Waar blijft de meerlaagse beveiliging in de zorg?

Deze week werd duidelijk dat het niet alleen mogelijk was om duizenden medische dossiers van Diagnostiek voor U in te kijken, maar ook wijzigingen in bloedwaarden door te voeren. Daarmee kun je – mits goed georkestreerd – prima een moord beramen, waarbij de huisarts zonder het te beseffen een gewillig hulpmiddel is. Een enorme misstand die Henk Krol aan het licht heeft gebracht.

Dat de dossiers überhaupt toegankelijk zijn via internet is al twijfelachtig, want als er iets verkeerd gaat dan gaat het ook goed fout. In tegenstelling tot papieren dossiers kun je soms letterlijk in seconden duizenden dossiers ‘meenemen’.

Slecht beveiligd
Wat vooral opvalt in deze zaak is dat Diagnostiek voor U de beveiliging zo ontzettend slecht op orde had. Zo kon Krol – en zijn bron – in het systeem komen door een vijfcijferige code in te geven (de gebruikersnaam en het wachtwoord waren hetzelfde). Een wachtwoordbeleid dat typerend is voor een organisatie die beveiliging niet serieus wenst te nemen.

Sowieso is een combinatie van gebruikersnaam en wachtwoord een zwakke vorm van beveiliging. Wachtwoorden worden opgeschreven en dus gezien, lekken uit, zijn met kwaadaardige software makkelijk af te tappen en worden vaak op meerdere plaatsen door dezelfde persoon gebruikt.

Er is een alternatief voorhanden, de meerfactor-authenticatie. Daarbij gebruik je niet alleen ‘iets wat je weet’ (een wachtwoord), maar gebruik je bijvoorbeeld ook iets ‘wat je hebt’. Dat laatste kan een pasje zijn, of een USB-stick met wisselende codes. Bijna iedere oplossing voor internetbankieren gebruikt zoiets en Google wil het ook. Zo niet Diagnostiek voor U.

En dan is er natuurlijk nog de nalatigheid. Iemand met een login kon meteen bij alle data komen. Juist bij gevoelige gegevens mag je redelijkerwijs verwachten dat er virtuele schotten worden geplaatst tussen verschillende (delen van) dossiers. Zo kun je alleen daarin kijken waar je thuishoort.

Nalatig
Kortom: Diagnostiek voor U vond het niet nodig schotten te plaatsen, meerfactor-authenticatie te gebruiken en werkte met slechte wachtwoorden. Een complex van nagelaten kansen om de wettelijke plicht om de bescherming van bijzondere persoonsgegevens, die medische informatie nu eenmaal is, in de praktijk in te vullen.

Voor de zorg gelden blijkbaar andere standaarden. Toch iets om in het achterhoofd te houden als een of andere zorgverlener weer eens toegang tot uw informatie wil.