Beveiliging en bescherming privacy
Beveiliging en bescherming privacy Duobus B.V. Nieuwe Boteringestraat 82a 9712PR Groningen E info@duobus.nl I www.duobus.nl September 2014 2
Voorwoord Als organisatie zijn wij verantwoordelijk voor de uitvoering van de dienst Duobus. Het leveren van kwaliteit staat bij het uitvoeren van deze taak voorop. Om deze kwaliteit aan de klanten en andere betrokkenen te kunnen bieden is een betrouwbare informatievoorziening essentieel. De betrouwbaarheid van de informatie-voorziening moet zijn gewaarborgd ongeacht de vorm, dus zowel handmatig, bijvoorbeeld bij het inscannen van persoonsgegevens, als geautomatiseerd, denk aan het gebruik en de gegevens op Duobus, maar ook het gebruik van internet en e-mail. Uitgebreide aandacht voor de beveiliging van de opslag, verwerking en uitwisseling van informatie is continu vereist. Vandaar dat ik als voorzitter van de Raad van Bestuur van Duobus B.V. dit document van harte bij u aanbeveel. Namens de Raad van Bestuur, Jork Netten 3
Inleiding Duobus werkt met persoons- en financiële gegevens van zorgverleners, zorgvragers, zorgaanbieders en andere stakeholders. Beveiliging is dan ook topprioriteit van Duobus. Daarom spant Duobus zich tot het uiterste in om ervoor te zorgen, dat alleen de personen waarvoor de informatie bedoeld is, deze informatie krijgen te zien. Daarom wordt Duobus alleen ontwikkeld en beheerd tegen de geldende standaarden. Richtlijnen van standaarden waar Duobus zich onder andere aan conformeert zijn de beveiligingsrichtlijnen voor WebApplicaties van het Nationaal Cyber Security Centrum en de NEN 7510 reeks. In dit document wordt er een compact overzicht weergeven van maatregelen, die Duobus heeft genomen om de beveiliging en beschikbaarheid van de persoons- en financiële gegevens te waarborgen. Beveiliging Het op een correcte manier beveiligen van informatiesystemen staat sterk in de belangstelling. Dit is niet zo raar, aangezien er steeds meer aanbieders zijn, die een online dienst aanbieden. Daarnaast slaan deze aanbieders vaak privacygevoelige informatie op. Aanbieders kunnen de data van hun gebruikers op verschillende manier beveiligen. Duobus wil duidelijk zijn over de gekozen beveiligingsmaatregelen, zodat u weet wat er met de informatie en overdracht van gegevens gebeurt, die door Duobus worden verwerkt. Hieronder staat compact beschreven hoe Duobus de beveiliging van de geleverde diensten waarborgt. Ontwikkelen Duobus is ontwikkeld tegen de geldende (beveiliging) standaarden, conform de beveiligingsrichtlijnen voor WebApplicaties van het Nationaal Cyber Security Centrum, NEN 7510 reeks en richtlijnen ontworpen door Duobus. De Duobus richtlijnen zijn ontworpen op basis van onder andere wetenschappelijke onderzoeken en experts op beveiligingsgebied. Gedurende de ontwikkeling is constant rekening gehouden met welke functies welke beveiligingslekken met zich mee kunnen brengen. Wanneer een functie bepaalde gebruikersinput verwacht, zal deze input alleen verwerkt worden in de vorm waarvoor deze mogelijkerwijs gebruikt mag worden. Op deze manier worden aanvallen als SQL Injecties, XSS en CSRF aanvallen geweerd. Ieder onderdeel vereist nauwkeurige aandacht en beveiliging waardoor een ketting van beveiligingscontroles ontstaat. Ieder onderdeel controleert opnieuw of de gevraagde actie legitiem is binnen de context van de aanvraag. Op ieder onderdeel van het geheel dat de WebApplicaties vormt is rekening gehouden met de beveiligingseisen die van het onderdeel verwacht worden. Het optimaliseren en het structureel controleren van de geschreven programmatuur, wordt door zowel Duobus als door externe partners uitgevoerd. Verandering van de code wordt bijgehouden door het versiebeheersysteem van Duobus, zodat wijzingen in de code goed gemonitord en gecontroleerd kunnen worden (tot microniveau). Wijzigen worden pas op de productielocatie (publieke server) geplaatst na strenge controle en goedkeuring van het bestuur. Wanneer er gebruik gemaakt wordt van software ontwikkeld door derden, bijvoorbeeld in het geval van de server omgeving, wordt deze altijd up to date gehouden. Veel beveiligingslekken ontstaan door het niet onderhouden van de gebruikte software. Door dicht betrokken te zijn bij de gekozen software, is het mogelijk om updates snel uit te rollen. Encryptie Al het verkeer tussen bezoekers en de server van Duobus wordt geëncrypteerd verstuurd door middel van een SSL (Secure Socket Layer) certificaat en Transport Layer Security (TLS). Het SSL certificaat en de TLSencryptie-protocol beveiligen de verbinding tussen bezoekers en de Duobus servers. Gegevens worden hierdoor door een beveiligde tunnel gestuurd, waardoor buitenstaanders zoals hackers en crackers niet meer kunnen zien wat er over de lijn wordt verstuurd. Duobus maakt gebruik van een EV-SSL 4
beveiligingscertificaat (Extended Validation Certificate), wat tevens ook door overheden, banken en andere grote instellingen wordt gebruikt. Figuur 1: Encryptie-tunnel Duobus Datacenters Het beheren van een netwerkinfrastructuur is een apart specialisme, dat Duobus graag overlaat aan echte specialisten op dat gebied. Dit zorgt ervoor, dat er meer gefocust kan worden op het maken en bedenken van veilige en betrouwbare oplossingen voor de zorg. Duobus erkent echter wel het feit, dat infrastructuur één van de basiselementen is van ICT-veiligheid, daarom is er voor een partner gekozen (CloudVPS) met uitgebreide ervaring en certificeringen (tevens NEN 7510 en ISO 27001). Duobus maakt voor de hosting van de WebApplicatie dan ook alleen gebruik van de (cloud) servers van CloudVPS. Figuur 2: CloudVPS Datacenters, via: http://www.cloudvps.nl/cloud-servers/netwerk-datacenters/. Geraadpleegd op 14 september 2014. CloudVPS maakt gebruik van drie top datacentra s in Nederland (Amsterdam). Daarvan is één de Equinix AM3. De Equinix AM3 is één van de groenste datacentra s in de wereld. De factoren die bepalend waren bij het selecteren van een datacenter; een goede koeling, strikte toegangsprocedures, complete redundante stroomvoorziening en toegang tot internationale carriers. De gekozen datacentra s voldoen hier volledig aan. 5
Beleid Informatiebeveiliging bestaat niet uit één onderdeel, maar omvat een samenhangend stelsel van maatregelen. Dit betekent dat de verschillende maatregelen die tezamen de informatiebeveiliging vormen, niet los van elkaar worden getroffen, maar in onderlinge relatie met elkaar staan. Duobus streeft naar een optimaal niveau van beveiliging. Dit optimum wordt bereikt door een zorgvuldige afweging van lasten en baten. Het beleid is erop gericht om ervoor te zorgen, dat de informatie op de gewenste momenten beschikbaar is, de informatie juist en volledig is en de informatiesystemen de juiste en volledige informatie opslaan en verwerken en dat de informatie alleen toegankelijk is voor degene die hiervoor bevoegd is. Medewerkers en partners, die eventueel bepaalde informatie dienen te verwerken, hebben allemaal een geheimhoudingsverklaring getekend. Daarnaast is het niet mogelijk voor elke partner en medewerker om alle gegevens in te zien. Bij de uitvoering van de Dienst wordt zo veel mogelijk gecommuniceerd naar de klanten en andere stakeholders toe, zodat zij weten in hoeverre Duobus maatregelen neemt om de veiligheid van deze gegevens te waarborgen. Daarnaast stimuleert Duobus gebruikers om actief feedback te geven over de dienst Duobus, maar ook over de beveiliging van de dienst. Als een gebruiker terechte feedback heeft gegeven, dan komt de desbetreffende gebruiker (indien gewenst) op de publieke Wall of Fame te staan als blijk van waardering. Duobus zal geen privacygevoelige informatie verstrekken, tenzij hier een gerechtelijk bevel voor is of schriftelijke goedkeuring vanuit de klant. Audits Als aanbieder van een online service is het van belang om naast operationele controles ook periodiek controles te hebben. Om de zes weken vindt er een interne audit plaats om te kijken in hoeverre de organisatie nog voldoet aan de geldende normeringen, beveiligingen en in hoeverre de organisatie acties heeft ondernomen om risico s te verkleinen. Naast de interne audits vinden er ook externe audits plaats. Deze audits worden uitgevoerd door professionals, zij kijken in hoeverre Duobus voldoet aan de eisen die worden gesteld aan SaaS-oplossingen. Gebruikers Duobus doet er alles aan om zo veilig mogelijk te zijn. Helaas kunnen online aanbieders (zoals Duobus) niet alles beveiligen. De veiligheid van online diensten hebben de gebruikers zelf ook (gedeeltelijk) in de hand. Zorg er dus voor dat uw beveiligingscodes geheim blijven, uw beveiliging en systeem altijd up-to-date is, u uitlogt wanneer u Duobus niet gebruikt en incidenten direct meldt als deze plaatsvinden. Beschikbaarheid Virtuele servers Door gebruik te maken van snelle en stabiele virtuele servers is Duobus vrijwel altijd te bereiken. In geval van problemen met de (fysieke) server, wordt de virtuele server van Duobus automatisch overgenomen door een andere (fysieke) server. Dit wordt mogelijk gemaakt door het High Availability systeem van CloudVPS. Daarnaast werken we met state-of-the art software om de WebApplicatie Duobus en de virtuele servers te monitoren. Reserveback-up Ondanks de genomen maatregelen door Duobus, is het altijd mogelijk, dat er onverhoopt iets mis gaat. Daardoor maakt Duobus naast dagelijkse een volledige back-up te maken, ook om het half uur een back-up van de plaatsgevonden veranderingen. Deze (digitale) back-ups worden over een veilige verbinding verstuurd en met AES-256 encryptie versleuteld. 6