Drie focuspunten bij de IT-veiligheid van zorginstellingen
Informatieveiligheid en privacy staan bovenaan de agenda in de gezondheidszorg. Hoe kunnen beslissers meer focus aanbrengen in hun activiteiten? Tom Urbanus, Business Consultant bij BMGRIP, deelt drie aandachtspunten.
Het belang van informatiebeveiliging en privacybescherming in de zorg is met de komst van verdergaande digitalisering enorm gegroeid.
Voor het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid van data worden vanuit de norm NEN 7510 heldere, strakke kaders aangereikt. Ook de overheid geeft sterke aanbevelingen over informatieveiligheid voor de zorgsector.
Ondanks alle aandacht voor het onderwerp worstelen zorginstellingen nog relatief vaak met het op orde brengen van de technische kant van de IT-maatregelen. Maar dit is slechts één onderdeel van de benodigde integrale aanpak. Het bewustzijn vergroten en het gedrag beïnvloeden van de medewerkers is uiteindelijk net zo (of nog) belangrijker.
Hoe kunnen zorginstellingen in de praktijk werken aan het creëren van meer volwassenheid? Vanuit onze kennis uit de praktijk zien we een drietal essentiële focuspunten:
1: Aandacht voor de zwakste schakel: medewerkers
Verleg de focus meer naar bewustzijn. We komen in de praktijk dagelijks ziekenhuizen tegen waar de technische IT-kant van de maatregelen op orde is. Of waar tenminste de aandacht hiervoor voldoende aanwezig is.
We zien tegelijkertijd dat de menselijke kant – en dan hebben we het echt over informatie-veilig gedrag – en de procesmatige kant achterblijft. Begrijpelijk omdat maatregelen concreet zijn en een groot gevoel van controle geven, toch blijft de medewerker altijd de zwakste schakel van informatiebeveiliging.
Lees ook: Focus op menselijk gedrag voor betere cybersecurity in zorg.
Ondanks de vele maatregelen en hiermee gepaard gaande hoge kosten, is één verkeerde klik van een medewerker genoeg om de hele organisatie plat te leggen. Binnen de gezondheidszorg in Nederland is dit risico nog groter omdat de menselijke kant sterker vertegenwoordigd is. Behulpzaam gedrag is binnen de gezondheidzorg natuurlijk gedrag. Het klikken op phishing mails of het ‘uitlenen’ van wachtwoorden gebeurt doorgaans ook veel vaker dan in andere sectoren.
“Het bewustzijn vergroten is een uitdaging, het bewustzijn vasthouden zo mogelijk een nog grotere.”
Dit blijkt ook uit verschillende onderzoeken. Inbreken van buitenaf door middel van social enginering is 99 van de 100 keer succesvol. Het risicobewustzijn bij medewerkers moet – nog steeds – sterk omhoog. Bestuurders, zorgmanagers, verpleegkundigen, arts-assistenten en medisch specialisten vormen het grootste risico bij informatiebeveiliging in een zorginstelling.
De centrale vragen zijn daarom altijd: Hoe zorgen we voor een bepaald basisniveau van bewust informatie-veilig gedrag? Hoe zorgen we hiervoor bij nieuwe medewerkers? Hoe houden we dit bewustzijn bij bestaande medewerkers op peil?
Het bewustzijn vergroten is een uitdaging, het bewustzijn vasthouden zo mogelijk een nog grotere. Met de tijd die enorm schaars is in de gezondheidszorg wil je het bewustzijn vergroten van waar zich de grootste risico’s bevinden. Een kernteam met de juiste focus vergroot de informatieveiligheid van de gehele (zorg)organisatie.
2: Het beheren van toegang voor de flexibele schil
De beschikbaarheid van goede zorg staat flink onder druk door het personeelstekort en de toenemende vergrijzing. Steeds meer ziekenhuizen en zorginstellingen maken daarom gebruik van bijvoorbeeld ambulant verpleegkundigen. Deze flexibele schil binnen een ziekenhuis bekijken over de as van risico’s doen we als volgt.
Heeft een ambulant verpleegkundige die voor een bepaalde periode op Cardiologie werkzaam is en een maand later op de SEH nog steeds rechten tot het EPD op Cardiologie?
Het is belangrijk om na te denken over deze vragen. Wie heeft wanneer rechten om bepaalde onderdelen van het EPD in te zien en te wijzigen. Het raakt de vertrouwelijkheid, de beschikbaarheid (verwijderen van gegevens) en de integriteit (zijn de gegevens juist?).
“Je kunt beter geen systeem tot je beschikking hebben dan een systeem met foutieve gegevens.”
Een flexibele schil maakt het complex dit goed te beheren en beheersen. Een autorisatiematrix (wie mag wat?) zoals we die uit de NEN 7510 kennen is hierdoor kwetsbaar voor fouten en geeft potentiële schijnveiligheid. Een autorisatiematrix staat mooi op papier, maar hoe wordt deze echt toegepast in de praktijk? Klopt het dan nog wel en heb je het wel echt goed geregeld. Welke risico’s voorkom je nog met een onjuiste in de praktijk doorgevoerde autorisatiematrix?
Misschien is het beter om de autorisatiematrix uit dit voorbeeld minder complex te maken en meer in te zetten op juist afspraken met medewerkers. Minder vertrouwen op de potentieel onjuiste inzet van technische maatregelen en meer vertrouwen op de integriteit van medewerkers. Juist dit zijn belangrijke afwegingen waarbij wij een kernteam adviseren en op basis van de risicohouding van de organisatie de juiste keuzes laten maken.
3: Integriteit als belangrijke derde pijler
De mate van risico’s en risicovol gedrag maken de maatregelen voor zorginstellingen en ziekenhuizen. In het kader van integriteit is het bijvoorbeeld van belang te bepalen hoe je bepaalde gegevens vastlegt in dossiers en wanneer je gegevens verwijderd of wijzigt. Aan dit deel van het bewustzijn kun je als zorginstelling structureel nog meer werken.
Naast de al meer gewone gedragsregels als ‘vergrendel je scherm’ en ‘doe je deur dicht’ mag er meer aandacht komen voor de integriteit. Zeker gezien de aard van de dienstverlening, waarbij we heel erg moeten kunnen vertrouwen op de juistheid van de gegevens.
Binnen de gezondheidszorg gaat het nu vooral over de vertrouwelijkheid en beschikbaarheid van informatie. Gegevens mogen niet bij de verkeerde personen onder ogen komen. Systemen moeten beschikbaar zijn op het juiste moment.
De juistheid van informatie echter, is in de meeste gevallen nog onderbelicht. Je kunt beter geen systeem tot je beschikking hebben dan een systeem met foutieve gegevens toch? Dit is binnen de gezondheidzorg uiteindelijk wel cruciaal bij de zorgvraag – het gaat tenslotte dan over gezondheid van mensen.
