Toegang tot de professionele messaging van het CHU van Montpellier is gebaseerd op multi-factor authenticatie gekoppeld aan een intern netwerk dat per locatie is gesegmenteerd. Voor een ziekenhuismedewerker beperkt de verbinding zich niet tot het invoeren van een gebruikersnaam en wachtwoord: de volgorde van de handelingen, het type netwerk dat wordt gebruikt en het gekozen apparaat bepalen het succes of falen van elke poging.
Risico’s verbonden aan messaging in zorginstellingen
Messaging is een van de meest voorkomende compromitteringskanalen in de ziekenhuissector. Volgens de AOCSI houdt een aanzienlijk deel van de geanalyseerde cyberbeveiligingsincidenten in zorginstellingen in dat accounts zijn gecompromitteerd, en messaging behoort tot de meest gebruikte kanalen door aanvallers.
Deze vaststelling heeft directe gevolgen voor de medewerkers van het CHU van Montpellier. Het invoeren van je inloggegevens op een niet-officiële portal stelt het account bloot aan onmiddellijke diefstal. Phishingpogingen richten zich regelmatig op ziekenhuispersoneel met pagina’s die de inloginterface nabootsen.
De ANSSI herinnert er bovendien aan dat de beveiliging van de externe toegang niet alleen afhankelijk is van het wachtwoord of de MFA: de apparaten die worden gebruikt om verbinding te maken zijn even belangrijk. Een medewerker die toegang zoekt tot de messaging van het CHU Montpellier voor medewerkers via een link die buiten de officiële kanalen van de instelling is gevonden, loopt een risico dat noch multi-factor authenticatie, noch een robuust wachtwoord kan compenseren.
| Aanvalsvector | Risico voor de medewerker | Hoofdbescherming |
|---|---|---|
| Phishing via e-mail | Diefstal van inloggegevens via valse portal | Controleer de URL voordat je iets invoert |
| Open sessie op gedeeld apparaat | Toegang tot het account door een derde | Systematische uitlog |
| Verbinden vanaf een onveilig netwerk | Interceptie van uitgewisselde gegevens | Gebruik het interne netwerk of de officiële externe toegang |
| Niet-gevalideerde derde applicatie | Blootstelling van gezondheidsgegevens | Beperk je tot de tools die door het CHU worden aangeboden |
MFA-registratie op het interne netwerk van het CHU Montpellier: de val van de eerste verbinding
Het meest voorkomende blokkadepunt doet zich voor bij de allereerste verbinding. De MFA-registratie moet plaatsvinden vanaf het interne netwerk van het CHU, dat wil zeggen door fysiek aanwezig te zijn in een dienst, verbonden met het bekabelde netwerk of het professionele Wi-Fi van de instelling.
Pogingen om de eenmalige code te activeren vanaf een gast-Wi-Fi, vanuit huis of via een mobiele hotspot blokkeren de procedure. Het systeem geeft niet altijd een duidelijke foutmelding, wat sommige medewerkers ertoe aanzet om meerdere pogingen te doen en hun account te vergrendelen.
Concreet stappen voor een succesvolle registratie
- Ga naar je dienst, op een apparaat dat verbonden is met het interne netwerk van het CHU (bekabeld of professioneel Wi-Fi, niet het “gast” netwerk)
- Start de procedure voor het koppelen van het professionele account aan de authenticatie-app (zoals Microsoft Authenticator) door de instructies op het scherm te volgen
- Bevestig de eenmalige code die door de app is gegenereerd om de registratie te bevestigen
- Eenmaal deze stap voltooid op het interne netwerk, wordt verbinding maken van buitenaf mogelijk
Een mislukte registratie vergrendelt het account zonder duidelijke waarschuwing. Als de blokkade optreedt, is de enige oplossing om de IT-ondersteuning van het CHU te contacteren om de procedure opnieuw in te stellen.
Externe toegang tot de messaging van de medewerker: netwerk, apparaat en beveiligingsafwegingen
Eenmaal de MFA-registratie gevalideerd is, wordt toegang van buiten het CHU functioneel. De verbinding gebeurt via de officiële webportal van de instelling (toegankelijk vanaf het extranet van het CHU van Montpellier). Twee punten verdienen bijzondere aandacht afhankelijk van het gebruikte apparaat.
Persoonlijk apparaat of gedeeld apparaat
Op een gedeeld apparaat (verpleegkamer, wachtkamer) kan de browser voorstellen om het wachtwoord automatisch op te slaan of een sessie open te houden. Weiger het opslaan van het wachtwoord en sluit de sessie na elk gebruik blijft de enige betrouwbare manier om ongeautoriseerde toegang tot het account te voorkomen.
Op een persoonlijk apparaat thuis is het risico anders. De medewerker beheert de omgeving, maar het thuisnetwerk biedt niet de bescherming van het interne ziekenhuisnetwerk. Gebruik uitsluitend de externe toegang die door het CHU wordt aangeboden (en niet een zoekmachine om de inlog-URL te vinden) beperkt de blootstelling aan phishing.
Mobiele toegang: gemak versus privacy
Je professionele messaging raadplegen vanaf een smartphone is verleidelijk voor een medewerker die tussen verschillende locaties van het CHU in beweging is. De keuze tussen mobiele browser en specifieke applicatie impliceert een afweging. De officiële applicatie biedt een versleuteld kanaal, terwijl de mobiele browser afhankelijk is van de configuratie van de telefoon (updates, certificaten, afwezigheid van malware).
In beide gevallen beschermt de MFA de initiële verbinding. Het verschil zit in de persistentie van de sessie: een applicatie kan een toegang langer openhouden dan een browser-tabblad, wat de blootstellingsperiode vergroot als de telefoon verloren of gestolen wordt.
Verlopen wachtwoord of desynchronisatie van MFA: veelvoorkomende blokkades oplossen
Twee situaties veroorzaken de meeste oproepen naar de IT-ondersteuning van het CHU.
De eerste betreft de vervaldatum van het wachtwoord. De ziekenhuisbeveiligingsbeleid vereist een regelmatige vernieuwing. Een medewerker die zich al enkele weken niet heeft aangemeld, kan ontdekken dat zijn wachtwoord niet meer geldig is. De vernieuwing van het wachtwoord vereist vaak toegang tot het interne netwerk, wat betekent dat je fysiek naar de locatie moet gaan als de procedure voor externe reset niet eerder is ingesteld.
De tweede betreft de desynchronisatie van de MFA. Van telefoon wisselen, de authenticatie-app resetten of simpelweg deze de-installeren en opnieuw installeren verbreekt de verbinding tussen het account en de codegenerator. De procedure voor herregistratie verloopt via de IT-ondersteuning, die de identiteit van de medewerker controleert voordat het account wordt ontgrendeld.
- Verlopen wachtwoord: inloggen vanaf het interne netwerk om het te vernieuwen, of de ondersteuning contacteren als de externe reset niet beschikbaar is
- MFA desynchronisatie na telefoonwissel: contacteer de ondersteuning voor herregistratie
- Account vergrendeld na meerdere pogingen: wacht de automatische ontgrendelingsperiode af of bel de ondersteuning
De messaging van het CHU van Montpellier is gebaseerd op een balans tussen toegankelijkheid en bescherming van gezondheidsgegevens. Elke technische beperking (registratie op het interne netwerk, MFA, vervaldatum van het wachtwoord) is een reactie op een gedocumenteerde bedreiging in de ziekenhuissector. Het anticiperen op deze stappen, vooral de initiële registratie en het veiligstellen van de MFA-configuratie bij een apparaatwisseling, voorkomt de meeste blokkades die door medewerkers worden gemeld.
