Audit logging met NEN 7513 en ATNA

Transcriptie

1 Audit logging met NEN 7513 en ATNA Presented by Pim Philipse / Richard Francken 1

2 Agenda Wat is Audit Logging Waarom doen we Audit Logging Hoe doen we Audit Logging Formaat Inhoud Transport Opslag Bevraging Audit Logging standaarden NEN 7513 RFC 3881 DICOM Part 15 IHE ATNA Unificatie NEN 7513 / ATNA IHE-nl en Audit Logging 2

3 Wat is Audit Logging Registratie van alle activiteiten waarbij privacygevoelige informatie wordt Aangemaakt Ingezien Gekopieerd of verplaatst Gewijzigd Gewist Bij de registratie moet worden vastgelegd Wanneer de activiteit plaatsvond Wat de activiteit inhield (CRUD) Wie de activiteit verrichte (persoon of systeem) Welke informatie het betreft (documentnummer, unieke ID) Welke patient het betreft (patient ID) 3

4 Waarom doen we Audit Logging Artikel 2 van de Regeling gebruik burgerservicenummer in de zorg stelt: De gegevensverwerking, bedoeld in de artikelen 8 en 9 van de wet, in artikel 9.1.1, vierde lid, van de Wet langdurige zorg, in artikel 86, eerste, vierde en vijfde lid, van de Zorgverzekeringswet en in de artikelen 28, tweede lid, en 29 van het Besluit gebruik burgerservicenummer in de zorg voldoet aan de NEN NEN 7510 stelt: Aanmaken audit-logbestanden Beheersmaatregel Er behoren audit-logbestanden te worden aangemaakt waarin activiteiten van gebruikers, uitzonderingen en informatiebeveiligingsgebeurtenissen worden vastgelegd. Deze logbestanden behoren gedurende een overeengekomen periode te worden bewaard, ten behoeve van toekomstig onderzoek en toegangscontrole. 4

5 Hoe doen we Audit Logging Aspect Beschrijving Formaat Berichten hebben een gestandaardiseerd fomaat zodat de ontvanger de informatie kan verwerken Inhoud De inhoud van de berichten is zodanig gecodeerd dat berichten van verschillende systemen gecorreleerd kunnen worden Transport De berichten kunnen beveiligd worden verstuurd Opslag Berichten worden geïndexeerd en langdurig bewaard Bevraging Wettelijke plicht om b.v. per patiënt of per medewerker de geregistreerde gebeurtenissen weer te geven 5

6 Audit Logging standaarden Naam Eigenschappen NEN 7513 Normeert alleen inhoud Geïnspireerd door RFC 3881 Raadpleegbaar op RFC 3881 Gezamelijke inbreng van SDO s zoals DICOM en HL7 Normeert inhoud en formaat (XML) DICOM Part 15 RFC 3881 gebaseerd, met verbeteringen en Imaging extensies. Normeert inhoud, formaat en transport. IHE ATNA DICOM Part 15 gebaseerd, met non-imaging extensies. IHE restful ATNA supplement Normeert bevraging 6

7 Voorbeeld van ATNA bericht 7

8 Unificatie NEN 7513 / ATNA Issues: NEN kent maar één gebruiker per bericht, ATNA meerdere NEN voegt een Verantwoordelijke toe NEN voegt Toestemmingsprofiel en Autorisatieprotocol toe Uitwegen: Dring bij NEN aan op het loslaten van de beperking op het aantal gebruikers De Verantwoordelijke wordt dan een extra gebruiker met de rol-code van Verantwoordelijke Profiel en Protocol kunnen als detail van betrokken object toegevoegd worden 8

9 IHE-nl en Audit Logging Actie Omschrijving Profileren Documenteren hoe volgens IHE-nl ATNA gebruikt kan worden om NEN 7513 te implementeren Aansturen De Normcommissie "Informatievoorziening in de zorg" informeren over hoe NEN 7513 meer ATNA-compatible kan worden Normeren ATNA/7513 aanbieden als Nationale extensie op het ITI TF Informeren Nederlandse instellingen wijzen op het bestaan van ATNA en de rol die dat profiel kan spelen in de NEN 7513 implementatie Participeren Op IHE/HL7 working group dagen instellingen met elkaar laten uitwisselen hoe ze met de invulling van de norm denken om te gaan. 9

10 Waarom National Extention ATNA? Audit silos in de organisatie Per toepassing eigen audit Verschillende vormen van audit Wat en hoe wordt vastgelegd Security Officer moet zelf dwarsverbanden vaststellen Per bron informatie verzamelen en verwerken Patient heeft geen toegang Alleen via security officer Audit Audit EPD/ZIS/RIS PACS/VNA/XDS xs LIS Audit Audit 10

11 Toepassing National Extention ATNA? Centrale Audit Repositorie Op basis van ATNA Aangevuld met Nationale Extentie ATNA enabling Centrale toegang tot logging Security Officer Patient Functionaliteit binnen EPD XDS EPD/ZIS/RIS Audit PACS/VNA/XDS Audit LIS / xs Audit ATNA 11

12 Vragen? 12