Hij hing al wat langer in de lucht, maar is dan onlangs toch officieel gepubliceerd; de NEN 7513-norm. Deze voorziet in eisen ‘voor stelselmatige registratie van acties op elektronische patiëntdossiers om zo de rechtmatigheid van de toegang tot het patiëntdossier te kunnen controleren'.
De norm is een logische uitbreiding op NEN 7510, op basis waarop ziekenhuizen dit jaar gecontroleerd gaan worden om te zien of zij voldoen aan de minimale randvoorwaarden om patiëntinformatie te beschermen tegen ongeautoriseerde toegang. 7513 dwingt af dat controle op informatietoegang en aanpassing van de data in de bestanden in alle zorginstellingen gefaciliteerd wordt.
Dat helpt je als patiënt, om na ontslag uit het ziekenhuis waar je appendix verwijderd is, te kunnen bellen met de instantie en op te vragen wie er allemaal jouw gegevens hebben ingezien en/of aangepast. Nederland is het eerste land in Europa waar deze mogelijkheid in de vorm van een formele richtlijn bestaat. Het wordt natuurlijk pas actueel wanneer de informatie over jouw welzijn terugleest op de voorpagina van De Telegraaf of wordt benaderd door de verzekeringsmaatschappij om je premie te verhogen. Niettemin heeft de nieuwe norm een geruststellende, want preventieve, werking.
De grote uitdaging van de nieuwe NEN-norm voor logging is dat organisaties eerst NEN 7510-compliant moeten zijn, voordat ze 7513 goed kunnen invoeren. Zolang wachtwoorden gedeeld kunnen worden door mensen op een afdeling, of tussen arts en assistent, is de identiteit van degene die zich aanmeldt op een applicatie niet 100 procent vast te stellen. Dat maakt nauwkeurige logging zonder nauwkeurige authenticatie al bij voorbaat tot een heilloze missie.
Het is evident dat veel ziekenhuizen momenteel hun maatregelen treffen om de toorn van het College Bescherming Persoonsgegevens (lees: aanzienlijke boetes indien niet compliant) te ontlopen. Dat doen ze vaak door sterke authenticatie en single sign-on te implementeren en zo een basis te leggen voor individuele, beveiligde gebruikersaccounts. Binnen dergelijke authenticatieplatformen wordt vaak al logging toegepast. Dit kan bijvoorbeeld ervoor zorgen dat iemand zich slechts een keer hoeft aan te melden met een (proximity) pas en een wachtwoord en vervolgens zijn sessies kan meenemen naar verschillende werkplekken (bijvoorbeeld kamers met patiënten). Bovenop de toepassingsgerichte logging, beschikken we dan nog eens over overkoepelende authenticatie-logging. Prima, maar er zit uiteraard een addertje onder het gras.
Immers, hoe behoudt je het overzicht, gezien de hoeveelheid data die deze logbestanden nu al opleveren? Een verzoek tot informatie zoals hierboven beschreven kan leiden tot een ongewenste hoeveelheid werk voor de inhoudelijk en technisch betrokkenen. Dat mag niet de doelstelling zijn van het streven van het nationale normalisatie-instituut, namelijk ‘dat bij de verwerking van deze patiëntgegevens wordt bijgehouden (gelogd) wie, wanneer, welke gegevens vastlegt, raadpleegt of wijzigt.'
Ook bij het voldoen aan NEN 7513 zal technologie daarom een voorwaarde zijn. De voor de hand liggende keuze is te kijken naar Security Information and Event Management-oplossingen (SIEM), en deze dan stelselmatig en specifiek toe te passen op de problematiek van de Nederlandse gezondheidssector. Een 'SIEM++', zeg maar. Traditionele SIEM-oplossingen verzamelen, normaliseren, aggregeren, correleren en analyseren event data van apparaten, systemen en applicaties. Deze tools werden eind vorige eeuw geïntroduceerd door een aantal security-leveranciers en winnen de laatste drie jaar sterk aan populariteit. De opmars is te danken aan (strengere naleving van) wet- en regelgeving in verschillende sectoren, maar ook aan de toenemende complexiteit van beveiligingsbeheer.
Maar een 'SIEM++'-oplossing moet meer kunnen: indachtig het nationale epd en de nieuwe norm zijn deze tools nodig om onderzoek achteraf te faciliteren over instanties heen, zodat bij het lekken van informatie de betrokken organisaties transparant kunnen maken wie er bij gegevens is geweest en welke activiteiten deze persoon heeft uitgevoerd. Hoewel de preventieve werking van een SIEM sterk zal zijn, zoals eerder gesteld, dient een dergelijke SIEM++-tool voor zorginstellingen ook specifieke zorgkwesties op te lossen. De beleidslijnen dienen zeer granulair te kunnen worden ingeregeld en daartoe zijn lang niet alle oplossingen in staat.
Denk bijvoorbeeld aan vragen als: wie heeft het dossier ingekeken, wat doen we met dossiers van familieleden – en van BN'ers die opgenomen worden? Hiervoor gelden andere beleidsregels dan voor standaardpatiënten; zij vormen echter potentieel de grootste valkuilen vanwege de mogelijke verleiding onder de zorgverleners om toch even het dossier te bekijken. De reguliere instellingen volstaan hier niet en omdat in zorginstellingen uitzonderingen met grote regelmaat voorkomen, wil je een SIEM++ dat flexibel in te regelen is en op korte termijn de verantwoordelijken achter de desktop en in het datacenter kan verwittigen over de oneigenlijke datatoegang. De combinatie van aanspreken op verantwoordelijkheden en vastleggen van misbruik biedt het optimale medicijn tegen hoofdpijn voor het ziekenhuismanagement.
