— Let vooral op bedrijfsmiddelen voor patiëntgegevens.

— Identificeer alle bedrijfsmiddelen en leg het belang van deze bedrijfsmiddelen vast. . Neem in de inventarislijst van bedrijfsmiddelen alle informatie op die nodig is voor herstel na een calamiteit, waaronder type bedrijfsmiddel, formaat, locatie, informatie over back-up en licenties en bedrijfswaarde. Voorkom duplicatie met andere inventarislijsten en let op dat de inhoud tussen verschillende lijsten is afgestemd.

— Identificeer medische apparaten die gegevens registreren en/of doorgeven op een unieke manier. Deze kunnen namelijk speciale veiligheidseisen stellen aan de operationele omgeving en aan mogelijke elektromagnetische straling in de omgeving.

— Leg vast en kom overeen wie de verantwoordelijke is (zie 7.1.2) en wat de informatieclassificatie (zie 7.2) van elk van de bedrijfsmiddelen is. Stel op basis van het belang van het bedrijfsmiddel, de bedrijfswaarde en de beveiligingsclassificatie beschermingsniveaus vast die passen bij het belang van de bedrijfsmiddelen (nadere informatie over het waarderen van bedrijfsmiddelen om hun belang aan te geven is te vinden in ISO/IEC 27005). Veiligheid van patiënten en vertrouwelijkheid van gegevens zijn hierbij essentiële doelen, die tot tegenstrijdige eisen kunnen leiden. Dit vraagt extra aandacht voor de toedeling van verantwoorde­lijkheden.

a) informatie: databases en gegevensbestanden, contracten en overeenkomsten, systeemdocumentatie, researchinformatie, gebruikershandboeken, cursusmateriaal, bedieningsprocedures en ondersteunende procedures, continuïteitsplannen, uitwijkregelingen, ‘audit trails’ en gearchiveerde informatie;

b) programmatuur: toepassingsprogrammatuur, systeemprogrammatuur, ontwikkelingsprogrammatuur en hulpprogrammatuur;

c) fysieke bedrijfsmiddelen: computerapparatuur, communicatieapparatuur, uitwisselbare media en overige technische apparatuur;

d) diensten: computer- en communicatiediensten, algemene (nuts)voorzieningen, bijvoorbeeld verwarming, verlichting, energievoorziening en airconditioning;

e) mensen, en hun opleiding, vaardigheden en ervaring;

f) immateriële, zoals reputatie of imago van de organisatie.

— Let vooral op bedrijfsmiddelen voor patiëntgegevens.

— Wijs de volgende verantwoordelijkheden toe aan de verantwoordelijke van het bedrijfsmiddel:

a) een bedrijfsproces;

b) een gedefinieerde groep activiteiten;

c) een toepassing of

d) een gedefinieerde groep gegevens.

a) regels voor elektronische post (e-mail), gebruik van internet, social media, messaging services, enz. (zie 10.8);

b) richtlijnen voor het gebruik van draagbare apparatuur, in het bijzonder voor gebruik buiten het terrein van de organisatie (zie 11.7.1).

— de eisen die de zorg stelt aan de beschikbaarheid van bepaalde gegevens;

— de zakelijke behoefte aan het delen van informatie of het beperken ervan en de invloed van deze behoeften op de organisatie;

— de behoefte of verplichting om gegevens te verspreiden of verspreiding te beperken;

— de implicaties voor privacy en kwaliteit van de zorg bij ongeautoriseerde toegang tot of schade aan de gegevens;

— het verzameleffect genoemd in 10.7.2.