Informatiebeveiliging in de zorg: waarom de NEN 7510 essentieel is

Op 11 augustus werd Nederland opgeschrikt door een groot datalek bij Bevolkingsonderzoek Nederland. Gevoelige medische gegevens van zo’n 850.000 vrouwen zijn in verkeerde handen gevallen. Het ging onder andere om burgerservicenummers, e-mailadressen en zelfs onderzoeksresultaten. De oorzaak? Een beveiligingslek bij het laboratorium Clinical Diagnostics, dat samenwerkt met meerdere zorginstellingen.

Dit incident laat opnieuw zien hoe kwetsbaar onze medische gegevens zijn en hoe belangrijk informatiebeveiliging is in de zorg.

Wat doet Nederland om medische gegevens te beschermen?

In Nederland zijn zorgaanbieders verplicht om te voldoen aan de NEN 7510: de norm voor informatiebeveiliging in de zorg. Deze norm schrijft voor dat organisaties een managementsysteem voor informatiebeveiliging moeten opzetten en onderhouden. Dit bestaat onder andere uit:

· Beleidsdocumenten voor informatiebeveiliging

· Een aanpak voor risicomanagement

· Beheersmaatregelen om risico’s te beperken

· Continue verbetering van informatiebeveiliging

Een belangrijk onderdeel van de NEN 7510 is de onafhankelijke controle van het managementsysteem. Dit kan door een interne auditor die niet betrokken is bij het beleid, een externe auditor of een certificerende instantie worden uitgevoerd.

Is certificering verplicht?

Nee, certificering is niet wettelijk verplicht, maar het is wel een krachtig middel om aan te tonen dat een organisatie serieus werk maakt van informatiebeveiliging. Het laat zien dat er een goed werkend managementsysteem is ingericht en dat de risico’s in kaart zijn gebracht en worden aangepakt.

Geeft certificering garantie tegen datalekken?

Helaas niet. Een certificering volgens de NEN 7510 is geen garantie dat er nooit iets misgaat. Wat het wél garandeert, is dat de organisatie:

· Bewust is van de risico’s

· Beheersmaatregelen heeft genomen

· Continu werkt aan verbetering van de informatiebeveiliging

Het is dus geen schild tegen incidenten, maar wel een teken van volwassenheid en verantwoordelijkheid op het gebied van informatiebeveiliging.

Informatiebeveiliging is geen bijzaak, maar noodzaak

Het datalek bij Clinical Diagnostics is een harde wake-up call. In een sector waar vertrouwen en privacy cruciaal zijn, is informatiebeveiliging geen bijzaak maar een absolute noodzaak. De NEN 7510 biedt een stevig fundament maar het is aan zorginstellingen zelf om hier actief en serieus mee aan de slag te gaan.

Grip op informatiebeveiling met GRCcontrol

GRCcontrol biedt een gestructureerde oplossing die zorgaanbieders ondersteunt bij zowel de implementatie als het onderhoud van het managementsysteem voor informatiebeveiliging. Dankzij het geïntegreerde risicomanagementproces en het bijbehorende risicoregister krijgen organisaties helder inzicht in de risico’s die zij lopen, én in de acties die zijn genomen om deze risico’s te beperken. Niet voor niets kiezen meerdere organisaties in de zorgsector voor GRCcontrol.