Zorginstellingen hoeven niet te schrikken van de boete voor het Hagaziekenhuis

In dit artikel zetten we op een rijtje hoe je heel pragmatisch kunt voorkomen dat je tegen een boete aanloopt. Om te beginnen is het van belang wat voor type zorginstelling je bent. Een ziekenhuis heeft een medisch dossier van zijn patiënten. De meeste zorginstellingen echter beschikken helemaal niet over een medisch dossier. Dat ligt bij de arts. Wat ze wel hebben, is te typeren als een behandelplan voor de patiënt of beter gezegd de cliënt. De gevoeligheid van de informatie in dit behandelplan is veel minder groot dan van die in een medisch dossier. Uit de behandeling die een cliënt krijgt, is vaak maar beperkt af te leiden wat er medisch gezien aan de hand is met die cliënt. Er is dus nauwelijks sprake van bijzondere persoonsgegevens in zo’n dossier.

Geldt dit voor u? De beveiligingseisen zijn dan sowieso minder hoog dan bij het Haga Ziekenhuis. Natuurlijk moet je dit dan wel als overweging vastleggen in de risicoanalyse en het beleid.

Het wettelijk kader voor de boete

In haar oordeel verwijst de AP naar de NEN 7510 en de NEN 7513 als wettelijk kader. Terecht uiteraard. De AP verwijst echter naar een aantal maatregelen uit deel 2 van de NEN 7510. Dat is leuk,  maar deel 2 bestaat uit een hoeveelheid best practices, die niet zonder meer verplicht zijn. In het verplichte deel 1 in par. 6.1.3 staat tenslotte:
 “De organisatie moet een behandelprocedure voor informatiebeveiligingsrisico’s definiëren en toepassen om:

1. passende opties voor het behandelen van informatiebeveiligingsrisico’s te kiezen, rekening houdend met de resultaten van de risicobeoordeling;
2. alle beheersmaatregelen vast te stellen die nodig zijn om de gekozen optie(s) voor het behandelen van informatiebeveiligingsrisico’s te implementeren;

OPMERKING Organisaties kunnen beheersmaatregelen naar behoefte ontwerpen of ze uit een bepaalde bron halen.

      c. de beheersmaatregelen die hiervoor in 6.1.3 b) zijn vastgesteld te vergelijken met die in deel 2, en om te verifiëren dat geen noodzakelijke beheersmaatregelen zijn weggelaten;

OPMERKING  Deel 2 bevat een uitgebreide lijst van beheersdoelstellingen en beheersmaatregelen. Gebruikers van deze Norm worden verwezen naar deel 2 om te bewerkstelligen dat geen noodzakelijke beheersmaatregelen over het hoofd worden gezien.”

Kortom, als je bij de risicobeoordeling vaststelt dat het risico – gezien de vertrouwelijkheid van de dossiers – beperkt is, dan kunt je zelf passende maatregelen definiëren. (Zie ook ‘Aanpak implementatie NEN 7510 kan nu ook pragmatisch’). Als je dat netjes doet, dan voldoet je aan het wettelijk kader dat de grondslag was voor de boete voor het Haga Ziekenhuis.

Het monitoren van de loggings

Het monitoren van de loggings is aan de andere kant niet zo’n vreemde eis. Als je dat niet doet, dan weet je natuurlijk nooit of er inbreuk gemaakt wordt op de beveiliging. Alleen geldt voor de meeste loggings van systemen met clientinformatie, dat deze totaal ongeschikt zijn om te monitoren. Vaak kun je wel zien wie er op een bepaald moment zijn ingelogd, maar op zich is dat in feite non-informatie. Het is namelijk moeilijk om te beoordelen of die gebruikers en beheerders ook bevoegd zijn om de informatie in te zien. Wat je wilt, is een overzicht van alle verdachte inlogpogingen. Zo wil je bijvoorbeeld kunnen zien, dat een beheerder een dossier inkijkt of dat een zorgverlener toegang krijgt tot een dossier waar hij of zij niet toe gemachtigd is. Als je dat kunt, dan is monitoren ook niet zo moeilijk meer. Het is dus zaak dat jouw leverancier deze mogelijkheid inbakt in zijn software. Bovendien kan er een alert ingebakken worden, als binnen een bepaald tijdsbestek meer dan 5 of 10 keer toegang gevraagd wordt tot een dossier. Deze eisen moeten nadrukkelijk bij de leverancier neergelegd worden en de leverancier moet daar ook aan voldoen, gezien de verwerkersovereenkomst. Het is handig, als alle gebruikers van de software hierbij gezamenlijk optrekken. Het vergt uiteraard enige tijd om dit te realiseren en dus moet er ergens vastgelegd worden, dat het risico op onbevoegde toegang tijdelijk geaccepteerd wordt.

Hetzelfde geldt voor de two factor authenticatie. Het is aan de leverancier om dit mogelijk te maken. Ook hiervan moet je weer netjes vastleggen, dat het tijdelijk wordt geaccepteerd, dat dit nog niet mogelijk is.

Kan ons patiënten- of cliëntenportaal dan wel?

De laatste jaren is er zwaar gepusht om patiënten en cliënten via een portaal inzage te geven in hun dossier. Maar loop je daar dan geen groot risico mee? Eigenlijk valt dit wel mee, wanneer je de goede software heeft. Deze moet er voor zorgen, dat er slechts toegang wordt verkregen tot één dossier. Voor beheerders of gebruikers die toegang hebben tot meerdere dossiers geldt weer two factor authenticatie. En geef de patiënt of cliënt zelf de mogelijkheid om aan  bijvoorbeeld mantelzorgers accounts toe te wijzen en te monitoren wie toegang heeft gehad tot zijn of haar dossier.

Wanneer je dit zo hebt geregeld, heeft je in onze optiek voldoende maatregelen getroffen, mits een patiënt of cliënt tenminste ook de optie heeft dat zijn dossier niet in het portaal wordt opgenomen.

Maak van een mug geen olifant

Uit voorgaande blijkt dat het helemaal niet zo moeilijk is om aan de NEN 7510 te voldoen. Zolang je maar het nodige vastlegt over risico’s, beleidskeuzes, maatregelen en monitoring. Eigenlijk komt het neer op: “Zeg wat je doet, doe wat je zegt en laat zien dat je dat gedaan hebt.” Dat laatste is echter bij de meeste zorginstellingen een zwak punt. Een aanpak voor zo’n traject vind je in het artikel ‘Architectuur en aanpak ISO 27001’.

Certificeren is vaak niet nodig, mits je wel een interne audit laat uitvoeren door een onafhankelijke auditor en kunt aantonen dat je wat met de aanbevelingen uit die audit gedaan heeft. Laat je jaarlijks een audit uitvoeren, dan heeft je een prachtig werkend managementsysteem en krijgt informatiebeveiliging de aandacht die het verdient. Natuurlijk niet  meer dan het verlenen van zorg, want je bent tenslotte zorgverlener. Maar wel genoeg om in elk geval reputatieschade door een datalek te vermijden.