Norm voor veilige e-mail is coming

10 min lezen - gepubliceerd op 13 februari 2019

Iedereen die wel eens de HBO-serie ‘Game of Thrones’ heeft gezien, zal bij de titel van deze blog direct een beeld hebben. Voor andere mensen: ‘Winter is coming’ is de bekendste uitspraak uit deze populaire serie. Deze uitspraak staat voor het feit dat je, hoewel je nu wellicht denkt alles voor elkaar te hebben, je moet voorbereiden op dat wat onvermijdelijk komt: de winter. Een seizoen waarop de volken zich in de serie, die zich in een soort van riddertijd afspeelt, ruim van tevoren moeten voorbereiden qua kleding, voedsel etc. Zonder goede voorbereiding is het zeker dat de kou vroeg of laat voor veel schade zal zorgen. Schade die veel tijd, energie en kosten vraagt om te herstellen. Als het volk de klap al te boven komt…

Waarschijnlijk zijn er mensen die de komst van de norm voor veilige communicatie van gezondheidsinformatie, de NTA 7516, zullen vergelijken met de komst van de winter. De NEN leidt de ontwikkeling van deze norm en zal deze in de komende maanden publiceren. Het is een norm waar veel veldpartijen om hebben gevraagd en waar door veel veldpartijen aan is meegeschreven. Iedereen die bekend is met de eisen van onder andere de AVG, NEN 7510, NEN 7512 en WGBO zal zich herkennen in de eisen van de norm en de uitdagingen van veilige communicatie waar organisaties momenteel voor staan. Het is een norm waar elke instelling die gezondheidsinformatie deelt via e-mail, chat-apps, portalen etc, zich serieus en tijdig op moet voorbereiden.

Wij denken echter dat je de komst van een dergelijke norm het beste als een kans kunt beschouwen. Een kans om de vorm van communicatie die we het meest gebruiken eindelijk veilig te maken, zodat je hem ook effectief kan inzetten als instrument om de kwaliteit of efficiëntie van dienstverlening te verbeteren. Denk aan een e-mailconsult. Een kans om eindelijk afscheid te kunnen nemen van die vervelende faxen. Veilig communiceren moet eindelijk makkelijk worden. Ik neem je daarom graag mee in de eisen die de norm stelt en hoe je je daarop voorbereidt. Op weg naar de veilige communicatielente!

Op 12 tot en met 14 maart sta ik (Rick Goud, CEO van ZIVVER) in het theater op Zorg & ICT en spreek ik uitgebreid over deze voorbereidingen. In dit blog geef ik alvast een overzicht van de belangrijkste onderwerpen.


Onduidelijkheid in de AVG vraagt om normen


Laten we bij het begin beginnen. In Nederland kennen we al jaren de Wet Bescherming Persoonsgegevens (WBP), de NEN 7510, de NEN 7512 en de Wet Op de Geneeskundige Behandelovereenkomst (WGBO). Allemaal wetten en normen waarin al strenge eisen golden ten aanzien van de bescherming van privacy en informatiebeveiliging. In mei is daar de AVG (of GDPR voor de Engels-georiënteerden onder ons) bovenop gekomen. Hoewel de AVG niet heel veel strengere eisen stelt dan de andere normen, zorgde hij wel voor hernieuwde aandacht, en voor grotere risico’s voor organisaties bij het niet voldoen aan geldende normen. Denk aan boetes, maar vooral imagoschade en herstelkosten. Centraal in de AVG staat de bescherming van privacy en het voorkomen van datalekken. De AVG praat echter vaak in termen zoals ‘passende beveiliging’, ‘met hoge zekerheid’ en ‘stand van de techniek’. Termen die niet gelijk duidelijkheid geven over hun betekenis. Dit maakt dat organisaties het moeilijk vinden om antwoorden te vinden op vragen als: ‘welke maatregelen moet ik nemen?’, of ‘hoe moet ik een leverancier beoordelen?’. Andere organisaties kijken de kat uit te boom totdat er door de overheid, brancheorganisatie of andere toonaangevende partijen een norm wordt opgesteld.


90% van de datalekken ontstaat tijdens communicatie


Hoewel de AVG en de andere normen natuurlijk een brede toepassing hebben, is een van de belangrijkste aandachtspunten de ‘ad hoc’ communicatie. Oftewel de communicatie van of naar mensen via e-mail, file transfer-oplossingen, messenger/chat-applicaties, portalen, maar ook usb-stick, post, fax, etc. De rapportage van de Autoriteit Persoonsgegevens (AP) laat namelijk zien dat in 2018 ruim 90% van de 21.000 gemelde datalekken ontstond in het communicatieproces, oftewel het delen van informatie met iemand anders. En 95% van de datalekken kwam door een menselijke fout van een medewerker en niet door een ‘hacker’.
Hoewel dit natuurlijk ontzettend hoge aantallen zijn, zijn ze wel verklaarbaar. Onderzoeken laten namelijk zien dat medewerkers gemiddeld tussen de 1 tot 2 uur per dag besteden aan e-mail1,2 ! En dan komen daar nog andere communicatiemiddelen bovenop. En daar waar mensen werken worden fouten gemaakt. Zeker als de medewerkers niet worden ondersteund door organisaties in de vorm van de juiste tools.


De reden van een norm voor gezondheidsinformatie


Je kunt je afvragen waarom er nou specifiek voor de zorg een norm voor veilige communicatie moet komen, en waarom zo snel. Het antwoord op die vraag ligt in de rapportage van de AP die ik hiervoor al aanhaalde. De meeste datalekken ontstaan in het communicatieproces en de meeste datalekken worden gemeld in de gezondheidszorg en door lokale overheden. Twee sectoren die veel, zeer privacygevoelige, gezondheidsinformatie verwerken hebben dus een grote uitdaging om communicatie te beveiligen.

De AP heeft de wettelijke taak om de AVG te handhaven. Op basis van de beschikbare inzichten is het toetsen van naleving rondom gezondheidsinformatie een voor de hand liggende start. Uiteraard is voor toetsing een ‘toetsingskader’ nodig, ofwel een norm/meetlat waarlangs je organisaties kunt beoordelen. De AP kwam toen tot de bevinding dat een dergelijke norm voor veilige ad hoc communicatie nog niet bestond (ook niet internationaal!). De AP, het ministerie van VWS en het veld, via het Informatieberaad Zorg, kwamen toen overeen dat er in sneltreinvaart een door het veld opgestelde norm zou komen. VWS en het Informatieberaad Zorg besloten de opdracht tot het ontwikkelen van een dergelijke norm te beleggen bij de NEN 3 .


Hoe kwam de norm tot stand?


In september heeft de NEN een oproep gedaan aan alle veldpartijen, individuele instellingen, brancheorganisaties, belangenverenigingen en leveranciers, om deel nemen aan de normcommissie. Daarop hebben, schat ik, circa 50-60 partijen zich aangemeld. Zo’n grote belangstelling en brede vertegenwoordiging had de NEN nog nooit gezien! Er was echter een ambitieuze agenda: het streven was om de norm te publiceren in Q1 van 2019. Daarom hebben in de afgelopen maanden een achttal bijeenkomsten van drie uur plaatsgevonden, waarin alle partijen hun input en feedback konden delen. Inmiddels heeft de ontwikkeling van de norm, die de naam NTA 75164 heeft gekregen, zijn eindstadium bereikt. Eind maart is een (naar verwachting) laatste plenaire sessie gepland met daarvoor nog een aantal momenten waarin subwerkgroepen bepaalde onderdelen verder uitwerken. Verwachte publicatie is in april of mei.


Wat staat er in de norm?


En dan, last but not least, de inhoud van de norm. De NTA 7516 dus, analoog met de NEN 7510 en NEN 7512. Uiteraard is de norm te uitgebreid om hier volledig te bespreken. De meest recente versie kun je hier vinden, maar hieronder mijn samenvatting.


Scope: ‘ad hoc’ asynchrone communicatie van gezondheidsinformatie


Onder de NTA valt alle ‘ad hoc’ asynchrone communicatie van gezondheidsinformatie. ‘Ad hoc communicatie?’ hoor ik u denken. Dit is volgens de norm ‘alle communicatie waarvoor een verzender specifiek voor het geval en de situatie besluit om een bericht te versturen’. Een typisch voorbeeld hiervan is natuurlijk e-mail. Maar de norm is dus veel breder. Alle ad hoc communicatie vanuit apps en portalen valt ook onder de norm. Dit betekent dus ook alle berichten die worden verstuurd vanuit een EPD, HIS, CRM, Zaaksysteem. Of via WhatsApp, WeTransfer, Dropbox en ga zo maar door. Synchrone communicatie, dus bijvoorbeeld beeldbellen, en systeem-naar-systeemberichten vallen er dus niet onder.

Verder heeft de norm dus betrekking op gezondheidsinformatie. Dit klinkt logisch, maar betekent tegelijkertijd dat alle organisaties die ‘ad hoc gezondheidsinformatie’ versturen of ontvangen aan de norm moeten voldoen. Dus bijvoorbeeld zorginstellingen, gemeenten, arbo, UWV. Maar waarschijnlijk versturen en ontvangen de meeste instellingen in het onderwijs, juridische partijen in het domein van GGZ en arbeidsrecht ook regelmatig gezondheidsinformatie.


Doelen: gezondheidsinformatie altijd veilig delen en interoperabiliteit


Het doel van de norm is tweeledig. Enerzijds te zorgen dat organisaties gezondheidsinformatie voortaan altijd veilig versturen en delen. Anderzijds is het doel systemen van verschillende leveranciers onderling met elkaar te laten communiceren. Zogenaamde interoperabiliteit. Eindelijk! Niets is zo frustrerend voor een organisatie als door een verzender een verscheidenheid aan oplossingen opgedrongen te krijgen die allemaal, met wisselende gebruiksvriendelijkheid, vragen om verschillende manieren van inloggen. En dat is op dit moment wel de realiteit. Deze situatie is deels veroorzaakt doordat organisaties in hun inkoopeisen interoperabiliteit en publieke koppelvlakken niet opnemen of laten vallen. Daarnaast willen leveranciers niet werken met standaarden of weigeren zij hun systeem koppelbaar te maken… Laten we hopen dat de norm hier snel verandering in brengt.


Inhoud: sterke authenticatie, veilige transport en opslag, volledig gelogd en verifieerbaar


Dan de echte inhoud. Tientallen pagina’s samenvatten doet nooit recht aan de volledige norm en je kunt de meest recente versie van de norm hier vinden. Maar ik zal de elementen samenvatten die wat mij betreft het belangrijkst of interessantst zijn. Voor de duidelijkheid, vrijwel niet één van deze elementen is nieuw. Het zijn zaken die al verplicht en bekend waren. De norm voegt ze alleen samen op een manier die scoping, structuur en zo veel mogelijk duidelijkheid geeft.

  • Sterke authenticatie voor alle verzenders en ontvangers. Dus alleen toegang tot gevoelige informatie na authenticatie met een eenmalige code via bijvoorbeeld SMS of authenticator-app (In de terminologie van de eIDAS-verordening niveau ‘substantieel’). Als het gaat om gegevens waarop het wettelijk beroepsgeheim van de professional rust, is een (nog) hoger betrouwbaarheidsniveau vereist5,6. Dit hogere niveau is in de praktijk nog niet goed bruikbaar. In de commissie is dan ook consensus dat tot die tijd niveau ‘substantieel’ voldoende is.
  • Sterke beveiliging tijdens transport en bij opslag. Informatie mag niet leesbaar in handen van onbevoegden in de communicatieketen komen. Manieren om dit te realiseren zijn sterke encryptie ‘onderweg’ en bij opslag in combinatie met verantwoord sleutelbeheer7.
  • Garantie dat bericht afkomstig is van een bevoegde afzender. Dit betekent zorgen dat niemand anders zich kan voordoen als de afzender (denk bij e-mail aan DMARC, SPF, DKIM) en dat de verzender bevoegd is om dergelijke informatie te versturen en verwerken8.
  • Gebruiksvriendelijk en veilig voor de verzender en ontvanger. Zonder gebruiksvriendelijkheid gaan gebruikers omwegen zoeken en komt de veiligheid in het gedrang. Daarom stelt de norm eisen zoals i) veilig versturen moet de standaard zijn (dus security by default en niet op een ander knopje drukken), ii) de ontvanger mag niet gedwongen worden een account aan te maken, iii) de ontvanger moet geen aparte software hoeven te installeren, iv) veilig antwoorden op berichten moet mogelijk zijn, v) de professional moet een mogelijkheid bieden waarmee ‘normale personen’ zelf het initiatief kunnen nemen om veilig te communiceren met de professional, vi) ontvangers moeten berichten veilig kunnen doorsturen (optioneel) en, tot slot, vii) moeten professionals een bericht eenvoudig aan het medisch dossier kunnen toevoegen (optioneel).
  • Volledige logging. Hieronder valt logging van alle gebeurtenissen met betrekking tot het versturen en raadplegen van berichten en toegang tot loggegevens9.
  • Interoperabiliteit tussen organisaties die NTA 7516 proof zijn. Communicatie tussen organisaties die NTA 7516-proof zijn moet op een manier gebeuren waardoor iedere organisatie de informatie binnen zijn eigen omgeving kan ontvangen.


Zie de komst van de norm als een kans


De manier om te toetsen/publiceren of een organisatie aan de norm voldoet, moet nog worden vastgesteld. Maar het is de bedoeling dat alle organisaties die gezondheidsinformatie versturen binnen een jaar na publicatie voldoen aan de norm. Hopelijk is het duidelijk waarom ik iedereen met deze blog wilde attenderen op de komst van deze norm. Als je de juiste voorbereidingen treft, voorkom je een strenge communicatiewinter in jouw organisatie. De komst van de norm zal best wat tijd, inspanning en investeringen vergen. Zeker van organisaties die recent nog hebben geïnvesteerd in een e-mail-, chat-, of portaaloplossing die niet aan de norm kan of wil gaan voldoen. Hopelijk brengt de norm de extra duidelijkheid die nodig is om heldere en toekomstbestendige keuzes te maken. Keuzes die iedere organisatie in vrijheid kan maken, omdat interoperabiliteit een gegeven is. Daarmee starten we echt een veilige communicatielente!


Bij ZIVVER kijken we altijd al met een frisse blik (vinden we zelf) naar veilig communiceren. Onze opkomst en groei lag precies in de sectoren waar de grootste uitdagingen spelen. Samen met onze klanten ontwikkelden we een product dat de essentie van de norm in zich draagt. Eigenlijk zijn we ons daarmee al geruime tijd aan het voorbereiden op de komst van een norm als deze. Wat ons betreft bevat de voorgestelde norm dan ook geen verrassingen en geen eisen waar wij niet aan kunnen voldoen. Het is juist een norm geworden die wij volledig onderschrijven. Een norm die zal zorgen dat, bij de e-mail-, chat- en portaalcommunicatie die we allemaal vrijwel dagelijks gebruiken, veiligheid eindelijk de standaard wordt. Zolang we de gebruiksvriendelijkheid maar niet uit het oog verliezen. En dit is waar wij als leverancier hard onze best voor doen. Om van deze norm een kans te maken om de kwaliteit en efficiency van de gezondheidszorg te verbeteren en voor te bereiden op de digitale toekomst. Ik ruik de lente al!

Alles over de norm NTA 7516

In dit blog heb je meer kunnen lezen over de NTA7516. Er is meer informatie beschikbaar over dit onderwerp op onze pillar page. Meer informatie over de nieuwe norm over ad hoc communicatie vind je via onderstaande knop.

Lees alles over de NTA 7516

 

Bronnen:

  1. http://www.futureworkcentre.com/wp-content/uploads/2015/07/FWC-Youve-got-mail-research-report.pdf
  2. https://globalnews.ca/news/3395457/this-is-how-much-time-you-spend-on-work-emails-every-day-according-to-a-canadian-survey/ 
  3. Nederlands Normalisatie Instituut, www.nen.nl
  4. Nederlands Technische Afspraken (NTA); Als voor de snelle oplossing van een probleem geen consensus van alle belanghebbenden nodig is, of de laatste stand van zaken van een snel veranderende technologie moet worden vastgelegd.
  5. https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/2018-10-04_brief_aan_minister_over_patientauthenticatie.pdf
  6. Zie onderdelen ‘Herkomst bevestiging’, ‘Onweerlegbaarheid verzender’, ‘Toegangsvertrouwelijkheid’.
  7. Zie onderdelen ‘Gegevensvertrouwelijkheid’, ‘Communicatievertrouwelijkheid’, ‘Internationale communicatie’.
  8. Zie onderdelen Onweerlegbaarheid verzender’, ‘Autorisatie verzender’, ‘Verzendingsgrond’.
  9. Zie onderdelen ‘Herkomst bevestiging’ en ‘Logging’.

 

Picture of Rick Goud

Rick Goud

Rick heeft ruim 6 jaar gewerkt als strategieconsultant in de gezondheidszorg bij Gupta Strategists. Hij studeerde medische informatiekunde aan de UvA en Zorgmanagement aan de Erasmus Universiteit. Daarnaast is hij gepromoveerd in de Geneeskunde aan de UVA op de ontwikkeling, implementatie en evaluatie van beslissingsondersteunende systemen in de zorg. Tijdens zijn studie heeft Rick een aantal jaar als programmeur gewerkt. Het idee achter ZIVVER ontstond tijdens zijn werk als strategieconsultant. Overal waar hij kwam werd veel met gevoelige data gewerkt zoals patiëntgegevens, prijsafspraken, marktprestaties, contracten etc. Bij elke klant speelden vragen over veiligheid van de data, hergebruik van de data, etc. Regelmatig zag hij dat gebruik gemaakt werd van oplossingen waarbij de veiligheid en beheersbaarheid onduidelijk was. Op basis hiervan zag hij dat er een duidelijke behoefte was aan een oplossing zoals ZIVVER die biedt.