Cyber Threat Intelligence for Hospitals a A Systematic Literature Review

Ziekenhuizen zijn de plaatsen waar de samenleving naartoe keert wanneer het lichaam faalt, en bieden een continue stroom van zorg die mensen in leven houdt. Omdat deze instellingen enorme hoeveelheden gevoelige persoonlijke gegevens bevatten en de complexe machinerie beheren die het leven in stand houdt, zijn ze een primair doelwit geworden voor digitale aanvallers. Wanneer de computersystemen van een ziekenhuis worden verstoord, zijn de gevolgen niet louter financieel; ze kunnen levens kosten. Om deze kritieke faciliteiten te beschermen, bevelen beveiligingsexperts steeds vaker een proactieve aanpak aan die bekend staat als cyber dreigingsinformatie (cyber threat intelligence). In plaats van simpelweg hogere muren te bouwen om aanvallers buiten te houden, houdt deze aanpak in dat er informatie wordt verzameld over wie de aanvallers zijn, welke instrumenten zij gebruiken en hoe zij opereren, om die kennis vervolgens te gebruiken om hen te anticiperen en te stoppen voordat zij toeslaan. Het is een verschuiving van het reageren op een inbreuk naar het begrijpen van de vijand voordat zij arriveren.

Ondanks de dringende behoefte aan dergelijke bescherming, onthult een recente beoordeling van wetenschappelijk onderzoek een opvallende kloof: er is zeer weinig specifieke kennis over hoe deze intelligentiemethoden binnen ziekenhuizen toe te passen. Onderzoekers van de Brandenburg University of Applied Sciences in Duitsland zetten zich in om te begrijpen waarom dit het geval is. Zij voerden een systematische zoektocht uit in de wetenschappelijke literatuur, waarbij zij zochten naar elke studie die tussen 2020 en mei 2025 specifiek over cyber dreigingsinformatie voor ziekenhuizen had gepubliceerd. Zij wierpen een breed net door miljoenen records in belangrijke wetenschappelijke databases te doorzoeken, gebruikmakend van termen gerelateerd aan ziekenhuizen, medische apparatuur en digitale gezondheidszorg. Na het verwijderen van duplicaten en het filteren van studies die niet aan hun strikte criteria voldeden, bleven er slechts zeven publicaties over die het onderwerp direct aanpakten.

De schaarste van deze zeven artikelen vertelt een verhaal op zich. De onderzoekers ontdekten dat de meeste bestaande studies sterk gericht zijn op de technische verzameling van gegevens — het verzamelen van ruwe informatie over aanvallen — maar vaak tekortschieten in het uitleggen van hoe die gegevens worden omgezet in bruikbare intelligentie voor een ziekenhuisomgeving. Hoewel de studies verschillende manieren voorstellen om informatie te verzamelen, zoals het monitoren van netwerkverkeer of het analyseren van hackerfora, bespreken zij zelden de praktische realiteit van een ziekenhuis. Geen van de zeven artikelen hield rekening met de specifieke grootte van het ziekenhuis, de verschillende afdelingen binnen het gebouw, of de unieke mix van standaardcomputers en gespecialiseerde medische apparatuur die een modern ziekenhuisnetwerk vormen. Het onderzoek heeft de neiging ziekenhuizen als generieke doelwitten te behandelen, waarbij de cruciale nuances die hen uniek maken, worden gemist.

Een aanzienlijk deel van het bestaande onderzoek worstelt ook met een fundamenteel gebrek aan overeenstemming over wat de termen zelfs betekenen. In de wereld van cyber dreigingsinformatie gebruiken verschillende auteurs verschillende definities voor dezelfde concepten, wat verwarring creëert en de vooruitgang vertraagt. Sommige artikelen definiëren het proces als een product, terwijl anderen het zien als een team of een reeks activiteiten. Dit gebrek aan een gedeelde taal maakt het voor onderzoekers moeilijk om voort te bouwen op elkaars werk. De auteurs van deze review stellen een duidelijkere, verenigde definitie voor om toekomstige studies te helpen de taal van elkaar te spreken, waarbij zij benadrukken dat intelligentie een proces is van het omzetten van ruwe data in bruikbare kennis om verdedigers te helpen betere beslissingen te nemen.

De review belicht ook een kritieke disconnect tussen de digitale wereld en de fysieke medische apparaten waar patiënten op vertrouwen. Hoewel de studies medische apparaten noemen, onderzoeken zij zelden de specifieke typen apparatuur die in ziekenhuizen worden gevonden, zoals draagbare monitors, stationaire beeldvormingsapparaten of geïmplanteerde apparaten. Deze apparaten draaien vaak op oudere software en hebben strikte veiligheidseisen die voorkomen dat ze op dezelfde manier kunnen worden bijgewerkt of gemonitord als een standaard kantoorcomputer. Het bestaande onderzoek negeert deze beperkingen vaak, en stelt oplossingen voor die wellicht werken voor een bank of een universiteit, maar die in een omgeving met levensondersteunende systemen gevaarlijk of onmogelijk kunnen zijn. Bovendien onderzoeken de studies zelden hoe ziekenhuizen veilig dreigingsinformatie kunnen delen met hun buren, zoals hulpdiensten of medische leveranciers, zonder de strikte privacywetgeving van patiënten te schenden.

Uiteindelijk concludeert de review dat hoewel het idee om cyber dreigingsinformatie te gebruiken om ziekenhuizen te beschermen een goed idee is, de huidige research te beperkt en te abstract is om werkelijk nuttig te zijn in de echte wereld. De weinige studies die bestaan, zijn voornamelijk theoretische bewijzen of simulaties, in plaats van tests gebaseerd op werkelijke ziekenhuisoperaties. De auteurs betogen dat voor de volwassenwording van dit veld, toekomstig onderzoek verder moet gaan dan generieke informatica-concepten en zich diepgaand moet engageren met de specifieke, risicovolle realiteit van ziekenhuizen. Dit betekent het begrijpen van de unieke medische apparatuur, de strikte privacyregels en de organisatiestructuur van zorgverleners. Totdat onderzoekers zich op deze real-world details richten, zal de belofte van proactieve bescherming slechts dat blijven — een belofte, in plaats van een beoefende realiteit voor de ziekenhuizen die de samenleving veilig houden.