NEN 7510 compliancy in de Zorg

Transcriptie

1 NEN 7510 compliancy in de Zorg

2 NEN 7510 compliancy in de Zorg In de gezondheidzorg wordt de NEN 7510 gebruikt als richtlijn voor het veilig omgaan met informatie. Deze normering is een set aan richtlijnen, verplichtingen en aanbevelingen om ervoor te zorgen dat gevoelige informatie niet in verkeerde handen terecht komt. Het zogenaamde lekken van deze informatie gebeurt meestal niet opzettelijk, maar wordt veelal veroorzaakt door onbehoedzaam gedrag van medewerkers. Bewustwording is en blijft dus van essentieel belang. Technologische oplossingen kunnen zorginstellingen wél enorm helpen in hun reis op weg naar compliant werken op basis van de NEN In deze whitepaper gaan wij daarom eerst kort in op deze normering. Vervolgens bekijken wij aan de hand van een praktijkscenario op de wijze technologie, zoals Microsoft Azure, ingezet kan worden om optimaal aan de richtlijnen te voldoen. Regelgeving, richtlijnen, standaarden en normeringen De norm NEN 7510 is een door het Nederlands Normalisatie-instituut ontwikkelde norm voor Informatiebeveiliging, en dan specifiek gericht voor de zorgsector. De reden daarvoor is dat deze sector specifieke extra aandachtspunten kent, waaronder die van privacybescherming. De NEN 7510 wordt daarom aangevuld met: NEN 7512: Vertrouwensbasis voor gegevensuitwisseling NEN 7513: Logging, dat wil zeggen het vastleggen van acties op het elektronisch patiëntendossier, zodat achterhaald kan worden wie er toegang heeft gehad tot het dossier (ontwikkeling begonnen in 2009) NEN 7521: toegang tot patiëntengegevens NEN 7510 biedt dus handvatten om informatiebeveiliging vorm te geven. En hoewel NEN 7510 een richtlijn betreft, wordt van veel zorginstellingen verwacht dat zij volledig voldoen aan NEN Dat komt onder meer omdat de NEN 7510 ook terug te vinden (bron: overheid.nl) is in een Algemene Maatregel van Bestuur (AMvB). AMvB s zijn in het leven geroepen om wetten specifieker te maken. Net als een NEN-norm, biedt een AMvB dus concrete handvatten. Technologische oplossingen kunnen zorginstellingen wél enorm helpen in hun reis op weg naar compliant werken op basis van de NEN

3 Vanaf december 2017 wordt een geactualiseerde versie van NEN 7510 vrijgegeven. Deze versie ligt nog verder in lijn met ISO 27001, dé internationale standaard voor informatiebeveiliging. De huidige NEN-versie leent daar al grif van, maar de 2017 versie gaat daar nog veel verder in. Net als bij het grote ISO-broertje bestaat NEN 7510:2017 uit twee delen: Voorbeelden van veelgebruikte systemen zijn Office 365 of Enterprise Mobility + Security (EM+S). 1. Het eerste deel bevat de voorschriften 2. Het tweede deel gaat uitgebreid in op de bijbehorende maatregelen. Met de aanstaande nieuwe versie komen ISO en NEN 7510 dus heel dicht bij elkaar te liggen. ISO vereist de inrichting van een managementsysteem voor informatiebeveiliging; een ISMS. Belangrijkste doel van zo n systeem: continue werken aan risicobeperking. Dat begint met risico s in kaart brengen, om vervolgens voor de meest urgente risico s passende maatregelen door te voeren. Zo n maatregel bestaat uit meerdere ingrediënten: Proces of procedure: Bijvoorbeeld een procedure om medewerkers op gestructureerde wijze toegang te geven tot systemen en data. Of een proces om dataclassificatie toe te passen. Zo n proces staat of valt met de uitvoering. Systeem: Een succesvolle uitvoering staat of valt met medewerkers die zich bewust zijn van hun handelen. Loop daarom eens mee met een medewerker, om zelf te ervaren hoe hun dag eruit ziet. Leer van hun irritaties en dromen, zodat een bedachte maatregel hen ook écht gaat ondersteunen. Focus dus eerst op de bedoeling, en dan pas op het systeem. Toepassing in de praktijk Er valt veel te zeggen over risicobeperkende maatregelen die met de Microsoft-cloud in de praktijk gebracht kunnen worden. Om je een idee te geven, beschrijven we hieronder een scenario van een nieuwe zorg-medewerker. Laten we hem bij deze Pieter noemen. Voor de werkplek van Pieter wordt vanuit het HRM-systeem een gebruikersaccount voor Pieter aangemaakt. Dit account bevindt zich in het identiteitssysteem van de Microsoft-cloud: Azure Active Directory (Azure AD). Op basis van zijn profiel krijgt Pieter meerdere licenties toegewezen, te beginnen met Office 365, waardoor hij toegang krijgt tot productiviteit tools als Teams, Outlook en Word. Een andere licentie ontsluit de mogelijkheden van Enterprise Mobility + Security (EM+S). 2

4 Ook al is dit nog maar zijn eerste werkdag, toch ontdekt Pieter nu al de meerwaarde van zijn Azure AD identiteit. Nadat hij zijn nieuwe laptop heeft opgestart, wordt hij namelijk om zijn Azure AD inloggegevens gevraagd, om die vervolgens te moeten bevestigen met behulp van Azure Multi-Factor Authentication (MFA). Eenmaal gevalideerd, wordt zijn laptop geregistreerd in Azure AD én Microsoft Intune. Die laatste actie zorgt er ook meteen voor dat onder andere de laatste Office applicaties worden geïnstalleerd, en dat zijn werkplek wordt voorzien van een adequaat beveiligingsbeleid. Pieter vervolgt zijn dag door enkele introductiefilmpjes over de zorginstelling te bekijken vanaf de medewerkersportal. Dankzij dat registratieproces van zojuist is single sign-on (SSO) ook meteen geregeld, waardoor hij die filmpjes meteen kan bekijken zonder eerst zelf te hoeven inloggen. Datzelfde fenomeen doet zich ook voor bij het openen van het elektronisch patiëntendossier-systeem, dat daarmee een mooi voorbeeld is van applicatie-integratie in Azure AD. Verandering van context heeft een ander risicoprofiel tot resultaat. De volgende morgen komt Pieter iets later op kantoor. Hij wil namelijk eerst thuis die filmpjes afkijken. Bij het openen van de portal wordt hem dit keer om een MFA verificatie gevraagd, aangezien hij inlogt vanaf een nu nog onbekende, en daarmee niet vertrouwde, locatie. Oftewel: verandering van context heeft een ander risicoprofiel tot resultaat. Dit principe van risk-based zal vaker terugkomen, en maakt het mogelijk om beveiligingsmaatregelen aan te bieden die passen bij de situatie. Van dichtgetimmerd naar net voldoende. Stel nu dat diverse mislukte inlogpogingen ontstaan, vanuit een voor Pieter atypische locatie. In zo n geval wordt Azure Identity Protection (IdP) actief, met uiteindelijk een verplichte MFA validatie of zelfs een geblokkeerd account als gevolg. Voor de duidelijkheid: in alle overige gevallen kan Pieter gewoon zelf zijn wachtwoord wijzigen met behulp van de Self Service Password Reset (SSPR) functionaliteit. Informatie is altijd benaderbaar, tenzij Een andere invalshoek gaat over de toegang tot zakelijke bronnen. Door de inzet van Conditional Access kunnen in sommige gevallen extra toelatingseisen worden afgedwongen. Bijvoorbeeld door de toegang tot gevoelige cliëntdata te beperken tot bepaalde gebruikers, al dan niet in combinatie met een bepaald type werkplek, locatie of gedetecteerd risico. De bijbehorende mindset hierbij is: informatie is altijd benaderbaar, tenzij. Die tenzij geldt bijvoorbeeld in het geval dat Pieter koffie drinkt bij de Starbucks, en daar via het publieke WiFi zijn eigen Android tablet wil gebruiken om bij die informatie te kunnen komen. De combinatie van apparaat en locatie wordt in dit geval door Conditional Access tegen gehouden. Had Pieter zijn beheerde laptop gebruikt, dan was dit een heel ander verhaal geweest. 3

5 Door focus te leggen op het (beschermd) aanbieden van data, zorg je er juist voor dat informatie kan blijven stromen. Daarmee haal je uiteindelijk ook de behoefte weg om als tijdelijke work-around lokaal data op te slaan, of uit wanhoop dan maar te delen via Dropbox of WeTransfer. Om data te kunnen beschermen passen we Mobile Application Management (MAM) toe, door Microsoft Intune App Protection en Windows Information Protection te activeren. Hiermee kun je restricties opleggen aan het gebruik van zakelijke data, zonder dat je daarmee ook aan de privé-data van jouw medewerkers hoeft te komen. Voor Pieter betekent dit dat hij weliswaar zijn eigen tablet kan gebruiken om zakelijke mails te lezen, én dat hij vervolgens uit die mails geen teksten of bijlages kan delen met andere, onbeheerde apps. Data te allen tijde beschermd Soms is het echter niet genoeg om alleen apps en services te configureren. Soms is het ook van essentieel belang dat de data zelf te allen tijde beschermd blijft, ongeacht waar die gebruikt of opgeslagen wordt. In zulke situaties kun je vertrouwen op Azure Information Protection (AIP). Met behulp van AIP kan Pieter vertrouwelijke cliëntdata labelen als vertrouwelijk. En omdat de inhoud van het document versleuteld wordt, kan het ook niet zomaar worden ingezien. Onze mening hierin is: Iedereen kan documenten labelen, maar alleen écht gevoelige informatie bescherm je met aanvullende IRM-maatregelen. Vergissen is menselijk Pieter heeft zijn cliëntdata voorzien van het juiste label, maar hij zal ongetwijfeld een keer een vergissing maken. Om hem in zo n geval een handje te helpen, configureren we Data Loss Prevention (DLP) voor Office 365. Door dit mechanisme slim naar bepaalde patronen te laten zoeken, ontvangt Pieter bij eventuele vergissingen een seintje. En mocht in sommige gevallen preventief blokkeren wenselijker zijn dan alleen maar informeren, dan kan dat natuurlijk ook. Maar wat nu als Pieter besluit om die cliëntdata direct in zijn eigen Dropbox te bewaren? Dan komen we dat te weten dankzij Microsoft Cloud App Security (MCAS). MCAS luistert naar de Nederlandse term cloud app security broker : een slimme regisseur die risico-beperkende maatregelen toevoegt aan jouw cloud-landschap. In Pieters geval is MCAS gekoppeld aan alle primaire cloud services, waaronder Office 365. Hierdoor wordt Pieters kopieer-actie opgepikt. Niet alleen dat: ook het label wordt gelezen. Iedereen kan documenten labelen, maar alleen écht gevoelige informatie bescherm je met aanvullende IRM-maatregelen. 4

6 Beschermen wat bescherming nodig heeft Omdat één van de beleidsregels stelt dat gevoelige data niet buiten de omgeving mag worden opgeslagen, wordt Pieters actie een halt toegeroepen nog voordat de bestanden Dropbox bereikt hebben. Alleen na goedkeuring van een daartoe bevoegde medewerker, kan deze actie worden voltooid. MCAS stelt je dus in staat om te beschermen wat daadwerkelijk bescherming nodig heeft, zonder dat je daarvoor paal en perk hoeft te stellen aan jouw informatiestromen. Ontvang je weleens een dubieuze mail en heb je per abuis tóch geklikt op de eerste de beste link in dat mailtje? Pieter heeft dat net gedaan, omdat het leek alsof dat mailtje van zijn directeur afkomstig was. Gelukkig wordt gebruik gemaakt van Office 365 Advanced Threat Protection (ATP). In plaats van een phishing website die hem vroeg om zijn inloggegevens, kreeg hij een felrode website te zien die hem vertelde dat het hier toch écht om een dubieuze site ging. Datzelfde ATP heeft ook meteen de bijlage gecontroleerd op kwaadwillende code, door in een afgeschermde omgeving te kijken naar het gedrag bij openen. Voldoen aan NEN 7510 Aldus de eerste week van Pieter waarin hij kennis maakte met de mogelijkheden van Microsoft technologie om te voldoen aan NEN 7510 normeringen. De Microsoftcloud stelt ook jouw zorginstelling in staat om hier technisch gezien aan te voldoen. Meer weten? Neem dan vooral contact met ons op! Kom in contact Dennis Vendel Telefoon: Mail: 5