Onderzoekers en bachelorstudenten van de Universiteit Twente onderzochten afgelopen week of een escaperoom-simulatie van een cyberaanval bijdraagt aan het verhogen van de cybersecurity-awareness. Deelnemers waren medewerkers van zorginstellingen in Twente en de Oost-Achterhoek. Eerste resultaten tonen aan dat de escaperoom het cybersecuritybewustzijn onder zorgmedewerkers verhoogt: deelnemers geven bijvoorbeeld aan meer te letten op phishing, tijdig software-updates te installeren en het gebruik van sterke wachtwoorden in te zetten.
Organisator van de escaperoom was Acute Zorg Euregio (AZE), een regionaal netwerk van organisaties die betrokken zijn bij acute zorg. Dat is de zorg die binnen enkele minuten of uren moet worden verleend om te voorkomen dat een patiënt overlijdt of blijvende gezondheidsschade ondervindt, bijvoorbeeld na een ernstig ongeval. Een cybersecurity-incident, zoals een ransomware-aanval, brengt deze zorg in gevaar. Het is dus cruciaal dat zorgmedewerkers op de hoogte zijn van potentiële cyberrisico’s en weten wat ze moeten doen in geval van een cybercrisis.
De escaperoom vond plaats in een omgebouwde oplegger, de zogenoemde cybertruck. Het doel van de cybertruck was om bij zorgmedewerkers via een interactief spel bewustzijn op dit vlak te creëren en te vergroten. Deelnemers kregen de missie om een actieve hacker te stoppen. Zij kwamen daarbij in aanraking met diverse elementen van cybersecurity: ze vonden bijvoorbeeld een onbekende USB-stick. Deze stick diende juist niet te worden ingeplugd, omdat dat een infectierisico opleverde voor een computer. De studenten observeerden wat de zorgmedewerkers deden in de escaperoom. Achteraf kregen de medewerkers in een debriefing feedback over hoe deze kennis toepasbaar is in hun organisatie.
Onderzoek naar cyberweerbaarheid
UT-onderzoekers Jan-Willem Bullee & Luka Koning (Faculteit BMS): “Er zijn veel interventies ontwikkeld om cyberweerbaarheid te verhogen, maar vaak ontbreekt het aan goed onderzoek. Als het effect wel onderzocht wordt, vergeet men vaak te bekijken of het effect aanhoudt op de langere termijn en hoelang dan precies. Met meerdere metingen voor en na het cybertruck-experiment proberen we dat vast te stellen. De resultaten geven ons inzicht hoe zorgmedewerkers het beste te trainen tegen cyberrisico’s. Uiteindelijk voorkomt dat grote incidenten, zoals het platleggen van een organisatie door ransomware. Zo’n incident begint soms bij een simpele phishingmail.”
Tweehonderd deelnemers
“Met meer dan tweehonderd deelnemers kijken wij terug op een succesvolle training”, zegt Robin Schär, beleidsadviseur Crisisbeheersing en Opleidingen, Trainingen & Oefeningen bij AZE. “Eén van onze conclusies: de technische infrastructuur kan optimaal beveiligd zijn, maar menselijk handelen blijft bepalend voor het succes van die beveiliging.” Schär raadt zorgorganisaties aan om bewustwording om te zetten naar veilig gedrag: betrek iedere medewerker en blijf oefenen. “Wij zijn daarbij benieuwd naar de uitkomsten van het UT-onderzoek later dit jaar.”
De cybertruck werd ontwikkeld in opdracht van Netwerk Acute Zorg Brabant, de Noord-Brabantse zusterorganisatie van AZE. Bij de inzet in Enschede en Winterswijk op 3, 4 en 5 oktober 2023 namen ketenpartners van AZE deel, zoals onder andere de ziekenhuizen MST, ZGT en SKB, de GGD, huisartsen en ggz-instellingen.
Op de foto v.l.n.r. UT-student Luuk Spelbos, AZE-beleidsmedewerker Robin Schär en de gamemaster van de Cybertruck.
