. Terwijl een oplossing voor een MRI‑systeem bijvoorbeeld door de leverancier moet worden gevalideerd, moet deze vaak nog steeds worden goedgekeurd door de wijzigingscontrole van het ziekenhuis. En alles moet gebeuren zonder de zorg te verstoren.

Health-ISAC’s Frontier AI in the Health Sector rapport noemt vertraagde patches als een van de bepalende blootstellingen van de sector. Dat laat ziekenhuizen één haalbare weg vooruit over: ze kunnen misschien niet elk onderdeel van de patch‑tijdlijn beheersen, maar ze kunnen wel beperken wat een aanvaller kan doen terwijl een update wordt uitgerold.

De patch‑tijdlijn heeft om een reden een ondergrens

Veel van de stappen in de patch‑tijdlijn van een ziekenhuis kunnen informatiebeveiligingsprofessionals irriteren, maar ze bestaan om de veiligheid van patiënten te waarborgen. Geen ongeteste update voor een ventilator of een infuuspomp die een cyberbeveiligingsrisico moet verhelpen, is de kosten waard die de patiëntenzorg hindert. Het antwoord is daarom om die delen van het proces te versnellen die kunnen worden versneld zonder de bestaande protocollen te verzwakken.

Auditors en besturen behandelen lange herstelvensters vaak als een probleem van programmatuurvolwassenheid of budget, en soms hebben ze gelijk. Gewoonlijk zijn lange patch‑tijdlijnen een symptoom van zwakke uitvoering, gebrek aan middelen, of knelpunten buiten de controle van het beveiligingsteam. Meer analisten kunnen de detectie, triage en prioritering van kwetsbaarheden verbeteren, maar ze kunnen de tijdlijnen van een fabrikant niet verkorten of downtime‑vensters verplaatsen.

Met exploitatie van kwetsbaarheden als de meest voorkomende manier waarop aanvallers toegang krijgen tot doelnetwerken, laat het Verizon 2026 Data Breach Investigations Report (DBIR) zien hoe weinig ruimte organisaties hebben om patches uit te rollen. De mediane tijd om een bekende geëxploiteerde kwetsbaarheid volledig te verhelpen steeg in 2026 tot 43 dagen, tegenover 32 dagen het jaar daarvoor, terwijl het aandeel volledig gesloten kwetsbaarheden daalde tot 26% van 38%.

Het feit dat deze cijfers niet specifiek voor de gezondheidszorg zijn, laat zien hoe moeilijk herstel al is, nog voordat rekening wordt gehouden met de klinische en leveranciersbeperkingen die ziekenhuizen ook moeten beheren.

Het is tijd om verder te kijken dan ernstscores

Terwijl herstelvensters langer zijn geworden, worden aanvallers sneller. De DBIR ontdekte dat exploitatie van kwetsbaarheden nu de belangrijkste manier is waarop hackers in systemen komen, met 31 % van de inbreuken, en dat gestolen inloggegevens voor het eerst in de 19 jaar dat het rapport wordt gepubliceerd, werden gepasseerd.

Verizon stelt dat AI heeft geholpen de ontdekking en exploitatie van kwetsbaarheden te versnellen, zozeer dat wat vroeger maanden duurde nu uren of dagen kan kosten. En dat was nog voordat de huidige generatie frontier‑modellen werd uitgebracht, aangezien de dataset van de DBIR eindigde in oktober 2025.

Maar tegenwoordig verwacht iedereen zo’n snelheid. Het rapport van Health-ISAC wijst op iets nog consequentialer: nieuwere AI‑modellen kunnen bevindingen met een lage ernst koppelen tot kritieke aanvalspaden, waarbij combinaties van zwaktes worden geïdentificeerd die afzonderlijk minder belangrijk lijken. Dat schept een nieuw probleem voor herstelprogramma’s die ernstscores prioriteren, omdat bevindingen met een lage ernst die vaak worden genegeerd of in de backlog worden geplaatst, plotseling veel meer kunnen betekenen als ze toegang of kritieke systemen beïnvloeden.

Groeiende achterstanden verergeren het beeld alleen maar. Schrijvend in Nature, beschreef Max Planck Institute-directeur Thorsten Holz Mozilla die een frontier‑model gebruikte om 271 kwetsbaarheden te vinden en te verhelpen in één enkele Firefox‑release, ver boven wat de bestaande tools en reviewers in een typische maand van het voorgaande jaar hadden blootgelegd.

Die triage‑druk breidt zich ook uit naar de aanbodkant: Linus Torvalds, de maintainer van de Linux‑kernel, wees in mei op dat bug‑rapporten gegenereerd door AI de maintainers overbelasten.

Als je niet sneller kunt repareren, verklein dan wat bereikbaar is

Gelukkig kan een achterstand die niet kan worden geëlimineerd nog steeds worden beheerd. Als een patch moet wachten, moet de prioriteit liggen op het verkleinen van de kans dat een kwetsbaarheid wordt bereikt. Dat verschuift het werk van snelheid van herstel naar bereikbaarheid, iets wat ziekenhuizen kunnen beheersen.

Segmentatie kan dienen als een sterke tegenhanger. Een beeldvormingsapparaat met brede toegang kan een domeincontroller, een gedeelde map en het open internet bereiken. Maar als het beperkt is tot een geïsoleerd segment dat verkeer naar zijn PACS‑server en het update‑eindpunt van de fabrikant toestaat, terwijl standaard de toegang tot de rest wordt geweigerd, kan elke kwetsbaarheid die het apparaat treft, zo lang als nodig is geïsoleerd blijven totdat een patch beschikbaar is.

Waar het apparaat en de leveranciersvereisten het toelaten, kunnen ziekenhuizen segmentatie, uitgaande controles en standaard‑weigering‑regels gebruiken om toegangs paden te verkleinen en zelfs af te sluiten terwijl een patch in behandeling is.

Ziekenhuizen hebben geen volledige asset‑inventaris nodig voordat ze beginnen het blootgestelde oppervlak te verkleinen. Tel eerst de systemen die verbinding maken met het internet, houd dat aantal actueel terwijl de bredere inventaris wordt aangevuld, en geef prioriteit aan het beperken van wat die systemen binnen het netwerk kunnen bereiken.

De enquêtegegevens van Health-ISAC geven aan dat de sector al in die richting beweegt. Ongeveer 80 % van de Health-ISAC‑leden zegt dat ze van plan zijn hun budgetten voor AI‑gedreven beveiligingstools of exploit‑beoordeling te verhogen. Een mogelijke aanpak is te analyseren welke aanvalspaden in uw eigen omgeving werken: zoek combinaties van laag‑ernstige kwetsbaarheden die aandacht verdienen voordat een prioriteitsscore uw aandacht trekt.

Gesprekken met leveranciers moeten ook verder gaan dan de bewoordingen in de service level agreement. Contracten bevatten wat u en uw leveranciers jaren geleden hebben afgesproken, maar het dreigingsmodel is drastisch veranderd. Identificeer daarom eerst hoe lang het duurt voordat gevalideerde patches voor kwetsbaarheden na publieke openbaarmaking kunnen worden uitgegeven, en ontdek vervolgens welke mitigatiemaatregelen beschikbaar zijn terwijl u op de update wacht. Het is ook de moeite waard te vragen of zij hun product testen tegen de huidige AI‑ondersteunde aanvalstechnieken.

Beheer de blootstelling die u niet kunt wegnemen

De meeste organisaties kunnen niet aangeven hoe lang het duurt om een gevalideerde oplossing in productie te hebben zodra een exploit publiek is gemaakt. Richt u op het bepalen van dat getal zodat u kunt stoppen met het debat over patch‑vensters en kunt beginnen met het achterhalen welke leveranciers en systemen het langst blootgesteld blijven. Dat stelt u in staat te bepalen wat uw herstelinspanningen moeten prioriteren.

Het delen van informatie kan die besluitvormingscyclus aanzienlijk verkorten. Een van de snelste herstelbeslissingen die ik heb gezien, ontstaan wanneer een ziekenhuis van een collega hoort dat een leveranciersplatform wordt geëxploiteerd voordat de kwetsbaarheid publiekelijk wordt bekendgemaakt.

Het validatieweekend zelf zal niet groter worden. Ziekenhuizen blijven klinische systemen draaien met open kwetsbaarheden, wat betekent dat de segmentatiestrategie voor die systemen belangrijker moet worden dan het patch‑schema. Elk ziekenhuis moet in staat zijn, voor elk van zijn kritieke platformen, te specificeren wat er op het netwerk zou gebeuren als dat platform morgen wordt gecompromitteerd.