Veilig computergebruik bij gedeelde werkplekken binnen mondzorgpraktijken

AVG

Het is niet voor niets dat in de Algemene verordening gegevensbescherming (AVG), die in mei 2018 ingaat, strikte regels zijn gesteld voor de beveiliging van data. Netwerken zijn permanent verbonden met het internet, en toegang van buitenaf is vanzelfsprekend geworden. Daarbij komt dat steeds meer persoonsgegevens digitaal opgeslagen en uitgewisseld worden. De AVG schrijft voor dat deze persoonsgegevens zorgvuldig verzameld en bewaard moeten worden. Als ondernemer moet u er alles aan doen om uw data te beveiligen. Als het mis gaat moet u kunnen aantonen dat u de benodigde maatregelen heeft getroffen, bijvoorbeeld door met een ICT-bedrijf samen te werken.

NEN 7510 en ISO 27001

Dat een bedrijf voldoet aan de eisen uit de AVG, is wettelijk verplicht. Daarnaast kan een bedrijf vrijwillig voldoen aan de normen die de NEN en ISO stellen en zo een NEN- of ISO-certificering krijgen. Hiermee kan een bedrijf laten zien dat het zorgvuldig omgaat met digitale informatie.

ISO 27001 is de certificering voor informatiebeveiliging. Hierbij gaat het er om dat een bedrijf zo is ingericht dat alle risico’s met betrekking tot informatiebeveiliging geborgd zijn.

NEN 7510 is vergelijkbaar met ISO 27001, maar is aangevuld met normen die specifiek gaan over informatiebeveiliging binnen de zorg.

Beveiliging werkplekken

De werkwijze binnen tandartspraktijken, en eigenlijk alle zorginstellingen, verschilt op één cruciaal punt met die van veel andere bedrijven: er zijn geen persoonlijke werkplekken. Omdat er geen persoonlijke werkplekken zijn, wordt meestal ook niet met persoonlijke accounts gewerkt om in te loggen op de computer. De generieke accounts die gebruikt worden, zijn vaak gekoppeld aan de locatie of functie van die werkplek. Op een systeem bij de receptie wordt ingelogd met ‘Balie-1’, en de computer bij de OPT wordt elke dag opgestart met ‘Röntgen’ met een wachtwoord dat bekend is bij alle medewerkers. In veel praktijken zal dit geen problemen opleveren, omdat de computers zelden onbeheerd worden achtergelaten. Maar toch kan het voorkomen, dat onbevoegden zich toegang weten te verschaffen tot een computer. Hoe kunt u onbeheerde systemen beveiligen zonder dat dit de dagelijkse praktijk belemmert?

Automatische screensaver

Een eenvoudige methode om de computer te beveiligen is het instellen van een wachtwoord op de screensaver. Na een bepaalde periode van ‘nietsdoen’ treedt de screensaver in werking. U kunt alleen terugkeren in het programma als het wachtwoord wordt ingegeven. Een nadeel hiervan is dat de screensaver vaak aan gaat als het net niet uitkomt, waardoor u de hele dag door wachtwoorden moet ingeven. Ook weet u niet wie gebruik gemaakt heeft van de werkplek.

Persoonlijke gebruikersaccounts

Wanneer u aan Microsoft zou vragen hoe een werkplek beveiligd moet worden, dan is er maar één antwoord: maak gebruik van persoonlijke gebruikersaccounts. Alle Microsoft-producten zijn ontworpen om binnen een persoonlijk gebruikersaccount te draaien.
Een nadeel hiervan is dat aan een gebruikersaccount al uw instellingen zijn gekoppeld, zoals die van printers, Vecozo certificaten, snelkoppelingen en zo verder. Al deze zaken werken nu waarschijnlijk feilloos onder het account ‘Balie-1’. U kunt zich voorstellen dat het een hele klus is om voor al uw medewerkers de instellingen onder hun persoonlijke account in te richten. Een voordeel van deze optie is wel dat u weet wie op de werkplek heeft gewerkt.

Inloggen met persoonlijke smartcard

Tegenwoordig is het ook mogelijk om in te loggen met een persoonlijke smartcard. Deze methode wordt al langer in ziekenhuizen gebruikt en is nu ook beschikbaar voor tandartspraktijken. Om in te loggen legt u de smartcard op de lezer en binnen enkele seconden kunt u aan het werk. Als u de card weghaalt, wordt de computer gelijk geblokkeerd. Deze optie is een gebruiksvriendelijke beveiliging van de werkplek. Iemand die binnenloopt, heeft niet zomaar toegang tot de gegevens op de computer. Andere voordelen: er kan snel worden ingelogd en u weet wie de computer gebruikt.

Externe toegang

Tot slot is de externe toegang van uw computer(netwerk) een belangrijk aspect. Kunt u van buitenaf inloggen in uw praktijk? Controleer dan of deze verbindingen minimaal met één extra voorziening zijn beveiligd, zoals een IP-filter, VPN-verbinding of 2-factor authenticatie met een sms of app op uw smartphone. Externe verbindingen zijn een potentieel gevaar voor uw ICT-systeem. Hackers kunnen zich via externe verbindingen toegang verschaffen in het systeem en proberen met behulp van randsomware u af te persen. Ook kunnen ze gevoelige systeeminformatie proberen te achterhalen zoals burgerservicenummers en patiëntengegevens voor identiteitsfraude.

Door:
Matthijs Aarnoudse (Supracom) en Karel Keers (Keers Applied Electronics)