Beveiligingsmaatregelen in BelRAI

Transcriptie

1 Beeiligingsmaatregelen in BelRAI 1. Priacy policy en informed consent Het priacy beleid an het BelRAI project is beschreen in het priacy policy document, publiek beschikbaar op en Het basisprincipe is dat de toegang tot informatie op de BelRAI website beperkt wordt olgens het need to know principe: zorgerleners kunnen enkel die informatie oer cliënten raadplegen die ze strikt nodig hebben om hun zorgtaken uit te oeren. Boendien kan toegang aan zorgerleners maar erleend worden na expliciete schriftelijke toestemming anwege de cliënt ia een informed consent formulier. Het systeem laat niet toe dat een nieuwe cliënt wordt aangemaakt zonder de erklaring dat een dergelijk formulier ondertekend is. Het informed consent formulier wordt normaal bewaard door de cliëntbeheerder of zijn/haar administratie. 2. E-health authenticatie en erificatie Het aanmelden an de gebruiker (zorgerlener) in BelRAI erloopt ia e-health d.m.. een elektronische identiteitskaart (eid) of token. Toegang is mogelijk op twee manieren: ia de e-health website, die een pagina oer BelRAI heeft met uitleg oer de applicatie en welke categorieën an zorgerleners het kunnen gebruiken, en ia de BelRAI website. In beide geallen erwijst de BelRAI website altijd door naar e-health oor de eigenlijke login en erificatie. Daarna neemt de BelRAI website het weer oer. Een zorgerlener die BelRAI gebruikt anuit erschillende rollen (bijoorbeeld een arts die zowel een eigen praktijk heeft als oor een ziekenhuis werkt) moet een keuze maken anuit welke hoedanigheid hij nu wil werken. Zijn toegangsrechten in BelRAI worden daaraan aangepast. Bij het aanmelden controleert e-health welke de kwalificatie is an de gebruiker olgens gekende authentieke bronnen. Hierbij wordt dus geerifieerd of de gebruiker wel degelijk een erkende arts, erpleger, enz. is. Eens deze bronnen geraadpleegd zijn en de login correct is, stuurt e-health de beschikbare informatie oer de gebruiker naar BelRAI. BelRAI mapt dit dan op zijn eigen rollen om te bepalen welke de toegang is an de gebruiker tot het systeem. Enkel mensen die als zorgerlener bekend zijn bij e-health, krijgen dus toegang tot BelRAI. Momenteel gaat het enkel om artsen en erpleegkundigen. Later worden daar andere rollen aan toegeoegd zodra e-health deze kan erifiëren in authentieke bronnen. 3. Toegang tot cliënten Toegang wordt erleend aan zorgerleners op basis an hun, door e-health geerifieerde, rol in het zorgproces. Het toegangsbeleid an BelRAI is zo opgezet dat flexibiliteit mogelijk is tussen erschillende zorgsituaties ( intra muros en inter muros ), terwijl de priacy an de cliënten toch gewaarborgd wordt in al deze situaties. 3.1 Cliëntbeheerder De rol an cliëntbeheerder is een specifieke functie die een zorgerlener erult oor een cliënt. Het is een soort an ertrouwensrelatie tussen cliënt en zorgerlener waarbij de eerste aan de laatste het ertrouwen geeft om zijn gegeens in BelRAI te beheren en eroor te zorgen dat zijn priacy beschermd wordt. De cliëntbeheerder is de enige persoon die het profiel an een cliënt in het systeem kan aanpassen (zijn persoonlijke gegeens zoals geboortedatum, burgerlijke staat, opleidingsnieau, enz.). Hij is ook de enige die kan bepalen welke zorgerleners toegang hebben tot de cliënt. Dit kan door de cliënt te maken an groepen en/of door zorgerleners indiiduele toegang te geen tot de cliënt.

2 Met andere woorden: een zorgerlener heeft maar toegang tot de gegeens an een cliënt als hij/zij is an dezelfde groep of als hij/zij indiiduele toegang heeft gekregen tot die cliënt. De cliëntbeheerder kan op elk moment deze toegang aanpassen of ongedaan maken. Elke cliënt heeft in principe één cliëntbeheerder, maar het kunnen er ook meerdere zijn. Het is ook weer de cliëntbeheerder die kan bepalen of andere zorgerleners ook cliëntbeheerder mogen zijn oor zijn cliënt of niet. 3.2 Groepsbeheerder Cliënten en zorgerleners kunnen deel uitmaken an groepen, die hiërarchisch gestructureerd kunnen zijn. Zorgerleners in een groep hebben toegang tot de cliënten in hun groep en in alle onderliggende groepen. Het is de groepsbeheerder die een zorgerlener kan maken an een groep. De groepsgebaseerde toegang is dus gebaseerd op de combinatie an de ertrouwensfuncties cliëntbeheerder (tot welke groepen mag mijn cliënt behoren ) en groepsbeheerder (welke zorgerleners mogen er in mijn groep zitten), waarbij de cliëntbeheerder erop ertrouwt dat de groepsbeheerder de erantwoordelijkheid neemt enkel die zorgerleners tot zijn groep toe te laten waaroor dit strikt noodzakelijk is in het zorgproces. 3.3 Vragenlijsterantwoordelijke Dit is, naast cliëntbeheerder en groepsbeheerder, de derde specifieke functie die een zorgerlener in het systeem kan erullen. De ragenlijsterantwoordelijke is de zorgerlener die erantwoordelijk is oor het aeren en het afwerken an de ragenlijst. De erantwoordelijke kan na het erstrijken an de einddatum nog ragen beantwoorden, beslissen oer eentueel tegenstrijdige antwoorden, de resultaten laten berekenen en de ragenlijst tenslotte afsluiten. 3.4 Samengeat In onderstaande figuur wordt de groepshiërarchie en het toegangsbeleid in BelRAI schematisch oorgesteld. Zorgerlener A Hoofdgroep groepsbeheerder Zorgerlener B Zorgerlener E groepsbeheerder Subgroep 1 Subgroep 2 Zorgerlener G toegang Cliëntbeheerder Zorgerlener C Zorgerlener D Cliënt Jos Zorgerlener F Figuur 1: toegangsbeleid BelRAI In deze figuur bestaat er één hoofdgroep en twee subgroepen. Zorgerlener B is groepsbeheerder an de hoofdgroep en heeft dus bepaald dat A eran is en dat groepen 1 en 2 er subgroepen an zijn. Zorgerlener F is cliëntbeheerder an onze cliënt Jos. Dit kon hij worden na het ondertekenen an het informed consent door Jos. F heeft bepaald dat Jos is an subgroep 2. De olgende personen in het schema hebben toegang tot cliënt Jos: Zorgerlener F omdat hij cliëntbeheerder is Zorgerlener D omdat hij is an dezelfde groep (subgroep 2)

3 Zorgerlener E omdat de cliëntbeheerder hem indiiduele toegang tot Jos heeft gegeen Zorgerlener A (groepsbeheerder) en B omdat ze zijn an de hoofdgroep De olgende personen hebben geen toegang tot cliënt Jos: Zorgerlener C omdat hij geen is an subgroep 2 Zorgerlener G (groepsbeheerder) omdat hij geen is an subgroep Voorbeeld scenario Jos is 80 geworden. Hij woont nog thuis, maar is momenteel in het ziekenhuis opgenomen oor een hartprobleem. Om oor hem een eerste RAI ealuatie te kunnen maken, heeft de hoofderpleegkundig an de afdeling Cardiologie op de BelRAI website een informed consent formulier afgehaald en afgedrukt. Hij heeft Jos uitgelegd wat ze met RAI willen doen en het informed consent oerlopen, waarna Jos het ondertekend heeft. Jos kiest zijn huisarts (médecin généraliste) als cliëntbeheerder. De hoofderpleegkundige (infirmier en chef) maakt Jos aan als nieuwe cliënt in BelRAI en selecteert zijn huisarts als cliëntbeheerder. Hij stuurt het informed consent formulier naar de huisarts en raagt hem om Jos te maken an de groep Afdeling Cardiologie an zijn ziekenhuis. Ziekenhuis Gasthuisberg Afdeling geriatrie Afdeling cardiologie erpleger diëtist Hoofderpleegkundige Cliënt Jos Cliëntbeheerder huisarts Figuur 2: scenario stap 1 De huisarts logt in in het BelRAI systeem en klikt op mijn cliënten. Hij ziet dat Jos er bij staat. Hij gaat naar de detailpagina an Jos en an daaruit gaat hij naar de groepsbeheer pagina. Daar oegt hij Jos toe als an de groep Cardiologie onder Ziekenhuis Gasthuisberg. Vanaf nu hebben de erpleger, diëtist en hoofderpleegkundige an Cardiologie toegang tot Jos in BelRAI. De hoofderpleegkundige kan nu een nieuwe RAI ragenlijst starten oor Jos en die laten inullen door de mensen die in de zorg an Jos betrokken zijn. (zie onder) Figuur 3: scenario stap 2 Na 2 weken mag Jos het ziekenhuis erlaten, maar hij moet nog twee maal per week door een thuiserpleger erzorgd worden gedurende twee maanden. Op het einde an deze periode moet zijn

4 thuiserpleger, die bij Thuiszorg Leuen werkt, een RAI formulier oor hem inullen. Om dit te kunnen doen raagt hij Jos huisarts om Jos te maken an de groep Thuiszorg Leuen. Nu heeft de erpleger toegang tot Jos in het BelRAI systeem. Afdeling geriatrie Ziekenhuis Gasthuisberg Afdeling cardiologie erpleger Thuiszorg Leuen erpleger diëtist Hoofderpleegkundige Cliënt Jos Cliëntbeheerder huisarts Figuur 4: scenario stap 3 4. Rolgebaseerde toegang Toegang hebben tot een cliënt, zoals beschreen in 2, is slechts een eerste security filter in het BelRAI systeem. Daarnaast is het de rol an de zorgerlener in het zorgproces die bepaalt wat deze zorgerlener met een cliënt kan doen in het systeem. Elke zorgerlener in het systeem heeft een bepaalde rol die erbonden is met zijn/haar functie in het zorgproces. Deze rolgebaseerde toegang bepaalt oor elke zorgerlener: Welke functies hij mag uitoeren op de website (bijoorbeeld ragenlijsten opstarten, resultaten bekijken, een nieuwe cliënt aanmaken, enz.) Welke soorten informatie hij an een cliënt mag raadplegen (bijoorbeeld medisch, sociaal, gedragsgerelateerd, enz.). 4.1 Toegang tot functies Een eerste toegangsmatrix bepaalt welke rollen in het systeem toegang hebben tot welke functies. Deze matrix wordt oor heel het systeem bepaald en an deze toegangsrechten kan niet afgeweken worden. Rol Functie Bekij k rag enlijs t Bereke nen resultat en CM S Cliënte n aanma ken Groepe n aanma ken Opstart en ragenl ijst Rolle n beher en Zorgerle ners aanmake n Animator Apotheker Arts Bezoeker Diëtist Ergotherapeut Informele

5 zorgerlener Kinesitherapeut Logopedist Maatschappelijk Manager Onderzoeker Podoloog Psycholoog Systeemadminist rator Tandarts Verpleegkundige Verzorgende Tabel 1: matrix rollen/functies NOOT: enkel arts en erpleegkundige, door e-health geerifieerd, zullen in eerste instantie toegang hebben op de productiesite. Dit wordt in de toekomst uitgebreid tot andere rollen. Op de testsite zijn de andere rollen wel mogelijk. 4.2 Toegang tot soorten informatie Een tweede toegangsmatrix bepaalt welke rollen in het systeem toegang hebben tot welke soorten informatie. In de matrix wordt oor heel het systeem bepaald welke rollen standaard toegang hebben tot welke soorten informatie en of deze toegang eentueel kan eranderd worden oor een specifieke ragenlijst. Voor het inullen an een specifieke RAI-ragenlijst kan dus - indien nodig en binnen ooraf bepaalde grenzen - beslist worden om de toegang tot bepaalde soorten informatie uit te breiden of te beperken oor bepaalde rollen. Men kan zo bijoorbeeld bepalen dat een diëtist geen toegang heeft tot medische ragen en dat deze toegang niet oerschrijfbaar is. In dat geal kan een diëtist nooit medische ragen inullen. Men zou kunnen instellen dat een erpleger geen toegang heeft tot medische ragen maar dat dit wel oerschrijfbaar is. In dat geal kan degene die een ragenlijst opstart oor een bepaalde cliënt, toch beslissen dat in die situatie een bepaalde erpleger toch toegang krijgt tot de medische ragen. Rol Soort informatie Naam Persoonlijk e gegeens Geestelijke gezondheid Cognitie, communica tie, stemming en gedrag, psychosoci aal welzijn en ontspannin g Lichamelijk functionere n en continentie T O T O T O T O T O Animator Apotheker Arts

6 Bezoeker Diëtist Ergotherapeut Informele zorgerlener Kinesitherapeut Logopedist Maatschappelijk Manager Onderzoeker Podoloog Psycholoog Systeemadministrat or Tandarts Verpleegkundige Verzorgende Tabel 2: matrix rollen/soorten informatie (T=Toegang, O=Oerschrijfbaar) DEEL 1

7 Soort informatie Ziektebeeld en en geneesmid delen Gezondhei dsproblem en, mond en oeding Huid Behandelin gen en procedures Deskundig e zorgen, middelen en maatregele n Rol T O T O T O T O T O Animator Apotheker Arts Bezoeker Diëtist Ergotherapeut Informele zorgerlener Kinesitherapeut Logopedist Maatschappelijk Manager Onderzoeker Podoloog Psycholoog Systeemadministrat or Tandarts Verpleegkundige Verzorgende Tabel 3: matrix rollen/soorten informatie (T=Toegang, O=Oerschrijfbaar) DEEL 2

8 Soort informatie Verantwoor delijkheid en beschikkin gen Mantelzorg en omgeing Ontslag en terugkeerin formatie Beoordelin gsinformati e Rol T O T O T O T O Animator Apotheker Arts Bezoeker Diëtist Ergotherapeut Informele zorgerlener Kinesitherapeut Logopedist Maatschappelijk Manager Onderzoeker Podoloog Psycholoog Systeemadministrat or Tandarts Verpleegkundige Verzorgende Tabel 4: matrix rollen/soorten informatie (T=Toegang, O=Oerschrijfbaar) DEEL 3

9 4.3 Toegang tot rollen Een derde en laatste toegangsmatrix bepaalt welke rollen gebruikers met welke andere rollen mogen aanmaken in het BelRAI systeem. In het oorbeeld hieronder kan een arts gebruikers aanmaken met alle rollen, maar een kinesitherapeut kan enkel andere kinesitherapeuten als gebruiker aanmaken. Op die manier wordt ermeden dat gebruikers zichzelf of anderen onrechtmatig hogere toegangsrechten toekennen dan hun rol in het zorgproces toelaat. Rol nieuwe gebruiker Rol huidige gebruiker Animator Apotheker Arts Bezoeker Diëtist Ergotherapeut Animator Apotheker Arts Bezoeker Diëtist Ergotherapeut Informele zorgerlener Kinesitherapeut Logopedist Maatschappelijk Manager Onderzoeker Podoloog Psycholoog Systeemadministrator Tandarts Verpleegkundige Verzorgende Tabel 5: matrix rollen/rollen DEEL 1

10 Rol huidige gebruiker Rol nieuwe gebruiker Informele zorgerle ner Kinesither apeut Logopedist Maatschap pelijk Manager Onderzoek er Animator Apotheker Arts Bezoeker Diëtist Ergotherapeut Informele zorgerlener Kinesitherapeut Logopedist Maatschappelijk Manager Onderzoeker Podoloog Psycholoog Systeemadministrator Tandarts Verpleegkundige Verzorgende Tabel 6: matrix rollen/rollen DEEL 2

11 Rol nieuwe gebruiker Podoloog Psycholoo g Systeemad ministrator Tandarts Verpleeg kundige Verzorgen de Rol huidige gebruiker Animator Apotheker Arts Bezoeker Diëtist Ergotherapeut Informele zorgerlener Kinesitherapeut Logopedist Maatschappelijk Manager Onderzoeker Podoloog Psycholoog Systeemadministrator Tandarts Verpleegkundige Verzorgende Tabel 7: matrix rollen/rollen DEEL Voorbeeldscenario De hoofderpleegkundige in Figuur 3 start een nieuwe ragenlijst op en wordt zelf ragenlijsterantwoordelijke. Hij bepaalt dat de erpleger alle soorten ragen mag inullen, behale de medische, en dat de diëtist enkel ragen oer eetgedrag mag inullen. De hoofderpleger zelf mag als ragenlijsterantwoordelijke alle ragen inullen. Nadat iedereen zijn informatie heeft ingeuld, berekent de hoofderpleegkundige de resultaten en sluit hij de ragenlijst af. De erpleger kan nu de resultaten bekijken, omdat hij toegang heeft tot deze functie, maar de diëtist kan dit niet. De diëtist kan enkel de antwoorden die hij zelf heeft ingeuld, opnieuw bekijken. 5. Encryptie De gegeens an de cliënt die ia de BelRAI website worden uitgewisseld tussen beroepsbeoefenaars in de gezondheidszorg worden ersleuteld, waardoor het oor een buitenstaander (bijoorbeeld iemand die afluistert), zo goed als onmogelijk zou moeten zijn om te weten welke gegeens erstuurd worden. De ersleuteling wordt toegepast op basis an SSL.

12 De gegeens an de cliënt worden in de BelRAI databank bewaard op een ersleutelde manier, zodat personen die rechtstreeks toegang hebben tot de databank (bijoorbeeld informatici die de BelRAI web applicatie ontwikkelen en onderhouden), ia die weg geen persoonsgebonden informatie kunnen raadplegen. 6. Recht an toegang en erbetering Een cliënt heeft het recht om zijn/haar gegeens, bewaard in BelRAI, in te zien. Dit gebeurt best door contact op te nemen met de cliëntbeheerder. Indien een cliënt dus toegang tot zijn/haar gegeens raagt, wordt hij/zij dus doorerwezen naar zijn/haar cliëntbeheerder. In het geal de cliënt ertegenwoordigd wordt (b. bij wils- of handelingsonbekwaamheid), kan enkel de ertegenwoordiger toegang ragen tot de gegeens an de cliënt (en niet de cliënt zelf). Men kan nakijken welke zorgerleners concreet toegang hebben tot welke gegeens an zijn cliënt op basis an de lijst an erwerkingsbeoegde personen. Het is typisch de cliëntbeheerder die dit moet kunnen opragen, al dan niet op raag an de cliënt. Een zorgerlener heeft ook een recht an toegang tot zijn eigen gegeens die binnen de applicatie worden erwerkt. Teens heeft hij een recht an erbetering. Dit laatste houdt in dat hij in oorkomend geal alle mogelijk onjuiste en/ of onolledige persoonsgegeens die op hemzelf betrekking hebben, kosteloos kan laten erbeteren. Deze informatie is opgenomen in het priacy policy document. 7. Veiligheidsconsulent Er wordt een eiligheidsconsulent aangeduid oor de hele applicatie en oor elke indiiduele groep. Deze persoon kijkt toe op de strikte naleing an het priacy beleid in zijn/haar groep en kan onder meer de toegangslogs nakijken om eentuele misbruiken ast te stellen. Essentiële oorwaarde is dat de eiligheidsconsulent zelf geen toegang heeft tot indiiduele dossiers an cliënten. 8. Logging Alle acties die ingelogde zorgerleners doen in erband met cliënten, worden gelogd. Bijoorbeeld: zorgerlener A heeft oor een cliënt een ragenlijst opgestart, zorgerlener B heeft bepaalde informatie oer de cliënt geraadpleegd, enz. De systeembeheerder en/of eiligheidsconsulent kan deze log raadplegen om eentuele inbreuken op de priacy na te gaan. Er zijn tools beschikbaar om mogelijke misbruiken uit de logs te detecteren. De olgende acties worden gelogd in de databank: Alle acties an gebruikers die inloed kunnen hebben op de priacy an de zorgcliënten. Acties m.b.t. cliënten en ragenlijsten worden als meest priacy geoelig beschouwd, dan zorgerleners en het minst geoelig zijn groepen. Alle acties die de toegang aanpassen an zorgerleners tot cliënten, soorten informatie of ragenlijsten. Aanpassingen aan het instrument Gedetailleerde lijst an te loggen acties: Cliënten: Nieuwe cliënt aanmaken Details bekijken Lijst an alle ragenlijsten opragen (oor een cliënt) Volledig profiel bekijken Profiel aanpassen Cliëntbeheerder(s) aanpassen

13 Vragenlijsten: Een zorgerlener toeoegen als cliëntbeheerder Een zorgerlener erwijderen als cliëntbeheerder Indiiduele toegang zorgerleners aanpassen Een zorgerlener toegang geen tot een cliënt Een zorgerlener toegang ontzeggen tot een cliënt Groepsmaatschap aanpassen Een zorgerlener maken an een groep Een zorgerlener maatschap ontzeggen an een groep Indiiduele statistieken bekijken Nieuwe ragenlijst opstarten Bestaande ragenlijst aanpassen (b. deadline of toegangsrechten) (functie bestaat nog niet) Details bekijken Vragenlijst sectie inullen Vragenlijst sectie antwoorden bekijken (eigen en/of die an anderen) Vragenlijst sluiten Resultaten bekijken Zorgerleners (gebruikers): Groepen Gelukte login Mislukte login Log uit Nieuwe zorgerlener aanmaken Details bekijken Lijst an alle ragenlijsten opragen (waar zorgerlener bij betrokken is) Volledig profiel bekijken Profiel aanpassen Groepsmaatschap aanpassen Nieuwe groep aanmaken Details bekijken Profiel aanpassen (naam + type) Hoofdgroep aanpassen Uit huidige hoofdgroep erwijderen Groepsbeheerder(s) aanpassen Een zorgerlener toeoegen als groepsbeheerder Een zorgerlener erwijderen als groepsbeheerder Aanpassen toegangsrechten in matrices: Matrix Toegang an rollen op raagtypes

14 Matrix Toegang an rollen op systeemfuncties Matrix Toegang an rollen op andere rollen Aanpassen instrument inhoud ia CMS systeem Aanpassen administratiee inhoud ia CMS systeem (functie bestaat nog niet) De olgende informatie wordt gelogd: Altijd: o o o o Timestamp (datum, uur, minuten, seconden) wanneer de actie gelogd werd. IP adres gebruiker Actie die de gebruiker deed of wou doen Indien login gelukt is: Informatie oer de ingelogde gebruiker: Database ID Rol Rijksregisternummer Naam en oornamen (identificatie backup indien record uit databank erdwenen) Indien actie betrekking heeft op een gebruiker: Informatie oer de betrokken gebruiker: Database ID Rol Rijksregisternummer Naam en oornamen (identificatie backup indien record uit databank erdwenen) Indien actie betrekking heeft op een cliënt: Informatie oer betrokken cliënt: Database ID Naam en oornamen (identificatie backup indien record uit databank erdwenen) Geboortedatum en -plaats (identificatie backup) SIS kaart nummer (identificatie backup) Indien actie betrekking heeft op een ragenlijst: informatie oer betrokken ragenlijst: Database ID Identificatie betrokken cliënt (zie boen) Sectie die bekeken of ingeuld werd (indien an toepassing) Bij inullen: elden die de gebruiker heeft aangepast (oude en nieuwe waarde) (noot: dit ontwikkelen we oorlopig niet omdat het onzeker is of het nodig zal zijn om de log tot op dergelijk detail bij te houden) Bij aanpassen deadline of toegangsrechten: nieuwe deadline, oude en nieuwe toegangsrechten Indien actie betrekking heeft op een groep: Informatie oer betrokken groep: Database ID Naam (identificatie backup) Indien actie betrekking heeft op toegangsrechten: Identificatie an erwijderde toegangsrechten (uitgeinkte checkboxes in matrix) Identificatie an toegeoegde toegangsrechten (aangeinkte checkboxes in matrix)

15 9. Backup en fysieke beeiliging De BelRAI serer beindt zich in de gebouwen an K.U.Leuen, faculteit Sociale Wetenschappen, Mediacentrum, aan Parkstraat 45, 3000 Leuen, in een afgesloten ruimte, beeiligd met een alarminstallatie. Er gebeuren nachtelijke backups naar een serer an de dienst Ludit, de K.U.Leuen informaticadienst, in een apart gebouw in Heerlee.