10   Beheer van communicatie- en bedieningsprocessen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Goed beheer van voorzieningen is van belang voor informatiebeveiliging. Het vastleggen van procedures en verantwoordelijkheden moet een correcte en veilige bediening van ICT-voorzieningen zo veel mogelijk waarborgen. Een goede planning en voorbereiding zijn noodzakelijk om te kunnen garanderen dat de correcte systeemcapaciteit en de correcte hulpbronnen beschikbaar zijn. De integriteit en beschikbaarheid van apparatuur, gegevens en gegevensverwerkende diensten en communicatiediensten moet worden beschermd om het risico van beveiligingsincidenten tot een minimum te beperken.
Controle en logging behoren tot de belangrijkste maatregelen ter beveiliging van patiëntgegevens. Deze waarborgen voor de patiënten, die hun gegevens toevertrouwen aan elektronische informatiesystemen voor het verwerken van patiëntgegevens, dat daarover verantwoording kan worden afgelegd en stimuleren de gebruikers van die systemen zich te houden aan de regels voor het juiste gebruik. Effectieve controle en logging kunnen misbruik van zorginformatiesystemen of patiëntinformatie helpen ontdekken en maken het mogelijk op te treden tegen gebruikers die misbruik maken van hun bevoegdheden.

10.1   Bedieningsprocedures en verantwoordelijkheden

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Waarborgen van een correcte en veilige bediening van IT-voorzieningen.

10.1.1   Gedocumenteerde bedieningsprocedures

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Bedieningsprocedures behoren te worden gedocumenteerd, worden bijgehouden en beschikbaar worden gesteld aan alle gebruikers die deze nodig hebben.
Aandachtspunten en aanbevelingen voor implementatie
Stel gedocumenteerde procedures op voor systeemactiviteiten met betrekking tot informatieverwerkings- en communicatievoorzieningen, zoals opstart- en afsluitprocedures voor computers, back-ups, onderhoud van apparatuur, behandeling van media, beheer van computerruimten en postverwerking en veiligheid.
Geef daarin instructies voor een gedetailleerde uitvoering van elke taak, waaronder:
  • a) verwerking en behandeling van informatie;
  • b) back-ups (zie 10.5);
  • c) eisen ten aanzien van de planning, waaronder onderlinge verbondenheid met andere systemen, start van de eerste taak en beëindiging van de laatste taak;
  • d) instructies voor de afhandeling van fouten en andere uitzonderlijke situaties die zich tijdens de uitvoering van de taak kunnen voordoen, waaronder beperkingen in het gebruik van systeemhulpmiddelen (zie 11.5.4);
  • e) contactpersonen voor onverwachte bedieningsmoeilijkheden of technische storingen;
  • f) instructies voor de behandeling van bijzondere uitvoer en media, zoals het gebruik van speciaal papier of het beheer van vertrouwelijke uitvoer, waaronder procedures voor een veilige verwijdering van uitvoer van mislukte taken (zie 10.7.2 en 10.7.3);
  • g) procedures voor het opnieuw opstarten en herstellen van het systeem in geval van systeemstoringen;
  • h) beheer van ‘audit trail’ en systeemlogbestand-informatie (zie 10.10).
Behandel bedieningsprocedures en de gedocumenteerde procedures voor systeemactiviteiten als formele documenten en zorg voor goedkeuring van wijzigingen door de verantwoordelijke. Zorg voor consistentie in beheer van informatiesystemen door zoveel mogelijk gebruik van dezelfde procedures, gereedschappen en hulpmiddelen.
Overige informatie
Bedieningsprocedures maken aan de gebruikers en de beheerders op een voor hen aangepaste wijze duidelijk op welke wijze het product kan worden gebruikt en beheerd. Het is aan te bevelen bij het onderhoud aandacht te geven aan het synchroniseren met ontwikkelingen in de wet- en regelgeving en ‘state of the art’ (of hetgeen in de beroepsgroep gebruikelijk is).
De 'Information Technology Infrastructure Library' (ITIL) [24] kan behulpzaam zijn bij het documenteren van bedieningsprocedures.

10.1.2   Wijzigingsbeheer

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Wijzigingen in de informatievoorziening en informatiesystemen behoren te worden beheerst met een formeel en gestructureerd proces dat niet onbedoeld afbreuk doet aan de informatievoorziening en de continuïteit van zorg.
Aandachtspunten en aanbevelingen voor implementatie
Pas voor wijzigingen in productiesystemen en toepassingsprogrammatuur een strikt wijzigingsbeheer toe en houd daarbij rekening met de volgende punten:
  • a) identificatie en registratie van significante wijzigingen;
  • b) planning en testen van wijzigingen;
  • c) beoordeling van de mogelijke gevolgen, waaronder de beveiligingsgevolgen, van dergelijke wijzigingen;
  • d) een formele goedkeuringsprocedure voor voorgestelde wijzigingen;
  • e) communicatie van details van de wijzigingen aan alle betrokken personen;
  • f) terugvalvoorzieningen, waaronder de procedures en verantwoordelijkheden ten aanzien van het afbreken en herstellen van niet-geslaagde wijzigingen en onvoorziene gebeurtenissen;
  • g) procedures voor het uitvoeren van urgente wijzigingen in uitzonderlijke situaties, die waarborgen dat de wijzigingen ook dan gecontroleerd plaatsvinden en gedocumenteerd zijn.
Leg verantwoordelijkheden en procedures voor beheer formeel vast, om afdoende beheersing van alle wijzigingen aan apparatuur, programmatuur of procedures te waarborgen. Houd, een auditlogbestand bij met alle relevante informatie wanneer wijzigingen worden doorgevoerd.
Het is belangrijk om op te merken dat ongeschikte, onvoldoende geteste of onjuiste wijzigingen in de verwerking van patiëntinformatie desastreuze gevolgen kunnen hebben op de patiëntenzorg en patiëntveiligheid. Het expliciet benoemen en beoordelen van de risico’s maakt deel uit van het wijzigingsproces.
Overige informatie
Veel storingen in systemen of in beveiliging worden veroorzaakt doordat wijzigingen in IT-voorzieningen en systemen onvoldoende worden beheerst. De betrouwbaarheid van toepassingen (zie ook 12.5.1) kan worden beïnvloed door wijzigingen aan het besturingssysteem. Het is verstandig wijzigingen van verschillende soorten programmatuur, zoals voor toepassingen en voor besturingssystemen te integreren.

10.1.3   Functiescheiding

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Taken en verantwoordelijkheidsgebieden behoren te worden gescheiden om gelegenheid voor onbevoegde of onbedoelde wijziging of misbruik van de bedrijfsmiddelen van de organisatie te verminderen.
Aandachtspunten en aanbevelingen voor implementatie
Functiescheiding is een manier om het risico van onopzettelijk of opzettelijk misbruik van systemen te verminderen. Let erop dat geen enkele persoon toegang kan krijgen tot bedrijfsmiddelen of ze kan wijzigen of gebruiken zonder autorisatie of detectie. Zorg ervoor dat het initiëren van een activiteit gescheiden is van de autorisatie ervan en denk bij het ontwerpen van maatregelen ook aan mogelijke samenspanning.
Let op de scheiding tussen IT-functies en gebruikersfuncties en tussen ontwikkelfuncties en beheersfuncties.
Voor kleine organisaties is functiescheiding wellicht moeilijk te realiseren. Waar functiescheiding moeilijk kan worden toegepast, zijn andere beheersmaatregelen zoals het controleren van activiteiten, ‘audit trails’ en supervisie door de directie te overwegen. Het is belangrijk dat de beveiligingsaudit onafhankelijk blijft.

10.1.4   Scheiding van faciliteiten voor ontwikkeling, testen en productie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
De organisatie behoort omgevingen voor ontwikkeling, testen en voor instructiedoeleinden, gescheiden te houden van de productieomgeving (fysiek of virtueel) om het risico van onbevoegde toegang tot of wijzigingen in het productiesysteem te verminderen.
Aandachtspunten en aanbevelingen voor implementatie
Bepaal welk niveau van scheiding nodig is tussen de verschillende omgevingen om problemen in de operationele omgeving te voorkomen en richt de praktijk daarop in.
Besteed hierbij aandacht aan de volgende punten:
  • a) definieer en documenteer regels voor het overdragen van programmatuur van ontwikkeling, via test en acceptatie naar operationele status (zie 10.3.2);
  • b) zorg ervoor dat ontwikkelings- en operationele programmatuur draait op verschillende systemen en in verschillende domeinen of directory’s;
  • c) voorkom dat compilers en andere systeemhulpmiddelen toegankelijk zijn vanuit productiesystemen wanneer ze niet nodig zijn;
  • d) zorg dat de testomgeving zo goed mogelijk overeenkomt met de productieomgeving;
  • e) zorg dat gebruikers verschillende gebruiksprofielen gebruiken voor operationele en voor testsystemen en dat de menu's de juiste identificatieboodschappen tonen, om het risico op fouten te verminderen;
  • f) voorkom dat gevoelige gegevens naar een testomgeving worden gekopieerd (zie 12.4.2).
Overige informatie
Activiteiten op het gebied van ontwikkeling en testen kunnen ernstige problemen veroorzaken, zoals onbedoelde wijziging van bestanden of de systeemomgeving, of storingen in het systeem. In dit geval is een bekende en stabiele omgeving essentieel waarin zinvolle proeven kunnen worden uitgevoerd en waarin ongewenste toegang door ontwikkelaars kan worden voorkomen.
Op plaatsen waar ontwikkelings- en testmedewerkers toegang hebben tot het productiesysteem en de daarin opgeslagen informatie, kunnen ze wellicht ongeautoriseerde en niet-geteste broncodes invoeren of operationele gegevens wijzigen. In sommige systemen kan deze mogelijkheid worden misbruikt om fraude te plegen of kwaadaardige programmatuur in te voeren die ernstige operationele problemen kan veroorzaken.
Verder vormen ontwikkelings- en testmedewerkers een bedreiging voor de vertrouwelijkheid van bedrijfsinformatie. Ontwikkelings- en testactiviteiten kunnen onbedoelde wijzigingen in programmatuur en informatie veroorzaken als ze dezelfde IT-omgeving delen. Het is daarom wenselijk de voorzieningen voor ontwikkeling, testen en operationele voorzieningen te scheiden om het risico van onbedoelde wijzigingen of onbevoegde toegang tot operationele programmatuur en bedrijfsgegevens te verminderen (zie ook 12.4.2 voor de bescherming van testgegevens).

10.2   Beheer van de dienstverlening door een derde partij

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Geschikt niveau van informatiebeveiliging en dienstverlening implementeren en bijhouden in overeenstemming met de overeenkomsten voor dienstverlening door een derde partij.

10.2.1   Dienstverlening

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoort te worden bewerkstelligd dat de beveiligingsmaatregelen, definities van dienstverlening en niveaus van dienstverlening zoals vastgelegd in de overeenkomst voor dienstverlening door een derde partij worden geïmplementeerd en uitgevoerd en actueel worden gehouden door die derde partij.
Aandachtspunten en aanbevelingen voor implementatie
Zorg bij uitbesteding van diensten vanuit eigen beheer voor zorgvuldige planning van de vereiste overdracht (van informatie, IT-voorzieningen en al het andere dat moet worden overgedragen), en voor waarborgen dat de beveiliging wordt gehandhaafd tijdens de hele overdrachtstermijn.
Zorg voor zekerheid dat de derde partij steeds voldoende capaciteit aanhoudt om te waarborgen dat de overeengekomen beschikbaarheidniveaus van de dienst ook worden aangehouden na een grote storing in de dienstverlening of een calamiteit (zie 14.1).
Overige informatie
Om het aansturen van de dienstverlening door derden te vereenvoudigen, verdient het aanbeveling in de formele overeenkomst op te nemen welke maatregelen minimaal moeten worden geïmplementeerd.
Beroepsgroepen zouden gezamenlijk modelcontracten kunnen opstellen. Zie ook 6.2.

10.2.2   Controle en beoordeling van dienstverlening door een derde partij

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
De diensten, rapporten en registraties die door de derde partij worden geleverd, behoren regelmatig te worden gecontroleerd en beoordeeld.
Aandachtspunten en aanbevelingen voor implementatie
Controle en beoordeling van dienstverlening door derden is nodig te waarborgen dat de voorwaarden van de overeenkomsten voor de informatiebeveiliging worden nageleefd en dat informatiebeveiligingsincidenten en problemen goed worden afgehandeld.
Dit vereist tussen de uitbestedende organisatie en de derde partij een relatie en een proces voor het beheer van de dienstverlening om:
  • a) de prestatieniveaus van de dienstverlening te controleren op overeenstemming met de overeenkomsten;
  • b) de dienstverleningsrapporten opgesteld door de derde partij te beoordelen en voor zover nodig volgens de overeenkomsten, regelmatige voortgangsvergaderingen te organiseren;
  • c) informatie te verstrekken over informatiebeveiligingsincidenten en beoordeling van deze informatie door de derde partij en de organisatie waar vereist volgens de overeenkomsten en enige ondersteunende richtlijnen en procedures;
  • d) de ‘audit trails’ van de derde partij en registraties van beveiligingsgebeurtenissen, operationele problemen, weigeringen, opsporen van storingen en onderbrekingen verband houdend met de geleverde dienst te beoordelen;
  • e) vastgestelde problemen op te lossen en te beheren.
Wijs de verantwoordelijkheid voor het onderhouden van de relatie met een derde partij toe aan een daarvoor aangewezen persoon of een dienstverleningsbeheerteam en waarborg tevens dat de derde partij de verantwoordelijkheden toewijst voor het controleren van de naleving en het dwingend uitvoeren van de eisen van de overeenkomsten. Stel zeker dat voldoende technische vaardigheden en middelen beschikbaar worden gesteld voor het controleren van de naleving van de eisen van de overeenkomst (zie 6.2.3), in het bijzonder van de informatiebeveiligingseisen. Zorg voor passende actie wanneer er manco's in de dienstverlening worden waargenomen.
Zorg voor totale beheersing over en zicht op alle beveiligingsaspecten voor gevoelige of kritische informatie of IT-voorzieningen, waartoe toegang wordt verkregen of die worden beheerd of verwerkt door een derde partij. Waarborg het behouden van zicht op beveiligingsactiviteiten (zoals wijzigingsbeheer, identificatie van kwetsbaarheden en rapportage over en reactie op informatiebeveiligingsincidenten) door een duidelijk gedefinieerd proces en bijbehorend formaat en structuur van rapportage.
Overige informatie
De organisatie zal zich in geval van uitbesteding realiseren dat de uiteindelijke verantwoordelijkheid voor de informatie die door een externe partij wordt verwerkt, bij de organisatie blijft berusten.
Het opnemen van objectief te meten criteria in het contract maakt het mogelijk de kwaliteit van de uitbestede dienst te beoordelen.

10.2.3   Beheer van wijzigingen in dienstverlening door een derde partij

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Wijzigingen in de dienstverlening door derden, waaronder het bijhouden en verbeteren van bestaande beleidslijnen, procedures en maatregelen voor informatiebeveiliging, behoren te worden beheerd, waarbij rekening wordt gehouden met de onmisbaarheid van de betrokken bedrijfssystemen en -processen en met heroverweging van risico's.
Aandachtspunten en aanbevelingen voor implementatie
Houd voor het beheer van wijzigingen in een dienst verleend door een derde partij rekening met:
  • a) implementeren van wijzigingen die door de organisatie worden aangedragen:
    • 1) verbeteringen in de huidige geleverde diensten;
    • 2) ontwikkeling van nieuwe toepassingen en systemen;
    • 3) wijzigingen in of updates van het beleid en de procedures van de organisatie;
    • 4) nieuwe beheersmaatregelen voor het oplossen van informatiebeveiligingsincidenten en om de beveiliging te verbeteren;
  • b) implementeren van wijzigingen in de diensten van een derde partij:
    • 1) wijzigingen in en verbetering van netwerken;
    • 2) gebruik van nieuwe technologieën;
    • 3) aanvaarding van nieuwe producten of nieuwere versies/uitgaven;
    • 4) nieuwe ontwikkelingstools en omgevingen;
    • 5) wijzigingen van de fysieke locatie van dienstvoorzieningen;
    • 6) wijziging van leveranciers.
Overige informatie
Wettelijke en andere eisen voor informatiebeveiliging kunnen zich gedurende de looptijd van een contract wijzigen. Het is aan te raden dat de contractgever in zulke omstandigheden waarborgt dat in een nieuw contract nieuwe eisen kunnen worden opgenomen.

10.3   Systeemplanning en -acceptatie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Het risico van systeemstoringen tot een minimum beperken. Een voorafgaande planning en voorbereiding zijn noodzakelijk om afdoende capaciteit en beschikbaarheid van middelen te waarborgen die nodig zijn om de vereiste systeemprestaties te leveren.

10.3.1   Capaciteitsbeheer

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Het gebruik van middelen behoort te worden gecontroleerd en afgestemd en er behoren verwachtingen te worden opgesteld voor toekomstige capaciteitseisen met het oog op de vereiste systeemprestaties.
Aandachtspunten en aanbevelingen voor implementatie
Stel capaciteitseisen vast voor elke nieuwe en bestaande activiteit. Zorg voor afstemming daarop en controle van het systeem om de beschikbaarheid en doelmatigheid van de systemen te waarborgen en waar nodig te verbeteren. Zorg voor detectiemaatregelen om problemen op tijd vast te stellen. Betrek prognoses van toekomstige capaciteitsbehoeften bij nieuwe bedrijfs- en systeemeisen en huidige en geraamde trends in de informatieverwerkingscapaciteit van de organisatie.
Besteed bijzondere aandacht aan onderdelen met lange levertijden of hoge kosten. Laat beheerders het gebruik van de belangrijkste systeemonderdelen controleren en trends in het gebruik signaleren.
Overige informatie
In het kader van het realiseren van de beveiligingseis omtrent beschikbaarheid is het raadzaam de noodzakelijke capaciteit (nu en in de toekomst) van diverse zaken in het oog te houden, opdat tijdig corrigerende maatregelen kunnen worden genomen. Gedacht kan worden aan: onmisbaar personeel, stroomvoorziening, netwerk, bandbreedte, systeemgeheugen, schijfgeheugen en kosten.

10.3.2   Systeemacceptatie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
De organisatie behoort acceptatiecriteria vast te stellen voor nieuwe informatiesystemen, upgrades en nieuwe versies en behoort geschikte testen uit te voeren voorafgaand aan de acceptatie.
Aandachtspunten en aanbevelingen voor implementatie
Waarborgen dat de eisen en criteria voor acceptatie van nieuwe systemen duidelijk zijn gedefinieerd, zijn goedgekeurd, gedocumenteerd en getest. Nieuwe informatiesystemen, upgrades en nieuwe versies pas na formele acceptatie overbrengen naar de productieomgeving.
Overweeg de volgende punten voordat formele acceptatie wordt verleend:
  • a) eisen aan prestaties en capaciteit van het computersysteem;
  • b) procedures voor foutherstel en herstart en continuïteitsplannen;
  • c) voorbereiding en testen van routinematige bedieningsprocedures volgens welomschreven normen;
  • d) de overeengekomen beveiligingsmaatregelen zijn geïmplementeerd;
  • e) doeltreffende handmatige procedures;
  • f) bedrijfscontinuïteitsplannen (zie 14.1);
  • g) bewijs dat installatie van het nieuwe systeem geen nadelige invloed heeft op bestaande systemen, in het bijzonder tijdens de drukste verwerkingstijden;
  • h) bewijs dat aandacht is besteed aan de invloed van het nieuwe systeem op de algehele beveiliging van de organisatie;
  • i) opleiding in bediening of gebruik van nieuwe systemen.
  • j) gebruiksgemak, met het oog op effectiviteit van het gebruik en vermijden van menselijke fouten.
Voor ingrijpende nieuwe ontwikkelingen is het van belang dat het operationeel beheer en de gebruikers worden betrokken bij alle fasen van het ontwikkelingsproces, om een doeltreffende werking van het voorgestelde systeemontwerp in de praktijk te waarborgen. Laat geschikte testen uitvoeren door het operationeel beheer en de gebruikers om te bevestigen dat ook aan hun acceptatiecriteria is voldaan.
Stem de omvang en diepgang van de testen af op de risico’s, bepaald bij het voorbereiden van de wijziging. Zie ook 10.1.2.
Overige informatie
Een formeel certificatie- en accreditatieproces om te verifiëren dat de beveiligingseisen op de juiste wijze zijn aangepakt, kan deel uitmaken van de acceptatie.
Het is aan te raden dat organisaties contracten met hun leverancier en/of de applicatie aanbiedende organisatie sluiten waarin het bovenstaande volledig is afgedekt. Voorbeelden van criteria zijn de termijn voor acceptatie, transparantie, functionele en gebruikerseisen.

10.4   Bescherming tegen kwaadaardige programmatuur en ‘mobile code’

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Beschermen van de integriteit van programmatuur en informatie.

10.4.1   Maatregelen tegen kwaadaardige programmatuur

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren maatregelen te worden getroffen voor detectie, preventie en herstel om te beschermen tegen virussen en andere kwaadaardige programmatuur en er behoren geschikte maatregelen te worden getroffen om het risicobewustzijn van de gebruikers te vergroten.
Aandachtspunten en aanbevelingen voor implementatie
Baseer de bescherming tegen kwaadaardige programmatuur op het ontdekken en op herstelprogrammatuur, op een goed beveiligingsbewustzijn, toegangsbeveiliging van systemen en controle van wijzigingsbeheer.
Houd rekening met de mogelijke aanwezigheid van kwaadaardige programmatuur in versleutelde bestanden.
Overweeg de volgende richtlijnen:
  • a) vastleggen van een formeel beleid dat het gebruik van ongeautoriseerde programmatuur verbiedt (zie 15.1.2);
  • b) vastleggen van een formeel beleid ter bescherming tegen de risico's verbonden aan het verkrijgen van bestanden en programmatuur vanuit of via externe netwerken of via enig ander medium, dat aangeeft welke beschermende maatregelen te treffen;
  • c) regelmatige beoordeling van de programmatuur en de inhoud van de gegevens van systemen waarmee kritieke bedrijfsprocessen worden ondersteund; de aanwezigheid van niet-goedgekeurde bestanden of ongeautoriseerde wijzigingen formeel te onderzoeken;
  • d) installatie en regelmatige actualisering van programmatuur voor het ontdekken van kwaadaardige programmatuur en herstelprogrammatuur om computers en media te scannen, hetzij als voorzorgsmaatregel, hetzij op basis van routine; uitvoeren van controles waaronder:
    • 1) controleren van bestanden op elektronische of optische media en bestanden die via netwerken zijn ontvangen, op kwaadaardige programmatuur voordat ze worden gebruikt;
    • 2) controleren van e-mailbijlagen en gedownloade bestanden op kwaadaardige programmatuur voordat ze worden gebruikt; uitvoeren van deze controle op verschillende plaatsen, bijvoorbeeld op e-mailservers, desktopcomputers en bij de toegang tot het netwerk van de organisatie;
    • 3) controleren van webpagina's op kwaadaardige programmatuur;
  • e) definiëren van beheerprocedures en verantwoordelijkheden voor de bescherming tegen kwaadaardige programmatuur op systemen, training in het gebruik ervan, rapportage en herstel van aanvallen met kwaadaardige programmatuur (zie 13.1 en 13.2);
  • f) opstellen van geschikte continuïteitsplannen voor herstel na aanvallen met kwaadaardige programmatuur, waaronder alle nodige voorzieningen voor back-ups van gegevens en programmatuur, evenals herstelmaatregelen (zie hoofdstuk 14);
  • g) implementeren van procedures om regelmatig informatie te verzamelen, zoals het abonneren op verzendlijsten en/of raadplegen van websites die informatie geven over nieuwe kwaadaardige programmatuur;
  • h) implementeren van procedures om alle informatie met betrekking tot kwaadaardige programmatuur te verifiëren en te waarborgen dat waarschuwingsberichten nauwkeurig en informatief zijn; beheerders laten waarborgen dat alle gekwalificeerde bronnen, bijvoorbeeld erkende bladen, betrouwbare internetsites of leveranciers van antivirusprogrammatuur, worden gebruikt om onderscheid te maken tussen vals alarm en werkelijke kwaadaardige programmatuur; alle gebruikers attent maken op het probleem van een vals alarm en laten weten wat ze bij ontvangst ervan moeten doen.
Overige informatie
Het gebruik van twee of meer antivirusprogrammatuurproducten van verschillende leveranciers in de informatieverwerkingsomgeving kan de doeltreffendheid van de bescherming tegen kwaadaardige programmatuur verhogen.
Er kan antivirusprogrammatuur worden geïnstalleerd die automatische updates levert van de definitiebestanden en ‘scanning engines’ om te waarborgen dat de bescherming actueel is. Deze programmatuur kan bovendien op elke desktopcomputer worden geïnstalleerd voor het uitvoeren van automatische controles.
Het is van belang dat er ook bescherming is tegen kwaadaardige programmatuur tijdens onderhouds- en noodprocedures die de normale beschermingsmaatregelen tegen kwaadaardige programmatuur zouden kunnen omzeilen.
Leveranciers van systeem- en applicatieprogrammatuur brengen geregeld ‘patches’ uit om fouten aan hun producten te verbeteren. Het is van belang alert te blijven op nieuwe ‘patches’.

10.4.2   Maatregelen tegen ‘mobile code’

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Als gebruik van ‘mobile code’ is toegelaten, behoort de configuratie te bewerkstelligen dat de geautoriseerde ‘mobile code’ functioneert volgens een duidelijk vastgesteld beveiligingsbeleid, en behoort te worden voorkomen dat onbevoegde ‘mobile code’ wordt uitgevoerd.
Aandachtspunten en aanbevelingen voor implementatie
Overweeg de volgende handelingen om te verhinderen dat ‘mobile code’ ongeautoriseerde acties kan uitvoeren:
  • a) uitvoeren van ‘mobile code’ in een logisch geïsoleerde omgeving;
  • b) blokkeren van elk gebruik van ‘mobile code’;
  • c) blokkeren van ontvangen van ‘mobile code’;
  • d) activeren van technische maatregelen die beschikbaar zijn op een specifiek systeem om te waarborgen dat ‘mobile code’ wordt beheerd;
  • e) beheersen van de bronnen die beschikbaar zijn voor toegang tot ‘mobile code’;
  • f) cryptografische beveiligingsmaatregelen om geautoriseerde ‘mobile code’ te herkennen.
Overige informatie
’Mobile code’ is programmatuur die kan worden overgedragen van de ene naar de andere computer en dan automatisch wordt uitgevoerd en een specifieke functie verricht zonder of met weinig tussenkomst van de gebruiker. ‘Mobile code’ werkt samen met een aantal ‘middleware’-diensten.
Behalve te waarborgen dat ‘mobile code’ geen kwaadaardige programmatuur bevat is beheersing van ‘mobile code’ essentieel om onbevoegd gebruik of verstoring van systeem-, netwerk- of toepassingbronnen of andere inbreuken op de informatiebeveiliging te voorkomen.

10.5   Back-up en herstel

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Handhaven van de integriteit en beschikbaarheid van informatie.

10.5.1   Reservekopieën (back-ups)

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren stelselmatig back-upkopieën van informatie en programmatuur te worden gemaakt en de herstelprocedure behoort regelmatig te worden getest, overeenkomstig het vastgestelde back-upbeleid.
Een organisatie, die patiëntgegevens verwerkt, behoort van alle patiëntgegevens back-upkopieën te maken en in een veilige omgeving op te slaan om de beschikbaarheid te waarborgen.
Aandachtspunten en aanbevelingen voor implementatie
Houd geschikte back-upvoorzieningen beschikbaar, zodat alle essentiële bedrijfsgegevens en programmatuur kunnen worden hersteld na een computercalamiteit of een defect medium.
Aandachtspunten:
  • a) definieer de eisen die aan back-up en herstel worden gesteld;
  • b) houd nauwkeurige en volledige registers van back-ups bij en gedocumenteerde herstelprocedures;
  • c) zorg dat de omvang (bijvoorbeeld volledige back-up of alleen van de wijzigingen) en frequentie van back-ups in overeenstemming zijn met de bedrijfseisen van de organisatie, de beveiligingseisen van de desbetreffende informatie en het kritieke karakter van de informatie voor de voortzetting van de bedrijfsvoering van de organisatie;
  • d) sla de back-ups op op een locatie die zich op zodanige afstand bevindt dat schade aan de back-up ten gevolge van een calamiteit op de hoofdlocatie onwaarschijnlijk is;
  • e) zorg voor fysieke bescherming van de back-ups en de ruimte waarin deze zijn opgeslagen volgens dezelfde normen die gelden voor de hoofdlocatie (zie hoofdstuk 9); de beveiligingseisen voor media op de hoofdlocatie gelden ook voor de back-uplocatie;
  • f) test de mogelijkheid om te herstellen vanuit reservekopieën regelmatig, om te waarborgen dat deze betrouwbaar zijn en in geval van nood kunnen worden gebruikt;
  • g) controleer en test herstelprocedures regelmatig om te waarborgen dat ze doeltreffend zijn en dat ze kunnen worden uitgevoerd binnen de daarvoor volgens operationele herstelprocedures gestelde tijd;
  • h) bescherm in gevallen waar vertrouwelijkheid van belang is, back-ups door middel van encryptie. Let er hierbij op, dat de back-up in geval van een calamiteit teruggeplaatst moet kunnen worden op een ander systeem. Dit stelt ook bijzondere eisen aan het beheer van de encryptiesleutels, om te voorkomen dat de informatie ontoegankelijk wordt.
Test procedures voor het maken van back-ups voor afzonderlijke systemen regelmatig om te waarborgen dat aan de eisen van het bedrijfscontinuïteitsplan wordt voldaan (zie hoofdstuk 14). Zorg ervoor dat altijd tenminste twee back-ups beschikbaar zijn. Zorg voor kritische systemen dat de procedures voor het maken van back-ups alle systeeminformatie, -toepassingen en gegevens omvatten die nodig zijn om het gehele systeem te herstellen na een calamiteit.
Overige informatie
Back-upprocedures kunnen worden geautomatiseerd om het back-up- en herstelproces te vereenvoudigen. Dergelijke geautomatiseerde oplossingen behoren voldoende te worden getest, voor implementatie en met regelmatige tussenpozen.
De informatie die is opgeslagen in back-up-archieven valt ook onder de wettelijke archiveringseisen ten aanzien van de bewaartermijn en de wijze van vernietigen (zie 15.1.3). In het kader van digitale duurzaamheid is het goed om te denken aan toegankelijkheid tot de drager, de programmatuur en de vergankelijkheid van de drager.

10.6   Beheer van netwerkbeveiliging

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Bewerkstelligen van de bescherming van informatie in netwerken en bescherming van de ondersteunende infrastructuur.

10.6.1   Maatregelen voor netwerken

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Netwerken behoren adequaat te worden beheerd en beheerst om ze te beschermen tegen bedreigingen en om beveiliging te handhaven voor de systemen en toepassingen die gebruikmaken van het netwerk, waaronder informatie die wordt getransporteerd.
Aandachtspunten en aanbevelingen voor implementatie
Aanbevelingen voor netwerkbeheerders voor het waarborgen van de beveiliging van informatie in netwerken en van aangesloten diensten tegen ongeoorloofde toegang:
  • a) scheid de operationele verantwoordelijkheid voor netwerken waar nodig van de verantwoordelijkheid voor computerbewerkingen (zie 10.1.3);
  • b) stel verantwoordelijkheden en procedures vast voor het beheer van apparatuur op afstand, waaronder apparatuur in gebruikersruimten;
  • c) tref extra beheersmaatregelen om de vertrouwelijkheid en integriteit te waarborgen van gegevens die via openbare netwerken en over draadloze netwerken worden verzonden en om de aangesloten systemen en toepassingen te beschermen (zie 11.4 en 12.3); ook kunnen extra beheersmaatregelen nodig zijn om de beschikbaarheid van netwerkdiensten en aangesloten computers te handhaven;
  • d) pas een passende registratie en controle toe om handelingen die van belang zijn voor de beveiliging te kunnen vastleggen;
  • e) zorg voor nauwkeurige coördinatie van beheeractiviteiten om de dienstverlening aan de organisatie te optimaliseren en om te waarborgen dat beveiligingsmaatregelen consistent worden toegepast over de informatieverwerkende infrastructuur als geheel.
Overige informatie
Aanvullende informatie over netwerkbeveiliging kan worden gevonden in ISO/IEC 27033 Security techniques – Network security [41].

10.6.2   Beveiliging van netwerkdiensten

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Beveiligingskenmerken, niveaus van dienstverlening en beheerseisen voor alle netwerkdiensten behoren te worden geïdentificeerd en opgenomen in elke overeenkomst voor netwerkdiensten, zowel voor diensten die intern worden geleverd als voor uitbestede diensten.
Aandachtspunten en aanbevelingen voor implementatie
Bepaal de kundigheid van de aanbieder van netwerkdiensten om overeengekomen diensten op een veilige manier te beheren en controleer deze regelmatig. Verlang het recht op audit.
Stel de beveiligingsprocedures vast die voor bepaalde diensten nodig zijn, zoals beveiligingskenmerken, dienstverleningsniveaus en eisen voor beheer. Stel zeker dat de leveranciers van netwerkdiensten de verlangde maatregelen implementeren.
Voor organisaties die patiëntgegevens verwerken is het van belang zorgvuldig na te gaan welke gevolgen het wegvallen van netwerkdiensten kan hebben op de zorgverlening. Zie ook hoofdstuk 14.
Overige informatie
Tot de netwerkdiensten worden gerekend het leveren van aansluitingen, private netwerkdiensten, netwerken met toegevoegde waarde en beheerde beveiligingsoplossingen zoals firewalls en intrusion detection. Deze diensten kunnen uiteenlopen van eenvoudige onbeheerde bandbreedte tot en met complexe aanbiedingen met toegevoegde waarde.
Beveiligingskenmerken van netwerkdiensten zijn:
  • a) technologie toegepast voor de beveiliging van netwerkdiensten, zoals authenticatie, encryptie en netwerkverbindingscontroles;
  • b) technische parameters vereist voor beveiligde verbinding met de netwerkdiensten in overeenstemming met de beveiligings- en netwerkaansluitingsregels;
  • c) procedures voor het gebruik van netwerkdiensten om de toegang tot netwerkdiensten of toepassingen, waar nodig, te beperken.

10.7   Behandeling van media

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Voorkomen van onbevoegde openbaarmaking, modificatie, verwijdering of vernietiging van bedrijfsmiddelen en onderbreking van bedrijfsactiviteiten.

10.7.1   Beheer van verwijderbare media

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren procedures te zijn vastgesteld voor het beheer van verwijderbare media.
Aandachtspunten en aanbevelingen voor implementatie
Overweeg de volgende richtlijnen voor het beheer van verwijderbare media:
  • a) wis de inhoud die niet meer nodig is van herbruikbare media die de organisatie verlaten;
  • b) zorg, waar nodig en toepasbaar, voor goedkeuring door de organisatie voor het afstoten van media en voor registratie van dergelijke verwijderingen om een ‘audit trail’ te creëren;
  • c) bewaar alle media in een veilige en beveiligde omgeving, overeenkomstig de instructies van de fabrikant;
  • d) sla informatie die langer beschikbaar moet zijn dan de houdbaarheid van de media waarop hij is opgeslagen (overeenkomstig de specificaties van de fabrikant) ook elders op om verlies van informatie door veroudering van de media te voorkomen;
  • e) overweeg registratie van verwijderbare media en administratie van de inhoud om de kans op zoekraken van gegevens te beperken;
  • f) geef stations voor verwijderbare media alleen vrij wanneer er een bedrijfsreden is om dit te doen.
Documenteer alle procedures en autorisatieniveaus duidelijk.
Waarborg dat patiëntinformatie op verwijderbare media 'onderweg' is beschermd door middel van encryptie, om onbevoegde toegang ingeval van diefstal van de media te voorkomen.
Overige informatie
Verwijderbare media zijn bijvoorbeeld: banden, schijven, flashgeheugenkaarten, USB-sticks, verwijderbare harde schijven, cd's, dvd's en gedrukte media.

10.7.2   Verwijdering van media

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Alle gegevens op verwijderbare media behoren op veilige wijze te worden overschreven of de media behoren te worden vernietigd wanneer deze niet meer nodig zijn, overeenkomstig formele procedures.
Aandachtspunten en aanbevelingen voor implementatie
Formele procedures voor het beveiligd verwijderen van media kunnen het risico dat gevoelige informatie bij een onbevoegd persoon komt, zo klein mogelijk maken. Zorg ervoor dat de procedures voor beveiligd verwijderen van media met gevoelige informatie in verhouding staan tot de gevoeligheid van die informatie. De volgende punten zijn te overwegen:
  • a) zorg dat media die gevoelige informatie bevatten op een beveiligde en veilige manier worden opgeslagen en verwijderd, bijvoorbeeld door verbranding of versnippering, of door de gegevens te wissen voordat de media worden gebruikt in een andere toepassing binnen de organisatie;
  • b) richt procedures in voor het identificeren van de media die mogelijk veilig behoren te worden verwijderd;
  • c) het kan handiger zijn om alle media die zullen worden afgevoerd te verzamelen en veilig te verwijderen, in plaats van te proberen gevoelige items te scheiden;
  • d) veel bedrijven bieden verzamel- en verwijderdiensten aan voor papier, apparatuur en media; selecteer zorgvuldig een geschikt bedrijf met adequate beheersmaatregelen en ervaring;
  • e) registreer het verwijderen van gevoelige gegevens zoveel mogelijk, teneinde een ‘audit trail’ te handhaven.
Let bij het opsparen van te verwijderen media op het verzameleffect, waardoor een grote hoeveelheid niet-gevoelige informatie gevoelig kan worden.
Overige informatie
Gevoelige informatie kan in verkeerde handen terechtkomen door onzorgvuldig verwijderen van media (zie ook 9.2.6 voor informatie over verwijdering van apparatuur).
Onzorgvuldig afvoeren van media met patiëntgegevens kan ernstige schending van de vertrouwelijkheid tot gevolg hebben. De beheersmaatregel is ook nodig voorafgaand aan reparatie of verwijdering van apparatuur die met de media samenhangt. Deze eis is ook van toepassing op medische apparaten die gegevens registreren en/of doorgeven.

10.7.3   Procedures voor de behandeling van informatie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren procedures worden vastgesteld voor de behandeling en opslag van informatie om deze te beschermen tegen onbevoegde openbaarmaking of misbruik.
Media met patiëntgegevens behoren fysiek te worden beveiligd. Op de staat en locatie van media met patiëntgegevens behoort controle te worden uitgeoefend.
Aandachtspunten en aanbevelingen voor implementatie
Er zijn procedures nodig om informatie in overeenstemming met de classificatie (zie 7.2) te behandelen, te verwerken, op te slaan en te communiceren. De volgende aspecten zijn hierbij te overwegen:
  • a) behandeling en labeling van alle media volgens het aangegeven classificatieniveau;
  • b) toegangsbeperkingen om toegang door onbevoegd personeel te voorkomen;
  • c) het bijhouden van een formele registratie van bevoegde ontvangers van gegevens;
  • d) waarborgen dat de in te voeren gegevens compleet zijn, de verwerking op de juiste manier wordt uitgevoerd en dat de uitvoer wordt gevalideerd;
  • e) bescherming van gegevens in een (tijdelijk) uitvoerbestand overeenkomstig de gevoeligheid ervan;
  • f) opslag van media in een omgeving die in overeenstemming is met de specificaties van de fabrikant;
  • g) de verspreiding van gegevens tot een minimum beperken;
  • h) het aanbrengen van een duidelijke markering op alle kopieën van gegevens ter attentie van de bevoegde ontvanger;
  • i) met regelmatige tussenpozen beoordelen van verzendlijsten en lijsten van bevoegde ontvangers.
Overige informatie
Deze procedures zijn van toepassing op informatie in documenten, computersystemen, netwerken, draagbare computerapparatuur, mobiele communicaties, post, voicemail, telefonische communicatie in het algemeen, multimedia, postdiensten/-voorzieningen, gebruik van faxmachines en andere gevoelige media, bijvoorbeeld blanco cheques, facturen.

10.7.4   Beveiliging van systeemdocumentatie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Systeemdocumentatie behoort te worden beschermd tegen onbevoegde toegang.
Aandachtspunten en aanbevelingen voor implementatie
Voor het beveiligen van systeemdocumentatie gelden de volgende aanbevelingen:
  • a) berg systeemdocumentatie veilig op;
  • b) beperk de toegangslijst voor systeemdocumentatie tot een zo klein mogelijk aantal personen en zorg voor autorisatie door de verantwoordelijke van de toepassing;
  • c) zorg voor geschikte bescherming van systeemdocumentatie die zich op een openbaar netwerk bevindt, of via een openbaar netwerk wordt aangeleverd.
Overige informatie
Systeemdocumentatie kan verschillende soorten gevoelige informatie bevatten, bijvoorbeeld beschrijvingen van toepassingsprocessen, procedures, gegevensstructuren en autorisatieprocessen.
Indien onbevoegden hier fysiek of logisch toegang toe hebben, kan de beveiliging van het systeem in gevaar komen. Denk hierbij bijvoorbeeld ook aan het goed onderhouden van de parameterinstellingen en netwerktopologie.

10.8   Uitwisseling van informatie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Handhaven van beveiliging van informatie en programmatuur die wordt uitgewisseld binnen een organisatie en met enige externe entiteit.

10.8.1   Beleid en procedures voor informatie-uitwisseling

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren formeel beleid, formele procedures en formele beheersmaatregelen te zijn vastgesteld om de uitwisseling van informatie via het gebruik van alle typen communicatiefaciliteiten te beschermen.
Aandachtspunten en aanbevelingen voor implementatie
Voor te volgen procedures en uit te voeren beheersmaatregelen bij het gebruik van elektronische communicatievoorzieningen voor informatie-uitwisseling zijn de volgende te overwegen:
  • a) procedures opgesteld om uitgewisselde informatie te beschermen tegen onderscheppen, kopiëren, wijzigen, verkeerd verzenden en vernietigen;
  • b) procedures voor het ontdekken van en de bescherming tegen kwaadaardige programmatuur die via het gebruik van elektronische communicatiemiddelen kan worden overgebracht (zie 10.4.1);
  • c) procedures voor het beschermen van gevoelige elektronische informatie die wordt gecommuniceerd in de vorm van een bijlage;
  • d) beleid of richtlijnen waarin aanvaardbaar gebruik van elektronische communicatievoorzieningen wordt uitgelegd (zie 7.1.3);
  • e) procedures voor het gebruik van draadloze communicatie, rekening houdend met de bijzondere risico’s die daaraan zijn verbonden;
  • f) de verantwoordelijkheid van werknemer, ingehuurde medewerker en elke andere gebruiker om de organisatie niet te compromitteren, bijvoorbeeld door laster, pesterij, aannemen van een valse hoedanigheid, doorsturen van kettingbrieven, verrichten van ongeautoriseerde aankopen enz;
  • g) gebruik van cryptografische technieken, om bijvoorbeeld de geheimhouding, integriteit en authenticiteit van de informatie te beschermen (zie 12.3);
  • h) richtlijnen voor bewaren en vernietigen van alle bedrijfscorrespondentie, waaronder berichten, die in overeenstemming zijn met de relevante nationale en plaatselijke wet- en regelgeving;
  • i) gevoelige of kritische informatie niet achterlaten op afdrukvoorzieningen, bijvoorbeeld kopieermachines, printers en faxapparaten, omdat deze kan worden gezien door daartoe onbevoegd personeel;
  • j) beheersmaatregelen en beperkingen voor doorzenden via communicatievoorzieningen, bijvoorbeeld het automatisch doorzenden van elektronische post naar externe e-mailadressen;
  • k) personeel eraan herinneren dat zij passende voorzorgen behoren te nemen, bijvoorbeeld om geen gevoelige informatie te onthullen via het opvangen of afluisteren van telefoongesprekken door:
    • 1) mensen in de nabije omgeving, vooral bij gebruik van mobiele telefoons;
    • 2) aftappen van telefoons met behulp van scanningontvangers;
    • 3) mensen in de nabijheid van de ontvanger van het gesprek;
  • l) geen boodschappen met gevoelige informatie achterlaten op antwoordapparaten aangezien deze door onbevoegde personen kunnen worden afgespeeld, kunnen worden opgeslagen op gemeenschappelijke systemen of onjuist kunnen worden opgeslagen door verkeerd ingetoetste telefoonnummers;
  • m) personeel attenderen op de problemen bij het gebruik van faxapparaten, nl.:
    • 1) onbevoegde toegang tot ingebouwde berichtopslag om berichten op te halen;
    • 2) opzettelijk of onbedoeld programmeren van een faxapparaat om berichten naar specifieke nummers te sturen;
    • 3) verzenden van documenten en berichten naar het verkeerde nummer, hetzij door verkeerd intoetsen of door gebruik van een verkeerd opgeslagen nummer;
  • n) personeel erop attenderen zorgvuldig om te gaan met demografische gegevens, zoals e-mailadressen of andere persoonlijke informatie en deze nergens achter te laten om het verzamelen voor ongeoorloofd gebruik te vermijden;
  • o) personeel erop attenderen dat moderne faxapparaten en printers zijn voorzien van pagina-opslaggeheugen waarin pagina's worden opgeslagen in het geval van een papier- of transmissiestoring, die zullen worden afgedrukt zodra de storing is verholpen.
Attendeer het personeel er verder op om geen vertrouwelijke gesprekken te voeren in openbare plaatsen of open kantooromgevingen en vergaderlocaties zonder geluiddempende muren.
Zorg dat communicatievoorzieningen in overeenstemming zijn met alle relevante wettelijke eisen (zie hoofdstuk 15).
Voor beleid voor uitwisseling van zorginformatie geven NEN EN 14484, NEN EN 14485 en ISO 22857 specifieke richtlijnen. Deze normen hebben betrekking op grensoverschrijdend verkeer van patiëntinformatie (niet noodzakelijk landsgrenzen) en veel van de aanbevelingen zijn toepasbaar op uitwisseling tussen organisaties.
Bepaal voor de uitwisseling van zorginformatie de minimaal vereiste maatregelen volgens de aanwijzingen van NEN 7512 [35].
Overige informatie
Er kan informatie-uitwisseling plaatsvinden via diverse communicatievoorzieningen, waaronder e-mail, telefoon, fax en video.
Uitwisseling van programmatuur kan op verschillende wijzen plaatsvinden, waaronder downloaden van het internet en verkrijgen van leveranciers die standaardproducten verkopen.
De zakelijke, wettelijke en beveiligingsimplicaties van elektronische gegevensuitwisseling, elektronische handel en elektronische communicatie en de vereiste beheersmaatregelen wegen mee bij de beleidskeuzen.
De vertrouwelijkheid van informatie kan worden geschaad door onvoldoende veiligheidsbewustzijn, beleid of procedures voor het gebruik van communicatievoorzieningen. Voorbeelden zijn: afgeluisterd worden tijdens een gesprek met een mobiele telefoon in een openbare ruimte, verkeerde toezending van een e-mailbericht, antwoordapparaten die worden meebeluisterd, onbevoegde toegang tot inbel- en voicemailsystemen of per ongeluk verzenden van faxberichten naar een verkeerd faxnummer.
De bedrijfsvoering zou kunnen worden verstoord en informatie zou gecompromitteerd kunnen raken indien de communicatievoorzieningen uitvallen, overbelast raken of worden onderbroken (zie 10.3.1 en hoofdstuk 14). Informatie wordt ook gecompromitteerd indien onbevoegden er toegang toe krijgen (zie hoofdstuk 11).
Voor communicatie in en tussen organisaties wordt steeds meer gebruikgemaakt van elektronische middelen (e-mail, ‘videoconferencing’ enz.) in plaats van de traditionele vormen van communicatie. Op een aantal punten wijkt elektronische communicatie duidelijk af, bijvoorbeeld in snelheid, structuur van berichten, informaliteit en kwetsbaarheid voor ongeautoriseerde handelingen.
Denk bij het maken van voorschriften en contracten aan de aansprakelijkheid. Is het bijvoorbeeld duidelijk met wie er wordt gecommuniceerd en wanneer wat is uitgewisseld? Teneinde deze functionele eisen, zoals onweerlegbaarheid, in technische zin vorm te kunnen geven, zal er bijvoorbeeld gebruik kunnen worden gemaakt van 'Virtual Private Network' (VPN), 'Public Key Infrastructure' (PKI) enz.
Bedenk bij het voldoen aan deze eisen dat wanneer elektronische communicatie wordt gebruikt als ondersteuning van zorginhoudelijk handelen, de WGBO van toepassing is.

10.8.2   Uitwisselingsovereenkomsten

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren overeenkomsten te worden vastgesteld voor de uitwisseling van informatie en programmatuur tussen de organisatie en externe partijen.
Aandachtspunten en aanbevelingen voor implementatie
Beveiligingsaspecten voor de uitwisselingsovereenkomsten:
  • a) managementverantwoordelijkheden met betrekking tot beheersing en melding van doorgifte, verzending en ontvangst;
  • b) procedures voor kennisgeving aan de afzender van doorgifte, verzending en ontvangst;
  • c) procedures voor het waarborgen van traceerbaarheid en onweerlegbaarheid;
  • d) technische minimumeisen voor verpakking en verzending;
  • e) borgovereenkomsten;
  • f) identificatienormen voor de vervoerder;
  • g) verantwoordelijkheid en aansprakelijkheid in het geval van informatiebeveiligingsincidenten, zoals bij verlies van gegevens;
  • h) gebruik van een overeengekomen labelsysteem voor gevoelige of kritische informatie, om te waarborgen dat de betekenis van de labels meteen wordt begrepen en dat de informatie op de juiste manier wordt beschermd;
  • i) het bepalen van de verantwoordelijke van gegevens en programmatuur en het vastleggen van de verantwoordelijkheden voor gegevensbescherming, auteursrechten, licenties van programmatuur en vergelijkbare aspecten (zie 15.1.2 en 15.1.4);
  • j) technische normen voor het opnemen en lezen van informatie en programmatuur;
  • k) eventueel vereiste bijzondere beheersmaatregelen om gevoelige gegevens te beschermen, zoals cryptografische sleutels (zie 12.3).
Stel procedures, normen en beleid vast en onderhoud die om informatie en fysieke media die worden getransporteerd te beschermen (zie ook 10.8.3) en verwijs hiernaar in de uitwisselingsovereenkomst.
Zorg dat de beveiligingsinhoud van elke overeenkomst in overeenstemming is met de gevoeligheid van de desbetreffende informatie.
Overige informatie
Overeenkomsten kunnen elektronisch of in de vorm van een handboek bestaan en kunnen in de vorm van formele contracten zijn opgesteld of als arbeidsvoorwaarden. Voor gevoelige informatie behoren de specifieke mechanismen voor de uitwisseling van die informatie consistent te zijn voor alle organisaties en alle soorten overeenkomsten.
Uitwisselen van gegevens kan elektronisch, mondeling of op papier. Deze beheersmaatregel laat instellingen het communiceren met derden goed regelen. Omdat in de zin van de wet ook individuele zorgverleners als artsen of fysiotherapeuten instelling worden genoemd, betekent dit dat alle communicatie tussen actoren plaatsvindt op basis van een expliciet (of impliciet) contract. Zo’n contract helpt onder meer bij het regelen van ketenaansprakelijkheid. Teneinde zulke contracten te kunnen uitvoeren zijn diverse organisatorische en technische maatregelen noodzakelijk.

10.8.3   Fysiek transport van media

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Media die informatie bevatten, behoren te worden beschermd tegen onbevoegde toegang, misbruik of corrumperen tijdens transport buiten de fysieke begrenzing van de organisatie.
Aandachtspunten en aanbevelingen voor implementatie
Overweeg de volgende zaken bij het beschermen van informatie die tussen locaties wordt getransporteerd:
  • a) gebruik betrouwbare transport- of koeriersdiensten;
  • b) laat de directie een lijst van bevoegde koeriers goedkeuren;
  • c) ontwikkel procedures voor het controleren van de identificatie van koeriers;
  • d) zorg dat de verpakking afdoende bescherming biedt tegen fysieke schade die tijdens transport kan optreden, en in overeenstemming is met de specificaties van de fabrikant (bijvoorbeeld voor programmatuur), bijvoorbeeld bescherming tegen omgevingsomstandigheden die het herstelvermogen van de media verminderen, zoals blootstelling aan warmte, vocht of elektromagnetische velden;
  • e) neem waar nodig bijzondere beheersmaatregelen om gevoelige informatie te beschermen tegen onbevoegde openbaarmaking of wijziging; bijvoorbeeld:
    • 1) gebruik van afgesloten containers;
    • 2) persoonlijke aflevering;
    • 3) gebruik van verpakkingsmateriaal waaraan direct te zien is of iemand heeft geprobeerd het pakket te openen;
    • 4) in uitzonderlijke gevallen, opsplitsing van de zending in meer delen en verzending via verschillende routes.
Overige informatie
Informatie kan gevoelig zijn voor toegang door onbevoegden, misbruik of datacorruptie tijdens fysiek transport, bijvoorbeeld wanneer media per post of koerier worden verzonden.
Te denken valt aan: papier, microfiche, CD-ROM, USB-stick, digitale tape, harde schijf, 'Personal Digital Assistant' (PDA), smart phone.

10.8.4   Elektronische berichtenuitwisseling

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Informatie die een rol speelt bij elektronische berichtuitwisseling behoort op geschikte wijze te worden beschermd.
Aandachtspunten en aanbevelingen voor implementatie
De overwegingen voor het elektronische berichtenverkeer zijn onder meer:
  • a) beschermen van berichten tegen toegang door onbevoegden, wijziging of weigeren van dienst;
  • b) waarborgen van correcte adressering en transport van het bericht;
  • c) volledige betrouwbaarheid en beschikbaarheid van de dienst;
  • d) wettelijke overwegingen, bijvoorbeeld eisen te stellen aan elektronische handtekeningen;
  • e) verkrijgen van voorafgaande toestemming voor het gebruiken van externe openbare diensten, zoals ‘instant messaging’ of ‘file sharing’;
  • f) zwaardere authenticatieniveaus voor het beheren van de toegang vanuit openbare netwerken.
Tref bij elektronisch verzenden van patiëntinformatie maatregelen om de vertrouwelijkheid en integriteit ervan te waarborgen. Volg hierbij de aanwijzingen van NEN 7512 [35].
Het is belangrijk om hierbij op te merken dat bepaalde procedures om patiëntinformatie beveiligd via e-mail of on-line communicatie te laten verlopen, wel aan personeel in de zorg, maar niet aan patiënten of anderen kunnen worden opgelegd.
Verzend e-mail met patiëntinformatie tussen zorgverleners altijd met encryptie. Dit kan met behulp van de digitale certificaten zoals die waarin de UZI-pas voorziet.
Voor externe communicatie speelt de toestemming van de patiënt een rol. Zie daarvoor 15.1.4.
Overige informatie
Elektronisch berichtenverkeer zoals e-mail, elektronische gegevensuitwisseling (EDI) en ‘instant messaging’ begint een steeds belangrijkere rol in de bedrijfscommunicatie te spelen. Elektronisch berichtenverkeer brengt andere risico’s met zich mee dan communicatie op papier.

10.8.5   Systemen voor bedrijfsinformatie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Beleid en procedures behoren te worden ontwikkeld en geïmplementeerd om informatie te beschermen die een rol speelt bij de onderlinge koppeling van systemen voor bedrijfsinformatie.
Aandachtspunten en aanbevelingen voor implementatie
Houd rekening met de gevolgen van het onderling op elkaar aansluiten van dergelijke voorzieningen voor de organisatie en de beveiliging, waaronder:
  • a) bekende kwetsbaarheden in administratie- en boekhoudsystemen waar informatie wordt gedeeld tussen verschillende delen van de organisatie;
  • b) kwetsbaarheden van informatie in bedrijfscommunicatiesystemen, bijvoorbeeld het opnemen van telefoongesprekken of telefonische conferenties, vertrouwelijkheid van telefoongesprekken, opslaan van faxen, openen van post, verspreiden van post;
  • c) beleid en geschikte beheersmaatregelen om gezamenlijk gebruik van informatie te beheren;
  • d) uitsluiten van bepaalde categorieën gevoelige informatie en geheime documenten, als het systeem onvoldoende bescherming biedt (zie 7.2);
  • e) beperken van toegang tot agenda-informatie met betrekking tot bepaalde personen, bijvoorbeeld personeel dat aan gevoelige projecten werkt;
  • f) categorieën personeel, ingehuurd personeel of zakelijke partners die toestemming hebben voor gebruik van het systeem en de locaties van waaraf toegang tot het systeem is toegelaten (zie 6.2 en 11.4);
  • g) bepaalde voorzieningen alleen beschikbaar stellen aan specifieke categorieën gebruikers;
  • h) status van gebruikers vastleggen in adresboeken ten behoeve van andere gebruikers; bijvoorbeeld eigen werknemers van de organisatie of ingehuurd personeel;
  • i) bewaren van informatie in het systeem en maken van back-ups (zie 10.5.1);
  • j) eisen en maatregelen voor noodvoorzieningen (zie hoofdstuk 14).
Overige informatie
Kantoorinformatiesystemen bieden mogelijkheden voor het sneller distribueren en gezamenlijk gebruiken van bedrijfsinformatie via een combinatie van documenten, computers, draagbare computers en mobiele communicatie, post, voicemail, telefonische communicatie in het algemeen, multimedia, postdiensten/ -voorzieningen en faxapparaten.

10.9   Diensten voor e-commerce

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Bewerkstelligen van de beveiliging van diensten voor e-commerce, en veilig gebruik ervan.

10.9.1   E-commerce

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Informatie die een rol speelt bij e-commerce en die via openbare netwerken wordt uitgewisseld, behoort te worden beschermd tegen frauduleuze activiteiten, geschillen over contracten en onbevoegde openbaarmaking en modificatie.
Aandachtspunten en aanbevelingen voor implementatie
Aandachtspunten voor de beveiliging van elektronische handel, waaronder internetverkoop van medicijnen, hulpmiddelen, materialen, handboeken en diensten, zijn:
  • a) de mate van betrouwbaarheid die beide partijen eisen van elkaars beweerde identiteit, bijvoorbeeld door middel van authenticatie;
  • b) autorisatieprocessen voor wie bevoegd is prijzen vast te stellen of belangrijke handelsdocumenten uit te geven of te ondertekenen;
  • c) waarborgen dat de handelspartners volledig zijn geïnformeerd over hun bevoegdheden;
  • d) vaststellen van en voldoen aan de eisen ten aanzien van vertrouwelijkheid, integriteit, bewijs van verzending en ontvangst van belangrijke documenten en de onweerlegbaarheid van contracten, bijvoorbeeld in verband met contract- en aanbestedingsprocessen;
  • e) de mate van vertrouwen in de integriteit van gepubliceerde prijslijsten;
  • f) de vertrouwelijkheid van gevoelige gegevens of informatie;
  • g) de vertrouwelijkheid en integriteit van ordertransacties, betalingsinformatie, adresgegevens van de ontvanger en ontvangstbevestiging;
  • h) de hoeveelheid nader onderzoek nodig om door een klant verstrekte betalingsinformatie te controleren;
  • i) keuze van de meest geschikte vorm van betaling om fraude te voorkomen;
  • j) de mate van bescherming die nodig is om de vertrouwelijkheid en integriteit van orderinformatie te waarborgen;
  • k) voorkomen van verlies of duplicatie van transactie-informatie;
  • l) aansprakelijkheid in verband met frauduleuze handelingen;
  • m) verzekeringseisen.
Veel van de bovengenoemde aspecten kunnen worden aangepakt door de toepassing van cryptografische beheersmaatregelen (zie 12.3), waarbij rekening wordt gehouden met naleving van wettelijke bepalingen (zie 15.1 en in het bijzonder 15.1.6 voor de wetgeving over cryptografie).
Afspraken over elektronische handel tussen handelspartners behoren te worden ondersteund door een overeenkomst, waarin beide partijen zich verplichten tot de overeengekomen handelsvoorwaarden, waaronder de autorisatieregelingen (zie b hierboven). Het kan ook nodig zijn overeenkomsten af te sluiten met leveranciers van informatiediensten en netwerkdiensten met toegevoegde waarde.
Openbare handelssystemen behoren hun handelsvoorwaarden aan klanten bekend te maken.
Er behoort aandacht te worden besteed aan de mate waarin de host(s) die voor elektronische handel wordt (worden) gebruikt, bestand is (zijn) tegen aanvallen van buitenaf en welke beveiligingsimplicaties gelden voor elke netwerkverbinding die nodig is voor de implementatie van diensten voor elektronische handel (zie 11.4.6).
Het is belangrijk om vast te stellen of bij e-commerce gegevens betrokken zijn die patiëntinformatie bevatten. In dat geval is mogelijk aanvullende beveiliging nodig. Speciale aandacht vragen gegevens die betrekking hebben op declaraties, factuurregels, claims, vorderingen en andere gegevens waaruit patiëntinformatie kan worden afgeleid.
Overige informatie
Elektronische handel is gevoelig voor een aantal netwerkbedreigingen die kunnen resulteren in frauduleuze handelingen, contractuele geschillen en openbaarmaking of wijziging van informatie.
Om de risico’s te verminderen kan elektronische handel gebruikmaken van veilige authenticatiemethoden, bijvoorbeeld ‘public key’-cryptografie en elektronische handtekeningen (zie ook 12.3). Waar vereist kan ook worden gebruikgemaakt van de diensten van 'Trusted Third Parties' (TTP).

10.9.2   Onlinetransacties

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Informatie die een rol speelt bij onlinetransacties behoort te worden beschermd om herhaling van transacties, onvolledige overdracht, onjuiste routing, onbevoegde wijziging van berichten, onbevoegde openbaarmaking, onbevoegde duplicatie of weergave van berichten te voorkomen.
Aandachtspunten en aanbevelingen voor implementatie
Aanbevelingen voor beveiliging van onlinetransacties zijn, afhankelijk van het risico:
  • a) het gebruik van elektronische handtekeningen door alle partijen die bij de transactie zijn betrokken;
  • b) alle aspecten van de transactie, dat wil zeggen waarborgen dat:
    • 1) gebruikersgegevens van alle partijen geldig en gecontroleerd zijn;
    • 2) de transactie vertrouwelijk blijft en
    • 3) de privacy van alle betrokken partijen behouden blijft;
  • c) de communicatieroute tussen alle betrokken partijen versleuteld is;
  • d) de protocollen voor de communicatie tussen alle betrokken partijen beveiligd zijn;
  • e) waarborgen dat de opslag van de transactiedetails wordt gedaan buiten enige openbaar toegankelijke omgeving, bijvoorbeeld een opslagplatform op het intranet van de organisatie, en niet ondergebracht en toegankelijk op een opslagmedium dat direct via het internet toegankelijk is;
  • f) wanneer gebruik wordt gemaakt van een vertrouwde autoriteit (bijvoorbeeld voor het uitgeven en onderhouden van elektronische handtekeningen en/of digitale certificaten) de beveiliging is geïntegreerd en ingebed in de gehele keten van het certificaat/handtekeningbeheerproces.
Het is belangrijk om vast te stellen of bij onlinetransacties gegevens zijn betrokken die patiëntinformatie bevatten. In dat geval is mogelijk aanvullende beveiliging nodig. Speciale aandacht vragen gegevens die betrekking hebben op declaraties, factuurregels, claims, vorderingen en andere gegevens waaruit patiëntinformatie kan worden afgeleid.
Overige informatie
De genomen beheersmaatregelen zullen in verhouding staan tot het risiconiveau dat hoort bij de vorm van onlinetransactie.
Wetten, regels en voorschriften in het rechtsgebied waarin de transactie is gegenereerd, verwerkt, afgemaakt, en/of opgeslagen kunnen onderling verschillen.
Er bestaan allerhande vormen transacties die online kunnen worden uitgevoerd, bijvoorbeeld contractueel, financieel, planning van afspraken enz.

10.9.3   Openbaar beschikbare informatie

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
De betrouwbaarheid van de informatie die beschikbaar wordt gesteld op een openbaar toegankelijk systeem behoort te worden beschermd om onbevoegde modificatie te voorkomen.
Openbaar beschikbare zorginformatie (te onderscheiden van patiëntgegevens) behoort systematisch te worden gearchiveerd.
Van openbaar beschikbare zorginformatie behoort de bron of auteur te zijn vermeld.
Aandachtspunten en aanbevelingen voor implementatie
Bescherm programmatuur, gegevens en andere informatie die een hoog niveau van integriteit vereisen, en die beschikbaar worden gesteld via een openbaar toegankelijk systeem door middel van geschikte mechanismen, bijvoorbeeld elektronische handtekeningen (zie 12.3). Test het openbaar toegankelijke systeem op zwakke plekken en storingen voordat de informatie daarop ter beschikking wordt gesteld.
Doorloop een formeel goedkeuringsproces voordat de informatie openbaar toegankelijk wordt gemaakt. Zorg ook dat alle invoer die van buitenaf aan het systeem wordt geleverd wordt gecontroleerd en goedgekeurd.
Elektronische publicatiesystemen, vooral als daarmee rechtstreeks feedback kan worden gegeven en informatie kan worden ingevoerd, vragen zorgvuldige beheersing, zodat:
  • a) informatie wordt verkregen in overeenstemming met alle wetgeving voor gegevensbescherming (zie 15.1.4);
  • b) informatie ingevoerd in, en verwerkt door het publicatiesysteem volledig, nauwkeurig en tijdig wordt verwerkt;
  • c) gevoelige informatie tijdens verzameling, verwerking en opslag wordt beschermd;
  • d) toegang tot het publicatiesysteem geen onbedoelde toegang mogelijk maakt tot netwerken waarop het systeem is aangesloten.
Overige informatie
Informatie op een openbaar beschikbaar systeem, bijvoorbeeld informatie op een webserver die toegankelijk is via het internet, behoort mogelijk te voldoen aan wetten, regels en voorschriften in het rechtsgebied waar het systeem zich bevindt, waar de zakelijke transactie plaatsvindt of waar de verantwoordelijke(n) woont (wonen). Ongeautoriseerde wijziging van de gepubliceerde informatie kan de reputatie van de uitgevende organisatie schaden.

10.10   Controle

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Ontdekken van onbevoegde informatieverwerkingsactiviteiten.

10.10.1   Aanmaken audit-logbestanden

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren audit-logbestanden te worden aangemaakt waarin activiteiten van gebruikers, uitzonderingen en informatiebeveiligingsgebeurtenissen worden vastgelegd. Deze logbestanden behoren gedurende een overeengekomen periode te worden bewaard, ten behoeve van toekomstig onderzoek en toegangscontrole.
Aandachtspunten en aanbevelingen voor implementatie
De volgende gegevens komen in aanmerking om in auditlogbestanden te worden vastgelegd:
  • a) gebruikers-ID's;
  • b) data, tijdstippen en details van belangrijke gebeurtenissen, bijvoorbeeld van in- en uitloggen;
  • c) waar mogelijk de identiteit van de computerterminal of de locatie;
  • d) registraties van geslaagde en geweigerde pogingen om toegang te krijgen tot het systeem;
  • e) registraties van geslaagde en geweigerde gegevens en andere pogingen om toegang te krijgen;
  • f) wijzigingen van de systeemconfiguratie;
  • g) gebruik van speciale bevoegdheden;
  • h) gebruik van systeemhulpprogramma’s en -toepassingen;
  • i) bestanden waartoe toegang is verkregen en het soort toegang;
  • j) netwerkadressen en protocollen;
  • k) alarmering geactiveerd door het toegangscontrolesysteem;
  • l) activering en de-activering van beschermingssystemen, zoals antivirussystemen en inbraakdetectiesystemen.
NEN 7513 [36] stelt: “Zorginformatiesystemen behoren telkens wanneer een gebruiker via het systeem toegang krijgt tot patiëntgegevens, nieuwe patiëntgegevens invoert, bijwerkt of archiveert een beveiligde logregel aan te maken. In de logging behoort minimaal de identiteit van de gebruiker en van de patiënt uniek vast te liggen, samen met de uitgevoerde actie (invoeren, raadplegen enz.) en datum en tijd van de actie.”
Het is belangrijk dat communicatiesystemen waarmee patiëntgegevens worden verzonden de verzending registreren (datum, tijd, afzender en bestemming), maar niet de inhoud van het bericht. Het registreren van de inhoud ligt op het terrein van de toepassing.
De bewaartermijn van de logging is van belang om, wanneer dat nodig is, onderzoek mogelijk te maken en misbruik te kunnen aantonen. Bij het bepalen van de bewaartermijn kan worden aangesloten bij professionele normen in de zorg en wettelijke verplichtingen.
Overige informatie
De auditlogbestanden kunnen vertrouwelijke persoonlijke informatie bevatten. Daarom zijn passende beheersmaatregelen voor bescherming van de privacy nodig (zie ook 15.1.4). Systeembeheerders mogen niet in staat zijn om de logbestanden van hun eigen activiteiten te wissen of te deactiveren (zie 10.1.3).

10.10.2   Controle van systeemgebruik

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren procedures te worden vastgesteld om het gebruik van IT-voorzieningen te controleren. Het resultaat van de controleactiviteiten behoort regelmatig te worden beoordeeld.
Aandachtspunten en aanbevelingen voor implementatie
Bepaal het vereiste controleniveau voor afzonderlijke voorzieningen aan de hand van een risicobeoordeling. Zorg dat de organisatie voldoet aan alle relevante wettelijke eisen die van toepassing zijn op haar controleactiviteiten. Aspecten om rekening mee te houden omvatten:
  • a) geautoriseerde toegang, waaronder details als:
    • 1) de gebruikers-ID;
    • 2) de datum en tijd van belangrijke gebeurtenissen;
    • 3) het type gebeurtenis;
    • 4) de bestanden waartoe toegang is verkregen;
    • 5) de gebruikte programma's/hulpprogramma's;
  • b) alle handelingen met speciale bevoegdheden, zoals:
    • 1) gebruik van accounts met speciale bevoegdheden, bijvoorbeeld supervisor, root operator, beheerder;
    • 2) opstarten en afsluiten van het systeem;
    • 3) aan-/afsluiten van apparatuur voor in- en uitvoer van gegevens;
  • c) pogingen tot ongeautoriseerde toegang, zoals:
    • 1) mislukte of geweigerde gebruikersacties;
    • 2) mislukte of geweigerde handelingen met betrekking tot gegevens of andere hulpmiddelen;
    • 3) overtredingen van het toegangsbeleid en meldingen aan netwerkgateways en firewalls;
    • 4) alarmeringen van eigen systemen voor het opsporen van inbraak;
  • d) systeemwaarschuwingen of -fouten, zoals:
    • 1) consolewaarschuwingen of -berichten;
    • 2) uitzonderingen in het systeemlogbestand;
    • 3) waarschuwingen van het netwerkbeheer;
    • 4) alarmeringen door het toegangsbewakingssysteem;
  • e) veranderingen van of pogingen tot verandering van de systeembeveiligingsinstellingen en -beheersmaatregelen.
Hoe vaak de resultaten van de controleactiviteiten worden beoordeeld hangt af van de betrokken risico’s. Houd rekening met onder meer de volgende risicofactoren:
  • a) hoe kritisch de toepassingsprocessen zijn;
  • b) waarde, gevoeligheid of onmisbaarheid van de desbetreffende informatie;
  • c) ervaringen uit het verleden met systeeminfiltratie en -misbruik en hoe vaak de kwetsbare plekken zijn aangevallen;
  • d) mate waarin het systeem is gekoppeld met andere systemen (in het bijzonder openbare netwerken);
  • e) deactiveren van de logfaciliteiten.
Zorg dat de logfaciliteiten bij een zorginformatiesysteem altijd actief zijn zolang het systeem beschikbaar is.
Zorg dat informatiesystemen met patiëntinformatie mogelijkheden bieden voor analyse van de logging waarmee:
  • a) alle gebruikers kunnen worden geïdentificeerd die de gegevens van een bepaalde patiënt hebben benaderd of gewijzigd in een gegeven periode;
  • b) alle patiënten kunnen worden geïdentificeerd van wie gegevens in een gegeven periode door een bepaalde gebruiker zijn benaderd of gewijzigd.
Overige informatie
Er zijn procedures voor controle van het gebruik nodig om te waarborgen dat gebruikers alleen activiteiten uitvoeren waarvoor ze expliciet bevoegd zijn.
Beoordeling van een logbestand impliceert inzicht in de bedreigingen waarmee het systeem wordt geconfronteerd en de manier waarop deze kunnen ontstaan. In 13.1.1 zijn voorbeelden gegeven van gebeurtenissen waarvoor nader onderzoek nodig kan zijn in geval van informatiebeveiligingsincidenten.

10.10.3   Bescherming van informatie in logbestanden

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Logfaciliteiten en informatie in logbestanden behoren te worden beschermd tegen inbreuk en onbevoegde toegang.
De logging van informatiesystemen voor het verwerken van patiëntgegevens behoort te zijn beveiligd en niet te manipuleren.
Aandachtspunten en aanbevelingen voor implementatie
Richt beheersmaatregelen op bescherming tegen onbevoegde wijzingen en operationele problemen met de logvoorzieningen, waaronder:
  • a) wijzigingen in het soort berichten dat wordt geregistreerd;
  • b) bewerken of wissen van logbestanden;
  • c) vollopen van media met logbestanden, waardoor gebeurtenissen niet meer kunnen worden geregistreerd of het bestand zichzelf overschrijft.
Het kan een vereiste zijn om bepaalde auditlogbestanden te archiveren als onderdeel van het documentbeheerbeleid of vanwege eisen om bewijsmateriaal te verzamelen en te bewaren (zie ook 13.2.3).
Overige informatie
Systeemlogbestanden bevatten vaak een grote hoeveelheid informatie, waarvan een groot deel irrelevant is voor de controle van de beveiliging. Om gebeurtenissen te identificeren die significant zijn voor de controle van beveiliging, is te overwegen het juiste type berichten automatisch naar een tweede logbestand te kopiëren, en/of bepaalde systeemhulpprogramma's of audit-hulpmiddelen voor bestandsonderzoek en -rationalisatie te gebruiken.
Bescherming van systeemlogbestanden is nodig, omdat indien de gegevens kunnen worden gewijzigd of gewist hun bestaan een vals gevoel van veiligheid zou kunnen wekken.
De betrouwbaarheid van de logging kan een essentiële rol spelen in gerechtelijke of tuchtrechtelijke onderzoeken. De tijdstippen van wijzigingen en aanvullingen in de patiëntinformatie kunnen een indicatie geven van de acties van de zorgverleners in de tijd.

10.10.4   Logbestanden van administrators en operators

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Activiteiten van systeemadministrators en systeemoperators behoren in logbestanden te worden vastgelegd.
Aandachtspunten en aanbevelingen voor implementatie
Zorg dat in de logbestanden onder meer wordt vastgelegd:
  • a) het tijdstip waarop een gebeurtenis (succesvol of storing) is opgetreden;
  • b) informatie over de gebeurtenis (bijvoorbeeld de bestanden die zijn behandeld) of storing (bijvoorbeeld fout opgetreden en corrigerende handeling uitgevoerd);
  • c) welke account en welke beheerder of operator erbij was betrokken;
  • d) welke processen erbij waren betrokken.
Beoordeel de logbestanden van systeembeheerder en -operator regelmatig.
Overige informatie
Het logboek kan een handmatige of een geautomatiseerde registratie betreffen.

10.10.5   Registratie van storingen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Storingen behoren in logbestanden te worden vastgelegd en te worden geanalyseerd en er behoren geschikte maatregelen te worden genomen.
Aandachtspunten en aanbevelingen voor implementatie
Registreer storingen gerapporteerd door gebruikers of door systeemprogramma’s die verband houden met problemen met informatieverwerking- of communicatiesystemen. Hanteer duidelijke regels voor het afhandelen van gerapporteerde storingen, waaronder:
  • a) beoordeling van de storingslogbestanden om te waarborgen dat de storingen genoegzaam zijn opgelost;
  • b) beoordeling van de corrigerende maatregelen om te waarborgen dat de beheersmaatregelen niet zijn gecompromitteerd en dat de genomen actie volledig is geautoriseerd.
Zorg dat de functie ‘registreren van fouten’ is ingeschakeld, indien deze systeemfunctie beschikbaar is.
Overige informatie
Het registreren van fouten en storingen kan van invloed zijn op de prestaties van een systeem. Het is belangrijk dat deze registratie wordt ingeschakeld door deskundig personeel, waarbij de omvang van de vereiste registratie voor individuele systemen is vastgesteld aan de hand van een risicobeoordeling waarin prestatievermindering is betrokken.

10.10.6   Synchronisatie van systeemklokken

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
De klokken van alle relevante informatiesystemen binnen een organisatie of beveiligingsdomein behoren te worden gesynchroniseerd met een overeengekomen nauwkeurige tijdsbron.
Zorginformatiesystemen die tijdkritische zorgactiviteiten ondersteunen behoren te voorzien in synchronisatie om mogelijke tijdverschillen tussen verschillende registraties van activiteiten te signaleren en daarvoor te corrigeren.
Aandachtspunten en aanbevelingen voor implementatie
Zorg dat een ‘real-time’-klok van computer- of communicatieapparatuur wordt ingesteld volgens een overeengekomen norm, bijvoorbeeld Coordinated Universal Time (UTC) of de plaatselijke standaardtijd. Omdat van sommige klokken bekend is dat ze na verloop van tijd voor- of achterlopen, is er een procedure nodig om ze regelmatig te controleren op significante afwijkingen en ze gelijk te zetten.
De juiste interpretatie van het datum/tijdformaat is belangrijk om te kunnen waarborgen dat de tijdaanduiding overeenkomt met de werkelijke datum/tijd. Houd rekening met plaatselijke bijzonderheden (bijvoorbeeld zomertijd).
Overige informatie
Een juiste instelling van systeemklokken is van wezenlijk belang om de nauwkeurigheid van auditlogbestanden te waarborgen. Deze logbestanden kunnen nodig zijn voor onderzoek of als bewijs in juridische of disciplinaire zaken. Onnauwkeurige auditlogbestanden kunnen dergelijke onderzoeken belemmeren en de geloofwaardigheid van dat bewijsmateriaal schaden. Als moederklok voor logsystemen kan een klok worden gebruikt die verbonden is met een radiotijdsein van een nationale atoomklok. Er kan een netwerktijdprotocol worden gebruikt om alle servers synchroon te houden met de moederklok.
De betrouwbaarheid van de tijdsaanduiding kan een essentiële rol spelen in gerechtelijke of tuchtrechtelijke onderzoeken. De tijdstippen van wijzigingen en aanvullingen in de patiëntinformatie kunnen een indicatie geven van de acties van de zorgverleners in de tijd.