Wat gegevensbeveiliging inhoudt
Gegevensbeveiliging in de zorg draait om drie doelen: vertrouwelijkheid, integriteit en beschikbaarheid. Die doelen helpen bij het beschermen van bijvoorbeeld een diagnose, medicatieoverzicht of afspraak tegen inzage door onbevoegden, onbedoelde aanpassing en verlies. Ze gelden zowel voor digitale dossiers als voor informatie die op papier staat. Een zorgverlener kan ze gebruiken om te beoordelen wat er met gegevens gebeurt wanneer iemand een dossier bekijkt, een wijziging invoert of informatie probeert terug te halen. De concrete betekenis wordt zichtbaar in de toegangsregels, wijzigingsregistratie en herstelmogelijkheden rond een zorgsysteem.
Vertrouwelijkheid, integriteit en beschikbaarheid
Vertrouwelijkheid betekent dat informatie alleen beschikbaar is voor mensen die die voor hun werk nodig hebben. Bij een elektronisch patiëntendossier kan een behandelaar bijvoorbeeld de gegevens van een patiënt bekijken, terwijl een medewerker zonder behandelrelatie daar geen toegang toe krijgt. Het doel is ongeoorloofde inzage te voorkomen, niet om informatie voor bevoegde zorgverleners onbereikbaar te maken.
Integriteit betekent dat gegevens juist en volledig blijven en dat wijzigingen te verklaren zijn. Een foutieve dosis in een medicatieoverzicht kan gevolgen hebben voor een behandeling; een onbedoelde aanpassing van een adres kan ervoor zorgen dat correspondentie verkeerd wordt bezorgd. Registratie van wie een gegeven veranderde en wanneer, maakt het mogelijk een afwijking te onderzoeken en waar nodig te herstellen.
Beschikbaarheid betekent dat noodzakelijke informatie op het benodigde moment bruikbaar is. Als een dossier door een defecte server niet opent tijdens een afspraak, kan een zorgverlener actuele informatie over allergieën of medicatie missen. Beschikbaarheid gaat daarom niet alleen over het bestaan van gegevens, maar ook over toegang tot een werkende applicatie en een leesbare kopie wanneer de primaire omgeving uitvalt.
De drie doelen hangen samen, maar zijn niet hetzelfde. Een dossier kan vertrouwelijk zijn en toch onbruikbaar doordat niemand kan inloggen; een snel toegankelijk dossier kan juist risico lopen als onbevoegden het kunnen openen. Bij de beveiliging van medische gegevens gaat het erom dat privacy, betrouwbare inhoud en bruikbaarheid tegelijk aandacht krijgen. Praktische gids voor back-up en data is een onafhankelijke informatiegids over het bewaren en herstellen van digitale gegevens.
Bescherming tegen toegang, wijziging en verlies
Concrete controles richten zich op verschillende risico’s. Deze voorbeelden laten zien hoe toegang, wijzigingen en herstel afzonderlijk kunnen worden beheerst.
- Geef medewerkers alleen toegang tot dossiers die bij hun functie horen; zo verklein je de kans op inzage in patiëntinformatie zonder werkreden.
- Gebruik persoonlijke accounts en leg dossierwijzigingen met gebruiker en tijdstip vast; gedeelde logins maken onderzoek naar een foutieve aanpassing lastiger.
- Bewaar eerdere versies van belangrijke bestanden; versiebeheer kan helpen een per ongeluk overschreven behandelprotocol terug te zetten.
- Maak versleutelde back-ups op een gescheiden opslaglocatie; een kopie buiten het primaire systeem beperkt verlies door defecten of schadelijke software.
- Test herstel van een back-up en noteer wie dat uitvoert; een herstelproef toont of bestanden na uitval daadwerkelijk leesbaar en bruikbaar zijn.
Een herstelplan legt bovendien vast welke systemen eerst terug moeten komen, bijvoorbeeld het patiëntendossier vóór een minder urgent archief.
Gegevensbeveiliging in de zorg
Gegevensbeveiliging in de zorg draait om de manier waarop zorginformatie in dagelijkse werkprocessen wordt geraadpleegd en verwerkt. Een dossier kan bijvoorbeeld afspraken, behandelgegevens en uitslagen bevatten, terwijl verschillende medewerkers op uiteenlopende momenten informatie nodig hebben. Zorgvuldige toegangsverlening helpt de bescherming van patiëntgegevens af te stemmen op die werkelijke taken. Ook veilige verwerking en voorbereiding op systeemuitval dragen bij aan betrouwbare zorgprocessen.
Waarom zorginformatie zorgvuldige toegang vraagt
Zorginformatie kan gegevens bevatten over klachten, diagnoses, medicatie en behandelafspraken. Niet iedereen die bij een zorgproces betrokken is, heeft voor iedere taak al die informatie nodig. Een medewerker die een afspraak inplant, kan bijvoorbeeld andere gegevens nodig hebben dan een behandelaar die een dossier bespreekt. Rolgebonden toegangsbeheer koppelt de beschikbare informatie daarom aan de werkzaamheden en verantwoordelijkheden van een gebruiker.
Een praktische inrichting begint met duidelijke rollen, zoals administratie, verpleging en behandeling. Per rol wordt bepaald welke onderdelen van een dossier nodig zijn om de dagelijkse taken uit te voeren. Zo kan een administratieve gebruiker afspraken beheren zonder automatisch toegang te krijgen tot behandelnotities. Bevoegdheden blijven daarmee beperkt tot wat voor de functie nodig is, in plaats van dat brede inzage standaard beschikbaar is.
Rollen veranderen wanneer iemand andere taken krijgt, tijdelijk een opdracht uitvoert of niet langer in een team werkt. Als toegangsrechten niet met zulke veranderingen worden bijgewerkt, kan informatie beschikbaar blijven voor iemand die haar niet meer nodig heeft. Regelmatige controle van gebruikers en rechten maakt zulke afwijkingen beter zichtbaar. Ook individuele accounts zijn belangrijk: wanneer meerdere mensen één account delen, is achteraf minder duidelijk wie een dossier heeft geraadpleegd.
Ongeautoriseerde toegang kan de privacy van patiënten aantasten, ook wanneer gegevens niet worden gewijzigd of verspreid. Denk aan het bekijken van een dossier uit nieuwsgierigheid of aan inzage door een medewerker buiten het betrokken zorgteam. Heldere rollen en beperkte bevoegdheden verkleinen de kans op zulke inzage en maken duidelijk welke informatie bij welke taak hoort.
Veilige verwerking en continuïteit
Beveiliging vraagt niet alleen om passende toegangsrechten, maar ook om veilige omgang met gegevens tijdens het dagelijkse werk. Denk aan het verwerken van een dossier, het versturen van een bestand of het herstellen van informatie na een storing. De volgende aandachtspunten verbinden veilige verwerking met voorbereiding op onderbrekingen.
- Beperk toegang tot systemen en bestanden per taak; laat een gebruiker alleen de dossieronderdelen openen die nodig zijn voor de concrete handeling.
- Gebruik bij overdracht beveiligde verbindingen en controleer ontvanger en bestemming, vooral wanneer een dossierbestand tussen systemen of zorgverleners wordt verzonden.
- Vermijd onbeveiligde opslag op losse apparaten; bewaar werkbestanden op beheerde systemen en verwijder tijdelijke kopieën zodra ze niet meer nodig zijn.
- Maak back-ups volgens een vast schema en controleer periodiek of gegevens daadwerkelijk kunnen worden teruggezet; een kopie die niet herstelbaar is, biedt weinig continuïteit.
- Leg vooraf vast wie bij uitval herstelstappen uitvoert, waar de meest recente back-up staat en hoe urgente werkzaamheden tijdelijk worden voortgezet.
Een herstelplan wordt bruikbaarder wanneer het met realistische scenario’s wordt getest, zoals een onbereikbaar patiëntendossier of een defect opslagsysteem. Een oefening kan nagaan of medewerkers de juiste herstelinformatie vinden en of een recente back-up zonder ontbrekende onderdelen terugkomt. De uitkomsten helpen onduidelijke rollen, verouderde instructies of te lange hersteltijden te herkennen.
Veilige verwerking omvat ook aandacht voor gegevens die tijdelijk worden gekopieerd of geëxporteerd. Een bestand met patiëntinformatie op een onbeheerd werkstation kan buiten het reguliere dossierbeheer terechtkomen. Door vaste werkwijzen voor opslag, overdracht en verwijdering te combineren met geteste back-ups, blijven gegevens beter beschikbaar wanneer een storing het normale werk onderbreekt.
Wat PCI DSS behandelt
PCI DSS is een beveiligingsstandaard voor omgevingen waarin betaalkaartgegevens worden verwerkt. De reikwijdte hangt samen met de systemen en processen die zulke gegevens opslaan, verzenden of gebruiken. Bij zorgverleners kan dat bijvoorbeeld een betaalterminal, een betaalapplicatie of een gekoppelde server zijn. De standaard richt zich op de bescherming van betaalkaartgegevens en bestrijkt daarmee niet automatisch alle informatie die een zorgorganisatie beheert.
Betaalkaartgegevens en de kaartomgeving
PCI DSS stelt beveiligingseisen aan omgevingen waarin betaalkaartgegevens worden verwerkt, opgeslagen of verzonden. Het gaat onder meer om het kaartnummer, ook aangeduid als PAN, en gegevens die samen met dat nummer worden behandeld, zoals de naam van de kaarthouder, de vervaldatum en de servicecode. Ook bepaalde gevoelige authenticatiegegevens, zoals een beveiligingscode of pincode, vallen binnen de aandacht van de standaard. Welke gegevens aanwezig zijn en hoe ze door systemen bewegen, helpt de kaartomgeving af te bakenen.
Een kaartomgeving bestaat niet alleen uit de betaalterminal zelf. Denk ook aan de betaalapplicatie die een transactie ontvangt, een server die betaalinformatie doorstuurt en opslag waarin kaartgegevens tijdelijk of langer worden bewaard. Netwerkverbindingen tussen zulke onderdelen zijn relevant, omdat gegevens tijdens de betaling van het ene systeem naar het andere kunnen gaan. Een zorgverlener die kaartbetalingen accepteert, kan bijvoorbeeld een terminal gebruiken die verbinding maakt met een betaalverwerker; de systemen die daarbij kaartgegevens behandelen vormen samen de relevante technische omgeving.
De rol van een systeem hangt af van wat ermee gebeurt. Een systeem kan kaartgegevens rechtstreeks invoeren, doorsturen of opslaan, maar kan ook onderdeel zijn van de omgeving doordat het toegang heeft tot systemen die deze gegevens verwerken. De precieze inrichting verschilt per betaalproces: een zelfstandige terminal werkt anders dan een betaaloplossing die is geïntegreerd in een digitaal patiëntportaal. PCI DSS in de zorg gaat daarom over de beveiliging van de betaalkaartomgeving, niet over ieder systeem waarin medische informatie staat.
Beveiligingsdoelen en reikwijdte
PCI DSS is bedoeld om betaalkaartgegevens te beschermen binnen de systemen en processen die onder de standaard vallen. De eisen hebben betrekking op de beveiliging van de kaartomgeving en op de manier waarop kaartgegevens daarin worden behandeld. Voor een zorgorganisatie betekent dit dat de reikwijdte wordt bepaald door de betaalstromen en de systemen die daarmee samenhangen, niet uitsluitend door de sector waarin de organisatie actief is.
De grens van de kaartomgeving valt niet vanzelf samen met de grens van een volledige organisatie. Een elektronisch patiëntendossier dat geen betaalkaartgegevens verwerkt, valt niet automatisch onder PCI DSS. Een systeem dat verbinding heeft met de betaalomgeving of de beveiliging daarvan kan beïnvloeden, kan daarentegen relevant zijn voor de afbakening. Daardoor kan de kaartomgeving naast betaaltechniek ook bepaalde ondersteunende systemen omvatten, afhankelijk van de feitelijke inrichting.
PCI DSS is geen privacywet en geen algemene standaard voor zorggegevens. De bescherming van medische dossiers, personeelsinformatie en andere organisatiegegevens vraagt om een bredere benadering van informatiebeveiliging. AVG-compliance voor Nederlandse zorgorganisaties en PCI DSS hebben verschillende doelen en reikwijdten: de eerste betreft de verwerking van persoonsgegevens, terwijl PCI DSS zich richt op betaalkaartgegevens. Een zorgverlener kan dus met beide kaders te maken hebben, zonder dat naleving van het ene kader op zichzelf de naleving van het andere aantoont.
Zorggegevens en PCI DSS vergeleken
Zorgorganisaties verwerken informatie over gezondheid én kunnen betalingen met betaalkaarten accepteren. Die gegevensstromen vallen niet automatisch onder hetzelfde beveiligingskader: de AVG behandelt gezondheidsgegevens als bijzondere persoonsgegevens, terwijl PCI DSS is gericht op betaalkaartgegevens. Het onderscheid is relevant wanneer systemen voor patiëntenzorg en betalingen technisch of organisatorisch met elkaar verbonden zijn. De vergelijking hieronder laat zien waar de doelen uiteenlopen en waar beveiligingsmaatregelen elkaar kunnen raken.
Verschillen in informatie, focus en reikwijdte
Bij gegevensbeveiliging in de zorg gaat het om informatie die iets zegt over iemands gezondheid, behandeling of zorgverlening. PCI DSS richt zich daarentegen op betaalkaartgegevens en de systemen die deze gegevens opslaan, verwerken of verzenden. De kaders kunnen binnen één zorgorganisatie naast elkaar gelden, maar dekken niet hetzelfde soort informatie.
| Vergelijkingspunt | Zorggegevens | PCI DSS |
|---|---|---|
| Type informatie | Gegevens over diagnose, medicatie, behandelingen, onderzoeksuitslagen en identificerende patiëntinformatie. Gezondheidsgegevens vallen onder de bijzondere categorieën persoonsgegevens in artikel 9 van de AVG. | Betaalkaartgegevens, waaronder het primaire rekeningnummer op de kaart (PAN), de naam van de kaarthouder en de vervaldatum. De standaard behandelt ook gevoelige verificatiegegevens, zoals de beveiligingscode. |
| Beveiligingsfocus | De bescherming van patiëntgegevens in de volledige zorgcontext, bijvoorbeeld bij vastlegging, raadpleging en uitwisseling van informatie voor zorgverlening. | Het beperken van risico’s voor betaalkaartgegevens binnen de betaalomgeving, inclusief systemen die de veiligheid van die omgeving kunnen beïnvloeden. |
| Reikwijdte | De context omvat uiteenlopende zorginformatie en verwerkingen door zorgorganisaties; de toepasselijke verplichtingen hangen onder meer af van de AVG en de concrete verwerking. | De reikwijdte volgt de betaalkaartomgeving en omvat systemen die kaartgegevens opslaan, verwerken of verzenden, plus systemen die de beveiliging daarvan kunnen beïnvloeden. |
PCI DSS in de zorg is dus relevant voor kaartbetalingen, niet als algemene standaard voor zorggegevens. Een elektronisch patiëntendossier valt niet uitsluitend door het gebruik in een zorginstelling onder PCI DSS; de betrokkenheid bij de betaalkaartomgeving is bepalend.
Waar de beveiligingsaandacht kan overlappen
Een zorgorganisatie kan dezelfde technische omgeving gebruiken voor patiëntprocessen en betaalverwerking, of beide omgevingen via een netwerk verbinden. In zo’n situatie kunnen toegangsbeheer, versleuteling en registratie van systeemactiviteiten relevant zijn voor zowel de beveiliging van medische gegevens als de bescherming van kaartgegevens. Een account met toegang tot een betaalterminal hoeft bijvoorbeeld niet vanzelf toegang te geven tot patiëntdossiers; rollen en rechten kunnen per systeem worden ingericht.
Ook het beperken van gegevensverlies raakt beide onderwerpen. Back-ups van zorginformatie en herstelvoorzieningen voor betaalprocessen dienen verschillende functies, maar vragen allebei om controle op wie gegevens kan benaderen en hoe herstel verloopt. Een risicoanalyse kan verbindingen tussen systemen zichtbaar maken en helpen vaststellen welke beveiligingsmaatregelen beide omgevingen raken. Gedeelde maatregelen maken de doelen en toepassingsgebieden echter niet gelijk: AVG-compliance voor Nederlandse zorgorganisaties blijft gericht op persoonsgegevens, terwijl PCI DSS betrekking heeft op de betaalkaartomgeving.
Maatregelen en grenzen van een standaard
Gegevensbeveiliging in de zorg krijgt vorm door concrete maatregelen voor dagelijkse toegang, wijzigingen en incidenten. Beveiligingsmaatregelen kunnen risico’s verkleinen, maar hun werking hangt af van de inrichting en het gebruik van zorgsystemen. Een versleutelde reservekopie helpt bijvoorbeeld alleen als herstel mogelijk is en de kopie niet tegelijk met de productieomgeving wordt geraakt. Ook een erkende standaard geeft op zichzelf geen volledig beeld van alle eisen die voor een organisatie gelden.
Algemene maatregelen voor gegevensbeveiliging
Bij gegevensbeveiliging in de zorg moeten maatregelen aansluiten op concrete risico’s, zoals een onbevoegde account, een verwijderde patiëntregistratie of een wijziging die niet opvalt. Vier soorten maatregelen ondersteunen bescherming, signalering en herstel.
De uitvoering verschilt per systeem: een elektronisch patiëntendossier vraagt bijvoorbeeld om andere rollen dan een betaalterminal, maar de risico’s zijn met vaste controles te beheersen.
- Koppel accounts aan rolprofielen en geef alleen toegang tot noodzakelijke zorgsystemen; trek rechten bij functiewissel of uitdiensttreding snel in, zodat achtergebleven accounts minder kans geven op misbruik.
- Bewaar reservekopieën versleuteld en gescheiden van de dagelijkse omgeving; zo verkleint u het risico dat ransomware, een hardwarestoring of een foutieve verwijdering ook de kopieën aantast.
- Leg wijzigingen in patiëntendossiers en belangrijke systeeminstellingen vast met account, tijdstip en handeling; controleer afwijkende gebeurtenissen om ongeoorloofde aanpassingen of fouten tijdig te signaleren.
- Beschrijf herstelstappen, verantwoordelijkheden en prioriteiten vooraf; oefen het terugzetten van een kopie, zodat medewerkers bij uitval weten welke systemen en gegevens eerst nodig zijn.
Toegangsbeheer werkt beter wanneer rechten periodiek worden gecontroleerd en accounts persoonlijk blijven. Een gedeeld account maakt het bijvoorbeeld moeilijker om in een logbestand vast te stellen wie een wijziging uitvoerde.
Reservekopieën en herstelprocedures vullen elkaar aan: een kopie beperkt gegevensverlies, terwijl een oefening laat zien of bestanden en systemen daadwerkelijk bruikbaar terugkomen. Dat verschil is belangrijk bij zowel technische storingen als incidenten met gegevens.
Wat een standaard niet vaststelt
Een standaard of technische maatregel bewijst niet automatisch dat een organisatie aan alle toepasselijke eisen voldoet. PCI DSS-richtlijnen implementeren kan bijvoorbeeld aantonen dat bepaalde beveiligingsmaatregelen voor kaartbetalingen zijn ingericht, maar zegt op zichzelf niet dat ook alle andere verplichtingen voor een zorgorganisatie zijn beoordeeld.
Een maatregel is een afzonderlijke controle: een toegangsregel kan blokkeren dat onbevoegde accounts een systeem openen, en een logregistratie kan wijzigingen vastleggen. Een volledige beoordeling kijkt daarnaast naar de reikwijdte van systemen en gegevens, de feitelijke configuratie, werkafspraken, verantwoordelijkheden en bewijs dat controles in de praktijk functioneren.
Een geschreven procedure is dus niet hetzelfde als aantoonbare uitvoering. Bij een beoordeling kan bijvoorbeeld blijken dat een accountbeleid bestaat, maar dat oude accounts nog actief zijn; logbestanden kunnen bestaan, maar niet worden nagekeken. De documentatie, instellingen en dagelijkse werkwijze moeten daarom als samenhangende onderdelen worden beschouwd.
Welke eisen van toepassing zijn, hangt onder meer af van de activiteiten, gegevensverwerking en contractuele relaties van de organisatie. Een technische norm vormt een bruikbaar referentiekader voor specifieke controles, maar vervangt geen beoordeling van de afzonderlijke verplichtingen en omstandigheden.