Informatiebeveiliging belangrijk bij digitalisering zorg

zondag 14 juli 2019

timer 3 min

Dat zorg mensenwerk is, staat vast. Toch spelen digitale klantportalen, smartphone-apps en slimme e-health oplossingen daarbij een steeds grotere ondersteunende rol. De digitalisering van de zorg biedt oneindig veel mogelijkheden, maar brengt ook risico’s met zich mee. Zorgdata zijn immers vrijwel altijd vertrouwelijk. Een datalek of ander veiligheidsincident heeft dan ook grote impact.

Informatiebeveiliging in de zorg

De norm NEN 7510 ‘Informatiebeveiliging in de zorg’ biedt zorginstellingen en leveranciers een raamwerk, waarbinnen ze veilig kunnen omgaan met vertrouwelijke informatie. Deze norm, gebaseerd op de ISO 27001 en andere internationale normen voor informatiebeveiliging, is afgestemd op de Nederlandse zorgsector. Hoewel de norm er met name is voor zorgverleners, kan ook van leveranciers verlangd worden dat ze voldoen aan de NEN 7510.

NEN 7510 verplicht
Nederlandse zorgorganisaties moeten volgens de Regeling gebruik burgerservicenummer in de zorg verplicht voldoen aan de NEN 7510. Zo toetst de Inspectie Gezondheidszorg en Jeugd (IGJ) aan de hand van de norm of een zorgverlener zijn processen rondom informatie en informatiebeveiliging op orde heeft. Het is niet verplicht om die werkwijze te bekronen met een NEN 7510 certificaat, maar zorgorganisaties laten hiermee wél aan partners, leveranciers en patiënten zien dat ze informatiebeveiliging serieus nemen en voldoen aan eisen die op dit gebied worden gesteld aan de Nederlandse zorgsector.

Toegevoegde waarde
Werken volgens de NEN 7510 betekent niet dat de norm tot op de letter moet worden gevolgd. Beleid en processen rondom informatiebeveiliging moeten natuurlijk wél toegevoegde waarde hebben en mogen niet leiden tot onwerkbare situaties. Zorgverleners die de NEN 7510 willen gebruiken als blauwdruk voor hun informatiehuishouding doen er daarom goed aan om te kijken hoe er nú binnen de organisatie wordt omgegaan met medische en persoonsgegevens. Vaak gaat er immers al heel veel wél goed, ook al is dat nog niet vastgelegd in ‘beleid’. Veel personeelsreglementen bevatten afspraken over bijvoorbeeld het delen van informatie of het omgaan met usb-sticks en andere informatiedragers. Die afspraken zijn vaak al bij iedereen bekend en kunnen dus prima worden gebruikt in het nieuwe managementsysteem op basis van de NEN 7510.

ISMS
Net als bij andere standaarden voor informatiebeveiliging bevat ook de NEN 7510 richtlijnen voor een zogenaamd Information Security Management System (ISMS). Een ISMS is een raamwerk dat organisaties helpt hun informatiehuishouding NEN 7510 vorm te geven. Om de invoering daarvan tot een succes te maken, moet het kwaliteitssysteem passend worden gemaakt voor de organisatie. Andersom is zelden effectief. Een maatregel waarvan de toegevoegde waarde niet evident is, hoeft niet te worden toegepast zolang wordt uitgelegd waarom hiervoor is gekozen. Uiteindelijk gaat het er immers om dat een organisatie moet kunnen aantonen dat informatiebeveiliging, en de manier waarop wordt omgegaan met vertrouwelijke data adequaat geregeld is.

Kiwa is een wereldwijde aanbieder van services op het gebied van testen, inspecteren en certificeren (TIC). Kiwa’s auditors hebben veel ervaring met NEN 7510-certificeringstrajecten. Op onze website vindt u meer informatie over NEN 7510-certificering en Kiwa’s andere services op het gebied van informatiebeveiliging en cybersecurity.