Ons leven vindt steeds meer online plaats. We vinden het daarbij belangrijk dat er veilig met onze persoonlijke gegevens wordt omgegaan. Zeker met medische gegevens. Maar hoe is de informatiebeveiliging in de zorg eigenlijk geregeld? Daar gaan we in dit artikel dieper op in.

Wettelijke verplichtingen

Het is bij wet bepaald dat zorginstellingen goede veiligheidsmaatregelen moeten treffen wanneer zij privacygevoelige informatie verwerken. Patiënten moeten er vanuit kunnen gaan dat de informatie die zij met een zorgverlener delen niet bij onbevoegden terecht komt. Een aantal bekende voorbeelden van deze wetten:

• De Algemene Verordening Gegevensbescherming (AVG) heeft betrekking op privacy en stelt regels voor het verzamelen en bewaren van persoonlijke gegevens.
• De Wet Geneeskundige Behandelingsovereenkomst (WGBO) bepaalt dat de patiënt opdrachtgever is tot zorg en dat de zorgverlener alleen met toestemming van de patiënt informatie mag delen met derden.
• Daarnaast werkt de overheid aan een nieuwe wet (Wegiz) die verplicht dat gegevensuitwisseling tussen zorgverleners elektronisch verloopt. Papieren dossiers, cd’s en fax zijn dan niet langer toegestaan.

Eisen van ziekenhuizen

Ziekenhuizen in Nederland gaan zorgvuldig te werk bij de keuze van nieuwe ICT-partners. Alleen aan de wet voldoen is niet afdoende om samen te werken. Zodra er gegevensverwerking bij komt kijken, doen zij eigenlijk alleen zaken met partijen die NEN 7510 gecertificeerd zijn.

NEN 7510 is een Nederlandse norm. Feitelijk is het dezelfde als de internationale ISO 27001, maar dan met aanvullende zorgspecifieke maatregelen. Door middel van deze jaarlijkse certificering, bewijs je als bedrijf dat je professioneel omgaat met informatiebeveiliging in de zorg.

Naast certificaten, stellen ziekenhuizen de leveranciers altijd aanvullende vragen om de veiligheid te waarborgen – bijvoorbeeld welke maatregelen er genomen zijn om oneigenlijk gebruik van het product te voorkomen of hoe er autorisatie toegekend wordt aan gebruikers.

Belang van informatiebeveiliging in de zorg

Waarom worden deze wetten eigenlijk in het leven geroepen en waarom stellen ziekenhuizen zulke hoge eisen aan partners? Eigenlijk is het heel eenvoudig: een creditcard kan je blokkeren, maar gezondheidsinformatie terugnemen is onmogelijk. 

Wanneer je medische gegevens op straat komen te liggen, kan dit grote gevolgen hebben voor je persoonlijke leven. Het kan zijn dat je het niet erg vindt dat je buurman weet dat jij je arm gebroken hebt. Maar kennis van medische gegevens – zoals een chronische ziekte of psychische aandoening – kan invloed hebben op je positie op de arbeidsmarkt en je sociale omgeving. Dat houd je dus waarschijnlijk liever voor jezelf.

Daarnaast is er bij artsen sprake van een beroepsgeheim. Als patiënt moet je er vanuit kunnen gaan dat jouw gegevens niet worden gedeeld met onbevoegden. Je moet er dus ook vanuit kunnen gaan dat diezelfde vertrouwensrelatie geldt bij derden waarmee het ziekenhuis samenwerkt.

Tot slot is er natuurlijk de kans op oplichterij. Wanneer gevoelige medische gegevens op straat liggen, wordt het voor cybercriminelen een koud kunstje om patiënten op te lichten of te chanteren.

Veilig samenwerken met het ziekenhuis

Ondanks dat er hard gewerkt wordt aan slimme apps en andere eHealth oplossingen, wordt innovatie soms geremd door security vraagstukken. Het grote belang van informatiebeveiliging is één van de redenen waarom digitalisering in de zorg niet zo hard gaat als in andere sectoren. 

Wanneer een ziekenhuis een samenwerking aan wil gaan met een nieuwe applicatie, vragen zij standaard om een Programma van Eisen. Hierin vragen zij onder andere hoe de informatiebeveiliging en datastromen in elkaar zitten, hoe back-ups geregeld zijn, welke certificeringen er behaald zijn en hoe ze aan wet- en regelgeving voldoen. Daarbij worden ook testen en controles uitgevoerd om te garanderen dat de inhoud wel klopt.

Zo maken we ons platform veilig

Founda Health fungeert als een app store met zorgapplicaties. Door met ons platform te verbinden krijgen zorgverleners toegang tot tal van verschillende eHealth apps. 

Daarbij is security één van onze belangrijkste pijlers. Dat garanderen we op verschillende manieren:

• We werken op basis van de laatste inzichten en best practices op het gebied van encryptie en muteren van data. Datastromen tussen Founda en de zorgverlener hebben altijd de hoogste mate van veiligheid. 
• Wij dwingen de laatste security standaarden af bij de applicaties die zich aansluiten bij ons platform – en controleren dat ook. Datastromen tussen de applicatie en Founda en andersom heeft dus altijd een hoge mate van veiligheid.
• We vragen minimaal toegang tot het EPD. Alleen dat wat nodig is voor de app om te functioneren. Bijvoorbeeld alleen afspraken, maar geen labuitslagen. Of andersom.
• We houden van alle datastromen een audit trail bij, zorgen dat logs voldoen aan NEN 7513 en controleren dat ook. Zo weten we precies wie wat gezien heeft. Van de app naar het ziekenhuis en andersom.
• Als tussenpersoon garanderen we de authenticatie en autorisatie. Als er een request binnenkomt bij het ziekenhuis, kan er vanuit gegaan worden dat dit klopt.
• We hebben een zeer ervaren security engineer fulltime op payrol die dagelijks bezig is met pentests, bovenop het nieuws zit en direct acteert op mogelijke dreigingen en breaches.

Het grote voordeel voor ziekenhuizen

In het kort doen we er bij Founda Health alles aan om een vertrouwensdomein te creëren. Zorginstellingen moeten er vanuit kunnen gaan dat datastromen via ons platform zo veilig mogelijk verlopen. 

Dat brengt digitalisering in een stroomversnelling: ziekenhuizen hoeven niet elke losse app te onderzoeken, maar integreren één keer met het platform waarna security gegarandeerd op orde is.

‍

‍