Het patroon is opvallend. Een zorginstelling bestelt nieuwe laptops of smartphones. Kort na levering, soms binnen een dag, worden ze gestolen. Niet bij toeval. De timing klopt te goed, de beveiligingsmaatregelen worden te makkelijk omzeild en de dader weet precies waar de apparatuur ligt. Dit zijn geen willekeurige inbraken. Dit is diefstal met voorkennis.
Bij Sovib zien we dit met enige regelmaat voorkomen. Het gaat om gerichte diefstal van nieuw uitgeleverde IT-apparatuur, vaak ter waarde van tienduizenden euro's per incident. En vrijwel altijd wijst het patroon in dezelfde richting: iemand binnen de organisatie wist van de levering.
Waarom zorginstellingen extra kwetsbaar zijn
Zorginstellingen hebben een aantal kenmerken die dit type diefstal in de hand werken. Er zijn veel locaties, vaak met wisselende bezetting. De toegang tot gebouwen is niet altijd strikt geregeld. Er werken veel mensen, inclusief flexkrachten en uitzendmedewerkers, waardoor het overzicht over wie wanneer waar is snel verloren gaat.
Daar komt bij dat de zorgsector een vertrouwenscultuur kent. Medewerkers werken intensief samen, kennen elkaars roosters en weten hoe de organisatie functioneert. Dat is een kracht, maar het maakt de sector ook kwetsbaar. Uit onderzoek blijkt dat bij 90% van de gevallen van bedrijfsdiefstal informatie van binnenuit de dader heeft geholpen. Niet altijd bewust. Soms volstaat een terloopse opmerking in de kantine over de "nieuwe laptops die morgen komen" om iemand met verkeerde bedoelingen in beweging te zetten.
In eerdere blogs over fraude onder eigen medewerkers en medicatiediefstal hebben we beschreven hoe personeelskrapte, hoge werkdruk en laagdrempelige toegang een voedingsbodem vormen voor intern misbruik. Diefstal van IT-apparatuur past in datzelfde plaatje.
Het gaat niet alleen om de apparatuur
Een gestolen laptop van 1.200 euro is vervelend. Maar de werkelijke schade gaat verder. Op die laptop staan mogelijk patiëntgegevens, inloggegevens voor zorgsystemen of toegang tot het netwerk van de instelling. Een diefstal wordt dan al snel een datalek, met meldplicht bij de Autoriteit Persoonsgegevens en mogelijk bij de IGJ onder de Cyberbeveiligingswet.
Tel daarbij op: de kosten van vervanging, de uren die de IT-afdeling kwijt is aan het blokkeren van accounts en het opnieuw inrichten van apparatuur, de verstoring van het werkproces en de onrust onder medewerkers. Per incident lopen de totale kosten al snel op tot een veelvoud van de aanschafwaarde.
Wat u kunt doen
Het voorkomen van deze vorm van diefstal begint bij het beperken van voorkennis. Houd de kring van mensen die weten wanneer en waar IT-apparatuur wordt geleverd zo klein mogelijk. Communiceer leverdata niet breder dan strikt noodzakelijk en vermijd het opslaan van nieuwe apparatuur in algemeen toegankelijke ruimtes.
Zorg dat de levering op een beveiligde locatie plaatsvindt, bij voorkeur met toegangsregistratie. Leg vast wie de apparatuur in ontvangst neemt en wanneer deze wordt uitgegeven. En maak gebruik van asset-registratie: als elke laptop en smartphone met serienummer en gebruiker is gekoppeld, is het bij diefstal direct duidelijk wat er ontbreekt.
Daarnaast is het verstandig om bij terugkerende diefstal een patroonanalyse uit te voeren. Is er een verband tussen leveringen en incidenten? Wie had toegang tot de informatie over de levering? Wie had fysiek toegang tot de opslaglocatie? Soms leidt een simpele vergelijking van deze gegevens al tot de kern van het probleem.
En als u vermoedt dat het om diefstal met voorkennis gaat: doe aangifte. Niet alleen om uw eigen schade te verhalen, maar ook om te voorkomen dat dezelfde persoon bij een andere instelling opnieuw toeslaat.
Verzekeringstechnisch goed geregeld?
Controleer of uw inventaris- of inboedelverzekering ook nieuw geleverde apparatuur dekt die nog niet aan individuele gebruikers is uitgegeven. In de praktijk blijkt dat niet altijd het geval. Apparatuur die "in opslag" staat, valt soms buiten de dekking of is onvoldoende verzekerd tegen diefstal.
Ook een geld- en fraudeverzekering kan relevant zijn als blijkt dat de diefstal door of met medewerking van een eigen medewerker is gepleegd. Controleer wat uw polis dekt en bespreek met uw adviseur of de huidige dekking past bij het risico.
Vertrouwen is goed, controle is noodzakelijk
Diefstal van IT-apparatuur is geen onderwerp waar zorginstellingen graag over praten. Het raakt aan vertrouwen, aan de relatie met medewerkers en aan het beeld dat een organisatie van zichzelf heeft. Maar wegkijken maakt het probleem niet kleiner. Een paar heldere procedures, beperkte informatiedeling en goede registratie kunnen het verschil maken tussen een incident en een patroon.
Heeft u vragen over de verzekerbaarheid van diefstal of wilt u sparren over preventieve maatregelen? Neem contact op met Sovib of bel 010-4113751. We denken graag met u mee.