ID.1 Beheersdoelstelling ID.2 Beheersmaatregel Type maatregel Opzet Bestaan Werking Bron Bonus

Transcriptie

1 ID. Beheersdoelstelling ID.2 Beheersmaatregel Type maatregel Opzet Bestaan Werking Bron Bonus Beheersmaatregelen zekerheid dat het zelfzorgplatform alle essentiële persoonlijke gegevens van de patiënt en zijn relaties kan registreren en wijzigen zodat het systeem gerichte acties uit kan voeren...2 Er is een gestandaardiseerde manier van het opslaan van profielkenmerken in het zelfzorgplatform. De profielkenmerken bestaan ten minste uit: - Demografische gegevens (NAW, geboortedatum, geslacht, BSN) - Contactgegevens (telefoon, ) - Verzekeringsgegevens (naam zorgverzekeraar, klantnummer) - Opleiding en werk (hoogst genoten opleiding, dagelijkse werkzaamheden) Er is een gestandaardiseerde manier van het opslaan van gezondheidskenmerken in het zelfzorgplatform. De gezondheidskenmerken bestaan ten minste uit: - Biometrische gegegevens (lengte, gewicht, (berekend) BMI, middelomtrek) - Ziekten en aandoeningen - Geneesmiddelenovergevoeligheden - Leefstijl en risicofactoren (bewegen, roken, voeding, ontspanning, cardiovasculaire risicofactoren) - Zelfzorgvaardigheden.3 - Ontvangen vaccinaties - Persoonlijke voorkeuren (donorcodicil, nietreanimerenverklaring, levenstestament) Er is een gestandaardiseerde manier van het opslaan van behandelgegevens in het zelfzorgplatform. De behandelgegevens bestaan ten minste uit: - Geneesmiddelen (naam, vorm, sterkte, dosering) - Niet-medicamenteuze behandeling (soort, duur) - Hulpmiddelen - Zelfzorgmiddelen (naam, vorm, sterkte, dosering)

2 2 Beheersmaatregelen zekerheid dat toegang tot ICT-diensten en - middelen wordt beperkt tot geautoriseerd gebruik door geautoriseerde gebruikers en beheerders. 2. Er is een actuele, gedocumenteerde en geaccordeerde (toegangs-) beveiligingsstandaard en autorisatiematrix. In deze autorisatie zijn de volgende rollen en achterliggende rechten beschreven: - Hoofdgebruiker/patiënt - Behandelaar - Beheerder Autorisatie x x Norea Studierapport - Belangrijke derde - Deskundige - Andere hoofdgebruikers 2.2 Toegangsrechten worden uitgegeven aan gebruikers en beheerders na goedkeuring door de verantwoordelijke partij, cf de in de autorisatiematrix opgestelde rollen (RBAC model). 2.3 Iedere gebruiker op het platform beschikt over een uniek en naar de natuurlijke persoon herleidbaar account. 2.4 Het zelfzorgplatform beschikt over een adequaat wachtwoordbeleid, waarbij wachtwoorden aan de volgende eisen voldoen: - Minimaal 6 karakters - Complexiteit van wachtwoord wordt afgedwongen - De laatste drie wachtwoorden kunnen niet worden hergebruikt - Blokkering account na aantal keer (n) foutief inloggen (n=maximaal 0) Configuratie x x Norea Studierapport Two-factor authenticatie is ingericht voor het inloggen vanaf buiten het netwerk van het platform. Het initieel verstrekte wachtwoord dient bij de eerste inlogpoging te worden gewijzgd.

3 2.5 Periodiek worden toegangsrechten op actualiteit gecontroleerd en bevestigd door het verantwoordelijke management/systeembeheerder 2.6 Het systeem moet een gebruiker de mogelijkheid bieden een gebruikerssessie op vertrouwensniveau laag te starten door het invoeren van zijn gebruikersnaam en wachtwoord. Autorisatie x x Basiseisen ZO! V Alle activiteiten van gebruikers worden gelogd in de database. Kenmerken welke dienen te worden gelogd zijn: - Account - Rol - Functie - Tijdstip - Uitgevoerde actie (inzien, toevoegen, wijzigen, verwijderen) 2.8 Alleen actoren die gemachtigd zijn door of namens de hoofdgebruiker/patiënt (zoals behandelaars) hebben buiten de patiënt toegang tot het dossier van een de patiënt. Koppelingen met andere systemen komen alleen tot stand met medeweten en toestemming van de hoofdgebruiker/patiënt. De systeembeheerder mag patiëntdata slechts inzien indien dit noodzakelijk is. Activiteiten van de systeembeheerder worden gelogd. Autorisatie x x x Basiseisen ZO! V4.0 Autorisatie x x x Basiseisen ZO! V4.0 3 Beheersmaatregelen zekerheid dat het zelfzorgplatform een plannen-doen-controlerenaanpassencyclus ondersteunt teneinde de patiënt te ondersteunen bij het behalen van de gestelde doelen en het maken van gerichte keuzen. 3. Het systeem is - uitgaand van het persoonlijke profiel van de patiënt - in staat om informatiedoelen, behandeldoelen en leefstijldoelen te helpen formuleren en bij behorende acties te plannen. Minimaal vast te leggen gegevens zijn: - Doelen - Afspraken (zorginhoudelijk) en Plan van Eisen generiek Individueel Zorgplan (NHG, NPCF en Vilans - januari 204) - Acties (gekoppeld aan doelen)

4 aanpassencyclus ondersteunt teneinde de patiënt te ondersteunen bij het behalen van de gestelde doelen en het maken van gerichte keuzen. - Een actieplan of zorgagenda 3.2 Het systeem stimuleert het aanleren van vaardigheden, ondersteunt het aanbieden van middelen die de gekozen doelen van zelfzorg of gedragsverandering bevorderen en ondersteunt persoonsgerichte coaching. Het systeem bevat of biedt toegang tot betrouwbare, actuele en begrijpelijke gezondheidsinformatie op maat (weten, doen, meten) 3.3 Het platform kan op basis van de gemaakte afspraken en vooraf benoemde streefwaarden afwijkende trends en meetwaarden signaleren en daarvan een notificatie sturen aan relevante gebruikers. Minimaal vast te leggen gegevens zijn: - Instelbare streefwaarden - Feedback incl. advies en op te nemen actie (groen, oranje, rood) - Actielijst/actieplan - Reminderfunctie 3.4 Het platform kan de resultaten van het proces van zelfzorg en/of gedragsverandering inzichtelijk te maken. Op basis van deze resultaten kunnen doelen, acties en afspraken worden geëvalueerd. Dit vormt, zo nodig, de input voor een nieuwe cyclus, met doelen, acties en afspraken. 3.5 Het platform bevat of heeft een koppeling met een econsult module, een eafspraak module en een erecept module. 4 Beheersmaatregelen zekerheid dat het zelfzorgplatform de mogelijkheden biedt om uitkomsten van het zelfzorgproces zowel op individueel als groepsniveau te monitoren en terug te koppelen. 4. De patiënt en zijn zorgverlener kunnen met behulp van het zelfzorgplatform ontwikkelingen en trends volgen van biometrische meetwaarden op basis van de ediabetes-kernset.

5 4 Beheersmaatregelen zekerheid dat het zelfzorgplatform de mogelijkheden biedt om uitkomsten van het zelfzorgproces zowel op individueel als groepsniveau te monitoren en terug te koppelen. 4.2 Door een zorgplatform gebruikte meetwaarden kunnen van een betekenis worden voorzien. Dit kan via een waardering door de zorgverlener, een waardering door een geautomatiseerd kennissysteem, door patiënt en zorgverlener overeengekomen grenswaarden met daaraan gekoppeld een specifieke actie. Een zorgplatform ondersteunt door middel van deze toegekende betekenis vroege opsporing van complicaties en monitoring van de voortgang van zelfzorgacties waarbij meetbare streefwaarden zijn geformuleerd. Een platform kan gevraagd en ongevraagd notificaties versturen aan patiënt en/of zorgverlener bij het overschrijden van ingestelde grenswaarden en/of het bereiken van bepaalde streefwaarden. Wanneer er sprake is van invoer van nieuwe meetgegevens of het toekennen van een nieuwe of aanvullende betekenis dan worden deze ter kennisname gepresenteerd aan de patiënt en/of zorgverlener. 4.3 Het platform kan (geanonimiseerd) rapporten verzorgen op verzoek van patiënt en/of zorgverlener waarin (meet)gegevens worden getoond op basis van één of meer gemeenschappelijke kenmerken van een groep patiënten die gebruik maken van het zelfzorgplatform. Het platform biedt hiertoe de mogelijkheid om via eigen gedefinieerde query's rapporten te exporteren waarbij de persoonskenmerken bij de export zijn geanonimiseerd/versleuteld. Reporting x x Basiseisen ZO! V4.0 5 Beheersmaatregelen zekerheid dat alle risico s voor de vertrouwelijkheid, integriteit, beschikbaarheid en controleerbaarheid van de ICT-diensten worden geadresseerd. 5. Er is een actueel, gedocumenteerd en door het management geaccordeerd beveiligingsontwerp aanwezig voor het zelfzorgplatform, inclusief het accorderen door het management van niet afgedekte (rest)risico s. Het beveiligingsontwerp wordt jaarlijks geëvalueerd en indien noodzakelijk bijgesteld. & NCSC ICT-

6 integriteit, beschikbaarheid en controleerbaarheid van de ICT-diensten worden geadresseerd. 5.2 Apparatuur is zo geplaatst en beschermd dat risico's van schade en storing van buitenaf en de gelegenheid voor onbevoegde toegang worden verminderd tot een vooraf door de organisatie bepaald niveau. De technische infrastructuur bevindt zich op Nederlands grondgebied en valt derhalve onder Nederlandse jurisdictie. (NB: In overeenstemming met Europese regelgeving is dataopslag in een lidstaat van de Europese Unie hiermee gelijk te stellen) Procedureel x x NEN 750 Basiseisen ZO! V Toegang tot de applicatie en gegevens vindt plaats via een Demilitarised Zone (DMZ) waarbij compartimentering wordt toegepast en de verkeersstromen tussen deze compartimenten wordt beperkt tot alleen de hoogst noodzakelijke Procedureel x x NCSC ICT- 5.4 Om vast te stellen dat het platform authentiek is, wordt gebruikt gemaakt van en Secure HTTP (HTTPS) verbinding op basis van een certificaat, dat is gecertificeerd door een Certificate Authority (CA) onder de root van de Staat der Nederlanden. Procedureel x x NCSC ICT- 5.5 Jaarlijks vindt een vulnerabilityscan plaats op de netwerkinfrastructuur van de webapplicatie teneinde kwetsbaarheden bloot te leggen. Bevindingen met een hoog risico worden direct opgevolgd. & NCSC ICT- 5.6 Beveiligingsincidenten (intern en extern) worden geregistreerd, geanalyseerd en indien noodzakelijk opgevolgd. & NCSC ICT-

7 5.7 Het systeem sluit de gebruikerssessie automatisch af wanneer: - de applicatie gedurende een bepaalde tijd niet is gebruikt - de sessie gedurende een bepaalde in te stellen tijd open staat. 5.8 Patientgegevens kunnen uitsluitend door bevoegd gebruikers worden gedownload, waarbij de export van gegevens beperkt blijft tot één patient. Autorisatie x x Basiseisen ZO! V De systeembeheerder analyseert maandelijks of de meest recente securitypatches zijn geïnstalleerd. Indien afwijkingen worden geconstateerd, worden deze opgevolgd. & NCSC ICT- 6 Beheersmaatregelen zekerheid dat de geleverde ICT-diensten aan de overeengekomen beleidspunten, dienstenniveaus en beheersdoelstellingen voldoen. 6. De geleverde ICT-diensten en de daarbij horende voorwaarden (beleidspunten, dienstenniveaus, beheersdoelstellingen en geautoriseerde ontvangers van ICT-diensten) worden ondubbelzinnig overeengekomen in een Service Level Agreement (SLA) in overeenstemming met de afspraken met klantorganisaties. 6.2 Er wordt maandelijks gerapporteerd over de gerealiseerde dienstenniveaus en beheersdoelstellingen in een Service Level Report (SLR) 6.3 Jaarlijks vindt evaluatie van de SLA met de klantorganisaties plaats op basis van de SLR's en indien noodzakelijk wordt de SLA bijgesteld.

8 7 Beheersmaatregelen zekerheid dat de ICTdiensten in het geval van een calamiteit tijdig herstelbaar te zijn. 7. Er is een actueel, gedocumenteerd en door het management geaccordeerd continuïteitsplan voor de ICT-diensten. Hierin staat beschreven welke eisen er worden gesteld ten aanzien van back-up, alsmede disaster recovery. 7.2 Jaarlijks wordt het continuïteitsplan getest in overeenstemming met onderliggende testplannen. 7.3 Jaarlijks wordt het continuïteitsplan geëvalueerd, zonodig geactualiseerd en door het management geaccordeerd. 7.4 Back-ups worden uitgevoerd conform continuïteitsplan, er wordt gemonitord op het verloop van back-ups en bij afwijking vindt opvolging plaats. 7.5 Er vindt jaarlijks een restoretest plaats van het platform op basis van een bestaande back-up. 8 Beheersmaatregelen zekerheid dat wijzingen in de software beheerst worden doorgevoerd. 8. Wijzigingen worden vooraf geautoriseerd en getest. Na akkoord van de gebruikersorganisatie in de acceptatietest wordt de wijziging in productie genomen. 8.2 In het wijzigingenproces wordt voor ontwikkelling, test en acceptatie gebruik gemaakt van geheel van de productieomgeving, gescheiden omgevingen. Ontwikkelaars en testers hebben geen toegang tot de productieomgeving.

9 9 Beheersmaatregelen zekerheid dat incidenten tijdig, volledig en doeltreffend worden afgehandeld. 9. Voor alle typen incidenten is een formeel en bereikbaar loket ingesteld. & Basiseisen ZO! V Incidenten worden systematisch geregistreerd, geclassificeerd op impact en urgentie, en geprioriteerd in overeenstemming met de afspraken over het dienstenniveau. 9.3 Een incident wordt afgesloten nadat is vastgesteld dat alle vereiste gegevens zijn ingevuld en nadat de melder heeft bevestigd dat het incident is opgelost. Maximale aantal bonuspunten 9