“Geef nu aandacht aan de beveiliging van persoonsgegevens”

In de afgelopen tien jaar zien we een exponentiële toename van de hoeveelheid data die wordt gecreëerd en gedeeld. Parallel aan die ontwikkeling loopt het misbruik van die data. In 2001 was er sprake van een wereldwijd geregistreerd misbruik ter waarde van 18 miljoen dollar. In 2015 stond de teller op meer dan een miljard.

In Europa liep de wetgeving rondom privacybescherming tot voor kort hopeloos achter op de snelle ontwikkelingen rond het internet. Daarom is het voor consumenten zeer goed nieuws dat die wetgeving nu eindelijk up-to-date is. Nieuw in dit opzicht zijn de Wet Meldplicht Datalekken en de Algemene Verordening Gegevensbescherming die beide dit jaar van kracht zijn geworden. Het maatschappelijk belang van deze ontwikkeling is evident, want inbreuken op de privacy en identiteitsdiefstal zijn extreem ingrijpend voor de slachtoffers.

“Privacy is dus hot”, vertelt Marco Dees. Dees: ”Bedrijven moeten nu in actie komen om ervoor te zorgen dat aan hen toevertrouwde gegevens zorgvuldig worden beschermd. Infomedics heeft zelf een cruciale stap gezet door al in 2015 – na een voorbereiding van ruim een jaar – een ISO 27001 certificering te behalen. En omdat wij in onze keten data delen met ketenpartners, eisen wij van die partners dat ze dezelfde certificeringsgraad als wij hebben. Alleen op die manier weten wij zeker dat de veiligheid van patiëntgegevens is gewaarborgd als wij bijvoorbeeld onze facturen door een derde partij laten printen en verzenden. Wij zijn de enige dienstverlener in medische factoring die volledige ketencertificering heeft gerealiseerd. Dat kun je gerust innovatief noemen.”

Tweestapsverificatie

Een andere belangrijke innovatie van Infomedics is tweestapsverificatie. Dees: “Patiënten maken gebruik van een beveiligd portaal om hun factuurgegevens in te zien. Die facturen bevatten privacygevoelige gegevens. De toegang tot die gegevens beveiligen wij als eerste in onze branche met verificatie in twee stappen. Bij het inloggen vult een patiënt eerst zijn gebruikersnaam en wachtwoord in. In de tweede stap vult de patiënt de code in die hij via SMS van Infomedics heeft ontvangen. Pas dan krijgt hij toegang tot die privacygevoelige informatie in de factuur.”

“Deze tweestapsverificatie realiseren wij voor het eind van dit jaar. Het maakt de toegang wat lastiger want zorgaanbieders moeten naast e-mailadressen ook mobiele nummers van hun patiënten verzamelen. Pas dan beschikken wij over de informatie die we nodig hebben om patiënten veilig online toegang te kunnen geven tot hun gegevens. Zonder die gegevens krijgen patiënten een factuur via de post toegestuurd en patiënten worden geconfronteerd met een extra beveiligingsstap. Maar veilige online toegang tot privacygevoelige informatie is wél heel belangrijk. De Autoriteit Persoonsgegevens (AP) en het ministerie van VWS, zien hier ook nauwgezet op toe. Wist je trouwens dat die tweestapsverificatie wettelijk verplicht is?”

Hackers

Infomedics heeft in het afgelopen jaar een aantal lezingen gegeven over informatieveiligheid en privacybescherming. “Wij hebben toen gemerkt dat deze thema’s nog niet ‘top of mind’ zijn bij veel zorgondernemers. Ze denken dat hun praktijk niet interessant is voor hackers en verwachten dat ze niet of nauwelijks te maken hebben met gerichte hackpogingen. Maar een recent forensisch onderzoek door internetsecurity-expert QFast heeft aangetoond dat een gemiddelde tandartspraktijk 230.000 keer per maand met een gerichte aanval te maken heeft. Dat is 7000 keer per dag!”

Hackers gaan ver, want patiëntgegevens zijn zeer interessant, vertelt Dees. “Een patiëntrecord bestaat vaak uit persoonsgegevens, soms een IBAN, altijd een burgerservicenummer en medische gegevens. Zo’n dataset levert in het zwarte circuit al snel honderden euro’s per patiënt op. De patiëntgegevens van een middelgrote zorgpraktijk kunnen een hacker met de juiste connecties veel geld opleveren. Dat besef begint na onze presentatie langzaam tot ons publiek door te dringen. We geven ze daarom altijd vijf tips mee die ze direct de volgende dag kunnen toepassen om patiëntgegevens beter te beschermen.”

Actie

Dees adviseert zorgaanbieders om in actie te komen. “Stel bijvoorbeeld op drie A4’tjes een informatieveiligheidsbeleid op. Als je het samen met je medewerkers doet, creëert dat tegelijk ook bewustzijn en ‘buy in’. En als je het al niet voor je patiënten doet, doe het dan voor jezelf. Dan heb je in elk geval een verhaal als de Autoriteit Persoonsgegevens bij je aanklopt.“

In de medische sector zijn in het afgelopen jaar al meer dan duizend datalekken aan de AP gemeld. Dat is ongeveer 25% van alle datalekken die zijn gemeld. De AP onderzoekt die datalekken en reageert normaal gesproken met een bindende aanwijzing aan de veroorzaker van zo’n lek om het probleem op te lossen. Als die aanwijzing goed wordt opgevolgd en geïmplementeerd is er niets aan de hand. Maar als een zorgaanbieder niets doet en vervolgens met nóg een datalek te maken krijgt, zijn de rapen gaar. De Autoriteit Persoonsgegevens mag boetes opleggen tot € 820.000 of 10% van de jaaromzet van de zorgaanbieder per gebeurtenis.

Meer informatie: Marco Dees, Infomedics (mdees@infomedics.nl)