De smartcard in het elektronisch paspoort voor het Elektronisch Patiënten Dossier (EPD) is gekraakt en wordt vervangen. Dat maakt Minister Klink van Volksgezondheid, Welzijn en Sport (WVS) bekend. Zorgverleners hebben deze UZI-pas nodig om toegang tot het EPD te krijgen.
De smartcard in de UZI-pas wordt in het derde kwartaal van 2009 vervangen. Dat heeft minister Ab Klink van Volksgezondheid, Welzijn en Sport (WVS) in een brief aan de Tweede Kamer gemeld. Experts zouden er in een laboratoriumsituatie in geslaagd zijn om de private sleutel van de chip te achterhalen. Volgens het Ministerie vormt de kwetsbaarheid een ‘zeer gering operationeel risico', ook omdat ‘de UZI-pas niet de enige beveiligingsmaatregel' vormt.
De UZI-pas is het elektronisch paspoort dat zorgverleners nodig hebben om toegang te krijgen tot het Elektronisch Patiënten Dossier (EPD). Minister Klink stemde eind februari in met een nieuwe test van het EPD op verzoek van Kamerlid Jolande Sap van GroenLinks. Zij betoogde dat de veiligheid van het systeem cruciaal is voor het vertrouwen dat burgers in het elektronische dossier stellen.
Al verstrekte passen
In februari werd bekend dat het ministerie de vraag van zorgverleners naar de beveiligingspassen niet bij kon benen. Het ministerie moest extra mankracht inzetten om de passen aan zorgverleners uit te leveren. Volgens het Ministerie is die achterstand inmiddels weggewerkt. Al verstrekte passen worden niet teruggenomen. Ze zullen echter in plaats van na drie jaar, al na twee jaar worden vervangen. Alleen als de gebruiker daar expliciet om vraagt, kunnen de passen eerder worden vervangen door exemplaren met de nieuwe smartcard.
Defensiepas
De onveilig gebleken smartcard wordt ook gebruikt in de Defensiepas en in de digitale tachograaf, die sinds mei 2006 verplicht is voor vrachtwagen- en buschauffeurs. Volgens de brief van Klink is de kwetsbaarheid "voor Defensie op dit moment niet relevant, omdat de private sleutel nog niet wordt gebruikt. Defensie heeft maatregelen genomen om de kwetsbaarheid in het rekenmechanisme weg te nemen voordat de private sleutel in gebruik wordt genomen."
Er werken dus nu artsen met gekraakte pasjes. Leuk is dat.
Een zwaluw maakt nog geen zomer…
De smartcard in het elektronisch paspoort voor het Elektronisch Pati?nten Dossier (EPD) is gekraakt en wordt vervangen. zo kondigt Minister Klink aan. Het is inderdaad verstandig om met deze chip niet door te gaan, maar het is een illusie dat we dan een paar maanden later wel in een keer de goede beveiliging hebben.
Vele jaren wordt er al op het ministerie gewerkt aan het tot stand komen van het Elektronisch Patienten Dossier (EPD). Reden voor zo?n EPD zou zijn het aantal fouten bij de behandeling van pati?nten te reduceren. De elektronische middelen en de huidige technologie van computernetwerken bieden ongekende mogelijkheden. Maar gebrek aan beveiliging brengt ook serieuze gevaren met zich mee.. De breed gedragen maatschappelijke zorg hierover wordt niet echt door de minister gedeeld, en werd zelfs afgedaan met de opmerking dat ?in de laatste fase van de invoering er een beroep zal worden gedaan op hackers die de beveiliging mogen testen?. Als burger en als specialist op het gebied van databeveiliging maak ik mij ernstig zorgen over deze onbegrijpelijke manier van werken.
In het EPD zullen alle medische gegevens – zoals medicaties en behandelingen – van iedere inwoner van ons land worden geregistreerd. Dit betreft dus uiterst vertrouwelijke informatie, zeer privacygevoelig. Deze gegevens mogen uitsluitend door de behandelende zorgverlener worden geraadpleegd. Het is niet de bedoeling om de gegevens bij verzekeraars, commerciele organisaties of zelfs iedere willekeurige burger op tafel te leggen. De bescherming van de gegevens is daarom van het grootste belang. De bescherming zal moeten voldoen aan de wet op de persoonsgegevens in Nederland waarin de privacy van iedere burger geregeld is. De beveiliging van het EPD is daarom van cruciaal of zelfs nationaal belang.
Het is de bedoeling van de minister om het EPD toegankelijk te maken door middel van elektronische middelen. Het wereldwijde Internet is een van deze toegangspoorten. Zo zal de pati?nt via het Internet zijn eigen gegevens moeten kunnen inzien. Verschillende groepen in de maatschappij maken zich hierover ernstig zorgen. Deze bezorgdheid is ook in de Tweede Kamer voorgelegd. Internet is namelijk niet veilig. Zelfs niet met de meest geavanceerde technische middelen die ons ter beschikking staan. Een tweede belangrijke factor in de beveiliging is het menselijk falen in combinatie met de technologie. Met vele voorbeelden kan ik aantonen dat er altijd mogelijkheden bestaan om gegevens op illegale wijze te verkrijgen.
De zorg van het parlement werd niet door Klink gedeeld, maar werd afgedaan met de opmerking dat in de laatste fase van de invoering er een beroep zal worden gedaan op hackers die de beveiliging mogen testen. Dat is dus nu blijkbaar gelukt. Als burger en als specialist op het gebied van databeveiliging maak ik mij ernstig zorgen over deze onbegrijpelijke aanpak.
Ten eerste zal de beveiliging van een project als het EPD, vanaf de ontwerpfase moeten worden meegenomen. Het is onmogelijk om dit “later” alsnog te regelen of te controleren. Dit is een klassieke fout die wij in de ICT maar al te goed kennen.
Ten tweede getuigt de opmerking over de hackers van een ongelooflijke naiviteit en een fundamentele denkfout inzake beveiliging. Beveiliging is een wezenlijk onderdeel of zelfs het uitgangspunt van ieder project. Nu de chip gekraakt is, gewoon een nieuwe chip inbouwen, lost het probleem niet op.
Neem het voorbeeld van de beveiliging van een huis. Een architect ontwerpt een huis met gebruik van degelijke deuren, ramen met inbraakvrij glas, politiegoedgekeurde sloten en een afsluitbare achterdeur. Beveiliging wordt bij het ontwerp en de keus van het bouwmateriaal al meegenomen. En de verzekeringsagent kijkt vervolgens naar de materialen en de getroffen maatregelen om inbraak tegen te gaan. Je gaat toch niet nadat het huis gebouwd is een inbreker met een hamer en een koevoet inhuren om het huis te laten controleren op zwakke plekken. En als de inbreker niet binnenkomt, wil dat niet zeggen dat het huis veilig is. Het is tenslotte een momentopname, die niets zegt over de totale beveiliging op ieder moment. Misschien laten de kinderen ?s avonds de achterdeur wel open staan.
Ik kan mij niet aan de indruk onttrekken dat ?het inhuren van hackers? een gevolg is van alle perikelen rond de OV-chipcard, waar de hackers zorgden voor een beschamende ontmaskering van de beveiliging. If you can?t beat them, join them! Of huur ze in. Ook bij de OV-chipcard werd in het ontwerp een verkeerde inschatting gemaakt van de security. We kennen de gevolgen. De schade in dit project is slechts van politieke aard en een financiele tegenvaller. Bij het EPD gaat het echter om gevoelige informatie van alle burgers.
Daarom maak ik mij nog steeds onverminderd ernstig zorgen over de wijze waarop Klink met de gegevens van alle burgers denkt te kunnen omgaan. De minister heeft de taak en de verantwoordelijkheid om de privacy van de medische gegevens op professionele wijze te beschermen. Er staat grote politieke druk op het dossier maar Klink kan als verantwoordelijk minister niet deze onachtzame houding aannemen en de beveiliging van onze gegevens overlaten aan een paar elektronische inbrekers. In de security van IT netwerken hebben experts vele jaren ervaring opgedaan, die ook voor de overheid beschikbaar is. Laat de overheid niet opnieuw de bekende klassieke fouten maken in dit IT project!
Veel belangrijker dan de opgeslagen gegevens, is inzicht in wie deze gebruikt en wanneer. Voor echte transparantie is dat een voorwaarde wat mij betreft. Nog beter zou zijn dat men toestemming moet krijgen voordat de gegevens mogen worden opgevraagd. Zo zou je bijvoorbeeld een arts permanent toestemming kunnen geven, etc..
Uiteraard betaald minister Klink deze te voorziene blunder uit zijn eigen zak?
@Gast:
Nee, natuurlijk betaalt de minister dit niet. De burger (= belastingbetaler) zal er voor dokken.
Uiteindelijk wordt de rekening door de ‘klanten’ opgehoest (letterlijk en figuurlijk) 🙁
Een pluspuntje aan al die debacles rond ICT projecten die overheidsinstanties proberen uit te voeren; het bedrijfsleven heeft er de handen vol aan…