Microsoft en Google schieten tekort in bescherming patiëntgegevens

Zorgorganisaties lopen ernstige risico’s bij het gebruik van Microsoft 365 en Google Workspace voor het verzenden van gevoelige medische informatie. Uit recent onderzoek van een gerenommeerd beveiligingsbedrijf blijkt dat deze populaire clouddiensten structurele tekortkomingen vertonen in het waarborgen van e-mailbeveiliging binnen de zorgsector.

De studie analyseerde 180 e-mailgerelateerde datalekken in de zorg tussen januari 2024 en januari 2025. Hieruit kwam naar voren dat de gebruikte beveiliging door Microsoft en Google vaak niet voldoet aan de huidige veiligheidseisen. Beide platforms maken gebruik van encryptie, maar in de praktijk blijkt deze bescherming regelmatig ontoereikend. Zo maakt Google Workspace in sommige situaties nog gebruik van verouderde TLS-protocollen, waaronder TLS 1.0 en 1.1, die als kwetsbaar en achterhaald worden beschouwd. Microsoft 365 gaat zelfs nog een stap verder: in bepaalde configuraties worden gevoelige gegevens zonder enige versleuteling – als platte tekst – verzonden.

Een belangrijke oorzaak ligt bij de verantwoordelijkheidsverdeling. Microsoft en Google bieden weliswaar de technische infrastructuur, maar verwachten dat zorginstellingen zelf zorgdragen voor een veilige inrichting van hun e-mailomgeving. Hierdoor ontstaat het risico dat organisaties ten onrechte aannemen dat hun communicatie automatisch voldoet aan de eisen van privacywetgeving en gegevensbescherming.

Uit het onderzoek blijkt bovendien een opvallende discrepantie tussen het vertrouwen van IT-professionals en de daadwerkelijke beveiligingspraktijken. Maar liefst 92 procent van de ondervraagde IT-leiders gaf aan te geloven dat hun organisatie goed beschermd is tegen e-maildatalekken. Tegelijkertijd constateert het rapport dat veel zorginstellingen essentiële maatregelen niet nemen of zelfs niet weten of hun e-mailverkeer daadwerkelijk veilig is.

De onderzoekers adviseren zorgorganisaties dan ook om extra stappen te zetten. Denk hierbij aan de implementatie van end-to-end encryptie, het actief monitoren van gebruikte TLS-versies en het regelmatig testen van e-mailconfiguraties. Standaardinstellingen van grote technologiebedrijven blijken onvoldoende waarborg te bieden voor de bescherming van gevoelige patiëntinformatie.

Het rapport benadrukt dat e-mailverkeer in de zorg nog steeds een zwakke schakel vormt. In een sector die steeds verder digitaliseert, is de noodzaak tot betere bescherming urgenter dan ooit. Zonder aanvullende beveiligingsmaatregelen blijft e-mail een risicovolle methode voor het verzenden van vertrouwelijke medische gegevens.

Door: Drifter