Nederlandse norm. NEN 7510 (nl) Medische informatica - Informatiebeveiliging in de zorg - Algemeen

Transcriptie

1 Nederlandse norm Dit document mag slechts op een stand-alone PC worden geinstalleerd. Gebruik op een netwerk is alleen. toestaan als een aanvullende licentieovereenkomst voor netwerkgebruik met NEN is afgesloten. This document may only be used on a stand-alone PC. Use in a network is only permitted when a supplementary license agreement for us in a network with NEN has been concluded. NEN 7510 (nl) Medische informatica - Informatiebeveiliging in de zorg - Algemeen Health Informatics - Information security in the Healthcare Sector - General Vervangt NEN 7510:2002 Ontw. ICS ; april 2004

2 NEN 7510 Normcommissie "Informatiebeveiliging in de Zorg" Apart from exceptions provided by the law, nothing from this publication may be duplicated and/or published by means of photocopy, microfilm, storage in computer files or otherwise, which also applies to full or partial processing, without the written consent of the Netherlands Standardization Institute. The Netherlands Standardization Institute shall, with the exclusion of any other beneficiary, collect payments owed by third parties for duplication and/or act in and out of law, where this authority is not transferred or falls by right to the Reproduction Rights Foundation. Auteursrecht voorbehouden. Behoudens uitzondering door de wet gesteld mag zonder schriftelijke toestemming van het Nederlands Normalisatie-instituut niets uit deze uitgave worden verveelvoudigd en/of openbaar gemaakt door middel van fotokopie, microfilm, opslag in computerbestanden of anderszins, hetgeen ook van toepassing is op gehele of gedeeltelijke bewerking. Het Nederlands Normalisatie-instituut is met uitsluiting van ieder ander gerechtigd de door derden verschuldigde vergoedingen voor verveelvoudiging te innen en/of daartoe in en buiten rechte op te treden, voor zover deze bevoegdheid niet is overgedragen c.q. rechtens toekomt aan de Stichting Reprorecht. Although the utmost care has been taken with this publication, errors and omissions cannot be entirely excluded. The Netherlands Standardization Institute and/or the members of the committees therefore accept no liability, not even for direct or indirect damage, occurring due to or in relation with the application of publications issued by the Netherlands Standardization Institute. Hoewel bij deze uitgave de uiterste zorg is nagestreefd, kunnen fouten en onvolledigheden niet geheel worden uitgesloten. Het Nederlands Normalisatie-instituut en/of de leden van de commissies aanvaarden derhalve geen enkele aansprakelijkheid, ook niet voor directe of indirecte schade, ontstaan door of verband houdend met toepassing van door het Nederlands Normalisatie-instituut gepubliceerde uitgaven Nederlands Normalisatie-instituut Postbus 5059, 2600 GB Delft Telefoon (015) , Fax (015)

3 Inhoud Voorwoord...5 Inleiding Onderwerp en toepassingsgebied Normatieve verwijzingen Termen en definities Gezondheidszorg Informatiebeveiliging Structuur van deze norm Beveiligingsbeleid Informatiebeveiligingsbeleid Beleidsdocument voor informatiebeveiliging Evaluatie en actualisering Organiseren van informatiebeveiliging Interne organisatie Bestuurlijke verankering Coördinatie van de informatiebeveiliging Toewijzing en vastlegging van verantwoordelijkheden voor informatiebeveiliging Goedkeuring van middelen voor de informatievoorziening Contact met officiële instanties Samenwerking bij informatiebeveiliging Onafhankelijke beoordeling van informatiebeveiliging Externe partijen Identificeren van risico's bij betrokkenheid van externe partijen Beveiligingsvoorwaarden in contracten Beheer van middelen voor de informatievoorziening Verantwoordelijkheid voor de middelen Overzicht van de middelen Verantwoordelijken voor de middelen Classificatie van gegevens Richtlijnen voor de classificatie Labelen en behandelen van gegevens Beveiligingseisen ten aanzien van personeel Beveiligingseisen bij het aannemen van personeel Functies en verantwoordelijkheden Screening Arbeidscontract Zwijgplicht en geheimhoudingsverklaring Taakuitvoering Verantwoordelijkheden van de leiding Bewustwording, opleiding en training voor informatiebeveiliging Disciplinaire maatregelen Einde van de aanstelling Verantwoordelijkheden bij vertrek van medewerkers Risico van toegang tot gegevens Teruggeven van voorzieningen Intrekken van toegangsrechten Fysieke beveiliging en beveiliging van de omgeving Beveiligde ruimten Fysieke beveiliging van de omgeving Fysieke toegangsbeveiliging Beveiliging van kantoren, ruimten en voorzieningen Werken in beveiligde ruimten Afzonderlijke ruimten voor laden en lossen van goederen

4 9.2 Beveiliging van apparatuur Het plaatsen en beveiligen van apparatuur Stroomvoorziening Beveiliging van kabels Onderhoud van apparatuur Beveiliging van apparatuur buiten de locatie Veilig afvoeren en hergebruik van apparatuur Algemene beveiligingsmaatregelen Clear desk en clear screen policy Meenemen of verzenden van bedrijfseigendommen Operationeel beheer van informatie - en communicatievoorzieningen Bedieningsprocedures en verantwoordelijkheden Gedocumenteerde bedieningsprocedures Beheer van wijzigingen Functiescheiding Scheiden van omgevingen Uitbesteding Levering van diensten Volgen en bewaken Aansturen van wijzigingen Systeemplanning en -acceptatie Capaciteitsbeheer Systeemacceptatie Bescherming tegen kwaadaardige programmatuur Maatregelen tegen kwaadaardige programmatuur Back-up Reservekopieën Netwerkbeheer Maatregelen voor netwerken Beveiliging van netwerkdiensten Behandeling en beveiliging van media Beheer van verwijderbare media Afvoer van media Behandeling van media Beveiliging van systeemdocumentatie Uitwisseling van gegevens Beleid voor gegevensuitwisseling Overeenkomsten Beveiliging van media onderweg Geautomatiseerde gegevensuitwisseling (tussen systemen) Elektronische communicatie (tussen personen) Transacties on line (tussen personen en systemen) Kantoorsystemen Publiek toegankelijke informatie Toegangsbeveiliging Eisen ten aanzien van toegangsbeveiliging Beleid ten aanzien van toegangsbeveiliging Identificatie en authenticatie Registratie van gebruikers Gebruikersidentificatie Keuze van authenticatiewijze Beheer van identificatie-/authenticatiesystemen Inlogprocedures Gebruik van wachtwoorden en authenticatiemiddelen Identificatie van apparatuur Authenticatie van apparatuur via netwerkverbindingen Onbeheerde gebruikersapparatuur Time-out voor werkstations Autorisatie en toegangscontrole Autorisatieregels

5 Autorisatieproces Toegang tot gegevens en systemen Bijzondere bevoegdheden en systeemhulpmiddelen Controle op toegangsrechten Toegangsbeveiliging voor netwerken Beleid ten aanzien van het gebruik van netwerkdiensten Scheiding in netwerken Beheer van netwerkverbindingen Systeemconfiguratie en -diagnose op afstand Mobiele computers en telewerken Mobiele computers Telewerken Aanschaf, ontwikkeling en onderhoud van informatiesystemen Beveiligingseisen voor systemen Analyse en specificatie van beveiligingseisen Beveiliging in toepassingssystemen Validatie van invoergegevens Validatie van de interne gegevensverwerking Validatie van uitvoergegevens Authenticatie van berichten Cryptografische beveiliging Beleid ten aanzien van het gebruik van cryptografie Beveiliging van systeembestanden Beheersing van operationele programmatuur Beveiliging van toetsgegevens Toegangsbeveiliging tot bronbestanden voor programmatuur Beveiliging bij ontwikkel - en ondersteuningsprocessen Procedures voor het beheer van wijzigingen Controle naar aanleiding van wijzigingen in het besturingssysteem Restricties op wijzigingen in programmatuurpakketten Verborgen communicatiekanalen Uitbestede ontwikkeling van programmatuur Continuïteitsbeheer Aspecten van continuïteitsbeheer Het proces van continuïteitsbeheer Bepaling van de continuïteitsstrategie Ontwikkelen en implementeren van continuïteitsvoorzieningen en -plannen Structuur voor continuïteitsplannen Toetsen, bijwerken en evalueren van continuïteitsplannen Naleving Naleving van de wettelijke voorschriften Specificatie van relevante wetgeving Intellectueel eigendom Beveiliging van bedrijfsdocumenten Bescherming van persoonsgegevens Voorkomen van misbruik van voorzieningen Voorschriften betreffende cryptografie Beoordeling van de naleving van het beveiligingsbeleid en de technische vereisten Naleving beveiligingsbeleid Controle op naleving van technische normen Systeemaudits Beveiligingsmaatregelen bij systeemaudits Beveiliging van hulpmiddelen voor systeemaudits Beveiligingsincidenten Bewaking Vastleggen van beveiligingsrelevante activiteiten Bewaken van systeemgebruik Logboek Storingen

6 Synchronisatie van systeemklokken Verzamelen van bewijsmateriaal Melden van incidenten en zwakke plekken Het rapporteren van beveiligingsincidenten Het rapporteren van zwakke plekken in de beveiliging Afhandeling en verbeteringen na incidenten Verantwoordelijkheden en procedures Lering trekken uit incidenten...36 Informatieve verwijzingen

7 Voorwoord Het ontvangen commentaar op de normontwerp NEN 7510 gaf niet alleen aanleiding tot een groot aantal aanpassingen in formuleringen. Het leidde ook tot herbezinning op de punten: positionering van norm en toolkits, aansluiting bij de Code voor Informatiebeveiliging en aandacht voor zorgspecifieke elementen. De indeling is nu gebaseerd op de lopende revisie van NEN-ISO/IEC Deze komt in structuur overeen met de Code voor Informatiebeveiliging maar wijkt ten opzichte van de huidige versie in nummering iets af. Verscheidene formuleringen en vooral het hoofdstuk Toegangsbeveiliging zijn verder toegesneden op de gezondheidszorg. Net als ISO/IEC en de Code voor Informatiebeveiliging is ook NEN 7510 nog een raamwerk dat nadere specificering behoeft om toetsbaar te worden. Die specificering krijgt per type zorgorganisatie vorm in de bijbehorende implementatievoorschriften. De implementatievoorschriften geven tevens toelichting, achtergrondinformatie, verwijzingen en voorbeelden. De implementatievoorschriften vervangen zo de eerder uitgegeven toolkits. In de tekst van NEN 7510 zijn de informatieve aanvullingen niet meer opgenomen. 5

8 Inleiding De kwaliteit van de dienstverlening in de zorgsector is een zaak van groot belang, soms zelfs van levensbelang. Om patiënten het gewenste niveau van dienstverlening te kunnen bieden, is het noodzakelijk dat zorgverleners op ieder moment over betrouwbare gegevens kunnen beschikken. Tegelijkertijd is het van belang ervoor te zorgen dat gevoelige gegevens niet in handen van ongeautoriseerde partijen vallen om de privacy van de patiënt, de zorgverlener en van de zorginstelling te beschermen. De flexibiliteit van informatievoorziening en de beveiliging van de gegevens lijken vaak met elkaar op gespannen voet te staan. De enige manier om tegelijkertijd de gewenste informatiebeveiliging en de noodzakelijke flexibiliteit in de informatievoorziening te kunnen bewerkstelligen, is om een afgewogen stelsel van beveiligingsmaatregelen te implementeren. De complexiteit van informatiebeveiliging in de zorgsector wordt nog eens te meer duidelijk wanneer men kijkt naar het netwerk van zorginstellingen, patiënten, zorgverzekeraars, overheidsinstanties en andere belanghebbenden die een rol spelen in het verzamelen, opslaan, verwerken en transporteren van gegevens. Het gezamenlijke gebruik van gegevens door al deze verschillende partijen vraagt om normen op het gebied van gegevensopslag, berichtopmaak, communicatieprotocollen, definities en coderingen van termen in de gezondheidszorg en, niet in de laatste plaats, informatiebeveiliging. Om deze redenen is de voor u liggende Nederlandse norm voor informatiebeveiliging in de zorg opgesteld. Deze Nederlandse norm voor informatiebeveiliging beschrijft welke soorten maatregelen de leiding binnen organisaties moet treffen om via een gecontroleerd proces op adequate wijze met (medische) gegevens om te gaan. Wat is informatiebeveiliging? Informatiebeveiliging is een stelsel van maatregelen om verstoringen in de zorgvuldige en doelmatige informatievoorziening te voorkomen en eventuele schade als gevolg van desondanks optredende verstoringen te beperken. Informatiebeveiliging is gericht op de aspecten: 1) vertrouwelijkheid: het beschermen van gegevens tegen onbevoegde kennisname; 2) integriteit: het waarborgen dat gegevens niet ongecontroleerd worden gewijzigd of verloren gaan; 3) beschikbaarheid: het zekerstellen dat gegevens en informatiediensten op de gewenste momenten beschikbaar zijn voor gebruikers. Behalve deze elementaire aspecten komen bij informatiebeveiliging ook de volgende zekerheidsbegrippen aan de orde: 4) onweerlegbaarheid: het waarborgen dat het vastleggen van gegevens of het verzenden van een bericht niet kan worden ontkend; 5) verantwoordelijkheid: het waarborgen dat van gegevens en verwerkingen van gegevens steeds vaststaat wie daarvoor welke verantwoordelijkheid draagt; 6) authenticiteit: het zekerstellen dat gegevens, informatiediensten, organisaties en gebruikers van de juiste identiteit zijn voorzien; 7) betrouwbaarheid: het waarborgen van overige kwaliteitseisen ten aanzien van informatie, de bron ervan, de route die de gegevens volgen en verwerkingen die erop plaatsvinden. De keuze van maatregelen voor informatiebeveiliging houdt een afweging in van risico s, kosten en praktische mogelijkheden. De stand der techniek speelt bij het laatste een belangrijke rol. De afweging zal telkens opnieuw moeten worden gemaakt. Informatiebeveiliging verlangt een besturingsproces. 6

9 Normen voor informatiebeveiliging Het opstellen, bijhouden en uitvoeren van een samenhangend stelsel van organisatorische en technische maatregelen waarin risico s, mogelijkheden en kosten steeds op elkaar zijn afgestemd, is een zeer complex geheel. Om de informatiebeveiliging te kunnen beoordelen en om die tussen verschillende organisaties vergelijkbaar te maken is een gemeenschappelijk kader nodig. In 1994 hebben het Ministerie van Economische Zaken en het Nederlands Normalisatie-instituut de Code voor Informatiebeveiliging in Nederland geïntroduceerd als algemeen kader voor het inrichten van informatiebeveiliging. Deze kwam overeen met de Britse norm BS In 2000 is de tweede versie verschenen van de Code voor Informatiebeveiliging en heeft de International Organization for Standardization (ISO) deze uitgebracht als NEN-ISO/IEC Van dit ISO-document is thans een revisie in voorbereiding. De Code voor Informatiebeveiliging en een concept van de nieuwe NEN-ISO/IEC zijn gebruikt als basis voor deze Nederlandse norm voor informatiebeveiliging in de zorg. Deze normen hebben het karakter van een uitgebreide en geordende stel richtlijnen. Deze moeten op concrete situaties worden toegesneden door te specificeren op welke wijze daaraan invulling is gegeven. Wat is specifiek voor de gezondheidszorg? De gezondheidszorg is sterk afhankelijk van informatie en communicatie. Net als in andere sectoren is zorgvuldige en doelmatige informatievoorziening essentieel. De meeste richtlijnen uit de Code voor Informatiebeveiliging zijn dan ook zonder meer toepasbaar voor organisaties in de gezondheidszorg. Specifiek voor de gezondheidszorg is de combinatie van bijzondere functionele eisen aan de informatievoorziening ( overal bereikbaar patiëntendossier ) met bijzondere risico s (soms zelfs levensbedreigend, veelal zeer gevoelig). De gezondheidszorg vraagt daarom een specifieke weging van de bovengenoemde aspecten van informatiebeveiliging. Het is van belang dat de verantwoordelijke voor de gegevensverwerking in de gezondheidszorg zich realiseert dat informatiebeveiliging binnen de gezondheidszorg een zeer specifiek karakter heeft. Dit omdat persoonsgegevens die binnen de gezondheidszorg worden verwerkt onder een bijzonder beschermingsregiem vallen. Vanuit verschillende wetgeving (onder andere WGBO, Wet BIG, WBP, wet BOPZ) en de in ontwikkeling zijnde wet voor het Zorg Identificatie Nummer worden er bijzondere eisen aan de verwerking van medische gegevens gesteld. De verantwoordelijkheden en plichten van zorgverleners en zorginstellingen volgen uit de Wet op de Geneeskundige Behandelingsovereenkomst (WGBO) en de Wet Beroepen in de Individuele Gezondheidszorg (Wet BIG). Volgens de WGBO sluit de behandelaar met de patiënt een behandelingsovereenkomst, heeft hij of zij daarbij de plicht een dossier te voeren en rust op hem of haar een geheimhoudingsplicht (beroepsgeheim). De organisatie van de gezondheidszorg met zijn diversiteit in organisatievormen en verdeling van verantwoordelijkheden verlangt bijzondere aandacht. Een patiënt heeft te maken met verschillende zorgverleners, in eenmanspraktijken en in grote zorginstellingen, maar verlangt naadloze zorg. De informatiebeveiliging moet zich dus uitstrekken over de grenzen van de onderscheiden verantwoordelijkheidsdomeinen. De Nederlandse norm voor informatiebeveiliging in de zorg Deze norm biedt een gemeenschappelijk raamwerk voor het inrichten van de informatiebeveiliging in de gezondheidszorg. Dit gemeenschappelijke kader is nodig met het oog op de samenwerking tussen en binnen verschillende organisaties in de gezondheidszorg. Ten opzichte van de Code voor Informatiebeveiliging en ISO/IEC zijn zorgspecifieke elementen aangescherpt en is extra aandacht geschonken aan de beheersing van de toegang tot gegevens. De Nederlandse norm voor informatiebeveiliging in de zorg is van toepassing op alle zorginstellingen en -organisaties werkzaam in de gezondheidszorg, ongeacht de aard en de omvang van het bedrijfsproces. 7

10 Bestelformulier Stuur naar: NEN Standards Products & Services t.a.v. afdeling Klantenservice Antwoordnummer WB Delft NEN Standards Products & Services Postbus GB Delft Vlinderweg AX Delft Ja, ik bestel ex. nl Medische informatica - Informatiebeveiliging in de zorg - Algemeen T (015) F (015) Wilt u deze norm in PDF-formaat? Deze bestelt u eenvoudig via Gratis nieuwsbrieven Wilt u op de hoogte blijven van de laatste ontwikkelingen op het gebied van normen, normalisatie en regelgeving? Neem dan een gratis abonnement op een van onze nieuwsbrieven. Gegevens Bedrijf / Instelling T.a.v. O M O V Klantnummer NEN Uw ordernummer BTW nummer Postbus / Adres Postcode Plaats Telefoon Fax Factuuradres (indien dit afwijkt van bovenstaand adres) Postbus / Adres Postcode Plaats Datum Handtekening Retourneren Fax: klantenservice@nen.nl Post: NEN Standards Products & Services, t.a.v. afdeling Klantenservice Antwoordnummer 10214, 2600 WB Delft (geen postzegel nodig). Voorwaarden De prijzen zijn geldig tot 31 december 2018, tenzij anders aangegeven. Alle prijzen zijn excl. btw, verzend- en handelingskosten en onder voorbehoud bij o.m. ISO- en IEC-normen. Bestelt u via de normshop een pdf, dan betaalt u geen handeling en verzendkosten. Meer informatie: telefoon , dagelijks van 8.30 tot uur. Wijzigingen en typefouten in teksten en prijsinformatie voorbehouden. U kunt onze algemene voorwaarden terugvinden op: LEREN, WERKEN EN GROEIEN MET NEN preview