Minder kosten en complexiteit voelt beter dan ooit

Ziekenhuis Oost-Limburg is een samenwerkingsverband met meer dan 1.000 ziekenhuisbedden en bestaat uit twee verschillende zorginstellingen: ZOL Genk en ZOL Maas en Kempen. ZOL Genk zit op drie locaties: campus Sint-Jan in Genk, campus Sint-Barbara in gemeente Lanaken en Medisch Centrum André Dumont in de wijk Waterschei. ZOL Maas en Kempen ligt in de stad Maaseik, op ongeveer 30 kilometer van Genk.

En hoe zit het met de IT-structuur? Deze omvat 4 campussen met ongeveer 450 switches, 1.200 access points en meer dan 20.000 endpoints. Met andere woorden: geen eenvoudige omgeving. Zeker niet omdat het netwerk- en security-team uit slechts 4 personen bestaat. Zij zijn verantwoordelijk voor het netwerk, firewalls, spraakinfrastructuur, vergaderruimten en eigenlijk alles wat met communicatie en data te maken heeft.

“De hele digitalisering van de zorgomgeving is sterk afhankelijk van een stabiel en schaalbaar netwerk. Kortom, zonder connectiviteit werkt niets. Maar het valt niet mee om alles draaiend te houden, zodat we de best mogelijke zorg kunnen leveren met zo min mogelijk risico”, zegt Kurt Gielen, IT-manager bij het Ziekenhuis Oost-Limburg.

De snelle technologische evolutie in de gezondheidszorg bracht heel wat nieuwe eisen met zich mee op het vlak van mobiliteit, efficiëntie en security. Kurt Gielen en zijn team kregen steeds meer moeite om veilige connectiviteit te garanderen voor nieuwe apparaten en technologie.

Aan de andere kant waren er enkele specifieke vereisten met betrekking tot de oude legacy-apparaten en IP-mobiliteit. Het bestaande layer 2-netwerk van ZOL, voornamelijk gebouwd op producten en oplossingen van één grote netwerkleverancier, in een klassiek, ‘statisch’ model, hielp niet echt bij het oplossen van deze problemen. Daarom bedacht Kurt Gielen een plan.

“We wilden een veilig, veerkrachtig fabric-gebaseerd netwerk bouwen. Een netwerk waarmee we IP-mobiliteit konden bieden over verschillende campussen, met de flexibiliteit van een layer 2 legacy-netwerk zonder de nadelen. Ik heb een ontwerp gemaakt, een schets van mijn ideale netwerk, zonder dat ik precies wist welke technologieën nodig waren om het te realiseren.”

Om die visie tot leven te brengen, deed ZOL een beroep op de diensten van Orange Cyberdefense, de toonaangevende cybersecurity-dienstverlener.

Een logische eerste stap naar de gedroomde oplossing, is navragen wat je huidige leverancier kan betekenen. Zeker aangezien deze leverancier marktleider was. Maar helaas was dat geen oplossing.

“Die oplossing die zij boden, was te specifiek voor ons. We wilden ook geen model met abonnementen, want met onze omvang en combinatie van diensten zouden de kosten daarmee vrij snel uit de hand kunnen lopen. Ook voelde het ontwerp van de netwerkedge-oplossing erg complex aan, met talloze controllers en veel overhead voor netwerkbeheer. We moeten ziekenhuizen 24/7 ondersteunen, dus we hadden simpelweg niet de luxe om zo'n ingewikkelde oplossing te implementeren. Het netwerk zelf was al complex genoeg”, zegt Kurt Gielen.

“Ziekenhuis Oost-Limburg zocht meer eenvoud, gebruiksgemak, security en kostenefficiëntie, en dat is precies wat we voor dit project hebben geleverd”, zegt Bart Manteleers, Head of Business Development bij Orange Cyberdefense Belgium. Bart gaf leiding aan het consultantteam dat verantwoordelijk was voor zowel de implementatie als de aftersales. “We hebben verschillende technologieën vergeleken om te zien welke het beste past bij de behoeften van ZOL. Uiteindelijk kwam de Extreme Fabric Connect-oplossing als beste uit de bus.”

IT-engineers die niet veel netwerkervaring hebben, zien security vaak als kleine eilandjes die via een firewall zijn verbonden. In werkelijkheid is het een stuk ingewikkelder dan dat. Met Extreme Fabric Connect kunnen complexe zorgorganisaties zoals ZOL dat idee echter vrij moeiteloos vertalen naar een zogenaamd Layer 2 Virtual Services Network (L2 VSN). Een VLAN dat is toegewezen aan een Service ID en is geïsoleerd op het netwerk. Het heeft verschillende uitbreekpunten op diverse campussen, maar is virtueel geïmplementeerd, waardoor het heel gemakkelijk uit te leggen is aan applicatie- en systeemengineers.

Bovendien kon ZOL dankzij de oplossing de netwerksegmentatie op een zeer gestructureerde manier doorvoeren.

“Het is niet binair. We hebben een macro-segmentatie ingeschakeld door het implementeren van verschillende Virtual Routing Domains (VRF's), wat perfect mogelijk is binnen de fabric. Ik heb virtuele routes ingeschakeld voor verschillende bedrijfsfuncties, zoals medische apparaten, gebouwbeheersystemen of communicatie. We koppelen ze aan elkaar op een interne segmentatiefirewall. We kunnen ook overweg met de eigen apparaten van patiënten of bezoekers, omdat verschillende verkeersstromen heel eenvoudig gesegmenteerd en geïsoleerd kunnen worden gehouden. Vervolgens konden we vrij eenvoudig hypersegmentatie en microsegmentatie op VRF-niveau verder definiëren, waardoor het uitvoeren van oost-westverkeer tussen endpoint devices onmogelijk werd. Dat is een grote stap voorwaarts in onze security. Penetratietests op het resterende legacy-gedeelte en de hypergesegmenteerde fabric toonden duidelijk dat het een heel andere tak van sport is”, zegt Kurt Gielen.

Nu we weten hoe de security werkt, bekijken we een paar praktijkvoorbeelden van de voordelen van Extreme Fabric Connect voor het netwerkteam van Ziekenhuis Oost-Limburg.

In het verleden werden Kurt Gielen en zijn collega's meermaals gevraagd om een verbinding op te zetten, zonder dat ze echt wisten hoe ze dat moesten doen zonder securityrisico’s. Bijvoorbeeld: een arts wilde een VR-bril gebruiken in de operatiekamer, maar omdat de netwerkspecialisten de leverancier niet kenden, konden ze de technologie niet op een veilige manier integreren.

“Vaak moet je uitzoeken welke segmentatieregels het apparaat nodig heeft, omdat je de securityvereisten niet kent. Nu hebben we ons segmentatieplan. Het is nu een kwestie van het apparaat plaatsen op de juiste plek, de authenticatiereferenties invoeren, het apparaat aansluiten en het is standaard gesegmenteerd en beveiligd. Hierdoor konden we dat soort verzoeken heel snel beantwoorden en ons integratietempo versnellen.”

Een ander voorbeeld: in een van de ZOL-ziekenhuizen was onlangs een politiebureau ingericht dat moest worden aangesloten op het lokale netwerk. Het zijn beide openbare instanties, maar vanuit technisch oogpunt is het politiebureau een externe partij. Kurt Gielen kon ook die uitdaging aan.

“Dankzij Extreme Fabric Connect konden we ze eenvoudig een eiland toewijzen binnen ons netwerk en ze het volledige beheer van hun eigen omgeving geven, zonder het netwerk van het ziekenhuis te beïnvloeden. En die functionaliteit is oneindig schaalbaar - we kunnen vrijwel al dat soort implementaties accommoderen. Het is voor ons heel prettig om een kant-en-klare oplossing te hebben voor dit soort verzoeken.”

Het migratieproject, uitgevoerd door Orange Cyberdefense, ging begin 2019 van start. Oorspronkelijk had het IT-team van ZOL een vierjarenplan voor ogen voor de volledige overgang. Tijdens het project kwamen echter twee grote problemen naar voren: een fusie met het ziekenhuis Maas en Kempen in Maaseik en de coronapandemie. In beide gevallen bleek de bestaande Fabric Connect-infrastructuur geweldige kansen te bieden.

“Ik heb genoeg fusies meegemaakt om te weten dat ze zelden gemakkelijk verlopen. Maar aangezien we van tevoren een echt solide en schaalbaar ontwerp hadden, konden we een heel eenvoudige kopie maken van wat we al hadden. We hebben de switches in het andere datacenter geplaatst, met elkaar verbonden via enkele huurlijnen, en de fabric uitgebreid. Binnen een week waren we al legacy devices aan het migreren naar de nieuwe fabric. We kunnen heel gemakkelijk een switch eruit halen, een nieuwe plaatsen of een nieuwe link toevoegen aan de SPBM-fabric, zonder na te denken over het configureren van OSPF, routeringsprotocollen of dat soort dingen”, zegt Kurt Gielen.

Een jaar na de migratie kwam corona naar Europa. Dat zorgde voor een dubbele uitdaging. Uiteraard kon er geen personeel op locatie werken aan het uitrollen van de fysieke apparaten. Aan de andere kant was er een enorme piek in de vraag naar virtuele video-boardrooms.

“De positieve kant is dat we aan die eisen konden voldoen dankzij de technologie die vóór maart 2020 door Orange Cyberdefense werd geleverd. Vanaf het allereerste begin konden we Fabric Connect gebruiken om eenvoudig de segmenten voor virtuele boardrooms te ontwerpen en te bouwen, om dat soort apparatuur mooi geïsoleerd en snel aan boord te hebben. En ik kan zeggen dat we ondanks corona voor liggen op schema met onze migratie.”

De enorme complexiteit en onderlinge afhankelijkheid binnen een IT-omgeving van een ziekenhuis is voor veel mensen nauwelijks te bevatten.

“Tegenwoordig moet alles en iedereen verbonden zijn met alles en iedereen. Hetzelfde geldt voor een ziekenhuisomgeving. Vanaf het moment dat de patiënt arriveert, is hij of zij onderdeel van een uitgebreid digitaal proces”, zegt Bart Manteleers. "Het is cruciaal om een onderliggend netwerk te hebben dat een deel van die complexiteit wegneemt."

“We zijn een IT-organisatie binnen een ziekenhuis en onze missie is het leveren van betere patiëntenzorg. Voor ons is het netwerk slechts een hulpmiddel om ons werk te doen.  We zien het ook echt als hulpmiddel en niet als obstakel. Een systeem complexer maken, is niet zo moeilijk, maar het wegnemen van complexiteit is een heel andere uitdaging”, zegt Kurt Gielen.

Last but not least is er nog een ander belangrijk aspect van minder netwerkcomplexiteit, en dat is natuurlijk geld.

“Als je als IT-manager een beslissing neemt, ben je er niet altijd 100% zeker van dat het de juiste is. De enige manier om daarachter te komen, is zien hoe het in de praktijk werkt. Je moet ook rekening houden met de total cost of ownership, die pas duidelijk wordt als je bezig bent met de kleinste details van de implementatie. Dan komen de meeste verborgen kosten naar voren. De Extreme Fabric Connect-oplossing van Orange Cyberdefense beperkt dat soort verrassingen tot een absoluut minimum en ik ben er vrij zeker van dat dat niet zo zou zijn geweest als we een andere technologie hadden gekozen. De segmentatie van layer 2, de mogelijkheid om op een gemakkelijke manier te hypersegmenteren voor een multi-campus fabric-oplossing in de edge die heel gemakkelijk is te gebruiken, met zeer schaalbare, maar toch niet te specifieke extensies... Alles bij elkaar geloof ik echt dat we de best mogelijke keuze hebben gemaakt”, vat Kurt Gielen samen.

Orange Cyberdefense is de entiteit van de Orange Group die zich toelegt op cybersecurity. Het heeft wereldwijd 8.500 klanten. Als toonaangevende aanbieder van cybersecurity-diensten streven we ernaar vrijheid te beschermen en een veiligere digitale samenleving op te bouwen. Onze dienstverlening leunt op onderzoek en kennis. Daardoor bieden we onze klanten ongeëvenaarde kennis van huidige en opkomende bedreigingen. Met 25 jaar ervaring op het gebied van informatiebeveiliging, meer dan 2.700 experts, 17 SOC's en 13 CyberSOC's wereldwijd, weten we hoe we de globale en lokale vraagstukken van onze klanten moeten aanpakken. We beschermen ze gedurende de hele levenscyclus van bedreigingen in meer dan 160 landen.