Informatieveiligheid van groep naar individu

Een tweede artikel in de serie over zorg en informatieveiligheid. Als ict-manager bij een middelgrote zorginstelling heb ik naast veel andere projecten, ook de NEN7510 op mijn bord liggen. Dat brengt mij op het punt van groepsaccounts.

Ja, u leest het goed, het is 2011 en ik schrijf over groepsaccounts. Voordat ik de zorg in stapte dacht ik dat dat niet meer bestond, een werkwijze uit de vorige eeuw. Dat is dus niet zo. Duidelijk een beperking aan mijn kant want het is vanuit de zorg bekeken ook helemaal niet zo vreemd. De groep zorgt voor de client, niet een eenling. En het is dan ook niet relevant wie de administratie bijwerkt, het is de groep. Je deelt het prikbord op de gang, je deelt de planning, je deelt de computer.

Maar daar komt de uitdaging. Want als je als groep alles deelt, dan deel je ook een gebruikersnaam en wachtwoord. Die hang je op naast de computer, zeker als het wachtwoord ook nog af en toe verandert. Het is een stuk onhandiger om zelf een wachtwoord te moeten bedenken, steeds weer in te moeten loggen als je achter de computer kruipt, en weer moet uitloggen als je er achter vandaan gaat. De computer is verplichte kost tegen wil en dank, het is zeker niet je hobby, en elke minuut besteed aan dat ding is een minuut minder aandacht voor de cliënt.

Zie je jezelf als ict-afdeling al aankomen met de mededeling dat vanaf vandaag iedereen elke keer moet inloggen/uitloggen, met eigen wachtwoord dat moet bestaan uit ingewikkelde woorden en tekens, dat ook nog eens elke zes maanden moet veranderen en die je niet mag opschrijven of delen met een ander. Zo’n boodschap brengen is op z’n minst een kenmerk van een beperkt inlevingsvermogen zoals mijn zorggeweten Maria mij al voorzichtig had uitgelegd.

En toch stelt de WBP en de NEN7510 dat we (onder andere) de toegang tot (persoons)informatie goed moeten regelen, en dus niet met een wachtwoord voor de hele groep op een post-it (wat klinkt als een cliché maar het is schrijnende werkelijkheid). Daar zit je dan met je goede gedrag. Je weet wat van it, van beveiliging en van risico management en toch is er geen oplossing uit het boekje.

Een paar overwegingen:
– Awarenesscampagnes in de zorg rond informatieveiligheid hebben in het verleden weinig goede resultaten laten zien, daarnaast kost een goede campagne veel geld, vijftigduizend euro ben je al snel kwijt, en eenmalig is dat niet;
– Het geven van accounts aan iedereen kost licenties, aan e-mail licenties alleen al gauw tienduizende euro’s;
– Het gebruik van ingewikkelde wachtwoorden is contra-productief, mensen schrijven dan zeker hun wachtwoord op want ze maken maar een keer of twee per dag even gebruik van de computer dus het zal niet inslijten..

Als ik dit zo weer eens lees concludeer ik dat ik een oplossing nodig heb die nauwelijks overtuiging nodig heeft, die beperkte meerkosten heeft en simpel in het gebruik is. Maar het kan toch niet zo zijn dat onze instelling de enige is met dit probleem?

Nee, dat zijn we niet. Alleen ben ik een van de weinigen die vanuit een idealistisch oogpunt nog steeds op zoek is naar een goede oplossing. Er is trouwens best wel een oplossing bedacht. Het probleem is alleen dat het een oplossing is die door ict’ers is bedacht. Let wel, ik juich het initiatief toe maar de huidige beperkingen spelen mij parten. Ik spreek hier over de smartcard voor de zorg, de uzi-pas. Ik heb vanuit de zorg gedacht een aantal verbeterpunten voor de uzi-pas bedacht.

Een eerste verbeterpunt: De pas is voorbehouden aan zorgverleners die met cliënteninformatie te maken hebben. Niet iedereen binnen de zorginstelling dus. Er valt dus een deel buiten de boot. Daarmee is de uzi-pas dus geen organisatiebrede oplossing en zou ik dus twee systemen naast elkaar moeten implementeren. Dat is niet handig vanuit beheer- en kostentechnisch oogpunt. Met een bredere toelating, dus in de gehele zorginstelling, wordt de uzi-pas een oplossing.

Een tweede verbeterpunt: De pas is een contact smartcard. Oftewel de gebruiker moet de pas ergens instoppen. En niet te vergeten, de gebruiker moet ‘m er weer uithalen bij vertrek. Dat betekent ook dat de smartcard niet aan een ceintuur of sleutelbos kan hangen. De oplossing zou het gebruik van een contact-less kaart zijn. De dichtstbijzijnde persoon in de buurt van de werkplek wordt herkend, en als je wegloopt logt hij uit. Dat zou het gebruik vriendelijker maken voor de zorg.

Een derde verbeterpunt: De formfactor van de uzi-pas (ik ga nu al uit van een contact-less versie) is een standaard smartcard. Dat is niet direct een handig formaat voor de zorg. Mijn eerste idee was een badge (naamkaartje) te voorzien van de rfid-techniek, maar het dragen van een badge in de zorgomgeving is wellicht nog moeilijker door te voeren dan het gebruik van een wachtwoord van veertig posities. Ik zou een keuzeformaat aanbieden, bijvoorbeeld een naamkaartje, een smartcard formaat of een buisje voor aan de sleutelbos.

Een vierde punt is van financiële aard: het gebruik van de uzi-pas kost een aardig bedrag. De aanschaf (tot voor kort gratis) maar ook de lezer (op kantoor, thuis en onderweg). Niet onlogisch als je kijkt naar de gebruikte technologie. Toch denk ik dat als de belangenverenigingen van het Nederlandse bedrijfsleven zich sterk maken, we door de schaalgrootte een goede standaardoplossing kunnen vinden voor bijvoorbeeld de kaartlezer en de nodige software. Zo hebben we naast het probleem in de zorg ook voor veel andere branches hun uitdaging voor bijvoorbeeld de ISO27000 opgelost.

Vier punten die mij vandaag tegenhouden om een veilige, praktische, vriendelijke en betaalbare oplossing neer te zetten. En nu? Wie het weet mag het zeggen. Ik ga water bij de wijn doen maar blijf toch op zoek naar iets dat acceptabel is voor de gebruiker, betaalbaar voor de instelling en veiliger dan wachtwoorden. En dat laatste is iets al snel.