Lek in online medisch patientendossier

Medilog, een website waarop patiënten zelf een medisch logboek aanmaken en bijhouden, is niet veilig. De site had een openstaande ftp-verbinding.

Computable-lezer ´Erwin´ maakt het beveiligingslek bekend in een reactie onder een artikel over Medilog: "Ik zie dat anonymous ftp open staat en de server waar Medilog op staat botweg een shared hosting machine is. Geen haar op m'n hoofd die er aan denkt om m'n gegevens hier te plaatsen. Ook niet echt handig om de specs publiekelijk bekend te maken, trouwens. Zo maak je het kwaadwillenden wel erg makkelijk."

Op de site van Medilog kunnen mensen een gebruikersnaam en wachtwoord kiezen. Daarmee komen ze op hun eigen pagina's, waar ze een dagboek bij kunnen houden. Ook kunnen er gegevens over artsen, medicijnen, ziekenhuizen en ziekten worden ingevoerd. Verder kunnen gebruikers per dag bijhouden welke klachten ze hebben en hoe serieus deze zijn.

In een reactie verklaart Dré Kampfraath  van Medilog: ‘'Er bleek inderdaad een ftp open te staan, die overigens naar een lege site verwees. Deze verbinding is weer gesloten. Maar onze beveiliging is geraffineerd en zit goed in elkaar, al gaan we natuurlijk niet uitleggen hoe."

Nictiz is kritisch

Het Nictiz, kenniscentrum voor ICT en innovatie in de zorg, liet in een eerder stadium weten kritisch te zijn over Medilog. Directeur Gert-Jan van Boven: "Wie gaat zo'n gegevenskluis inhoudelijk beheren door de jaren heen? Een levenslange dump van uitslagen en andere brokken gegevens is niet de gestructureerde informatiebron die voor goede zorg nodig is."

Van Boven verwacht meer van het landelijke systeem waar aan wordt gewerkt, het landelijk elektronisch patiëntdossier. "Dit dossier wordt beheerd door de zorgverlener; arts, apotheker, etc. Deze moet zich identificeren en authenticeren. Een autorisatiemechanisme bepaalt wat hij mag zien. De patiënt krijgt zelf toegang tot de informatie en kan toegang door zorgverleners eventueel blokkeren. Verder kan hij altijd zien wie zijn gegevens heeft geraadpleegd."