Vastleggen van acties op EPD roept veel vragen op

Computable Expert

Marcel Jak RE

Manager Sales en Consultancy

Expert van Computable voor het topic Security

Meer

Donderdag 15 april 2010 was bij het NEN een openbare bijeenkomst van de NEN-beleidscommissie met als thema 'Logging - vastleggen van acties op het elektronisch patiëntendossiers'.

Het gaan werken met elektronische patiëntdossier (EPD) in de zorg heeft geleid tot een toenemende aandacht voor de ict-beveiliging binnen de zorg. Zo wordt er gewerkt aan de invoering van de beveiligingnorm NEN7510 in de zorginstelling. NEN 7510 is, oneerbiedig gezegd, een specifieke uitwerking van de algemeen bekende ISO27001 waarop organisaties hun beveiligingsmanagementsysteem kunnen laten certificeren. Deze norm wordt momenteel herzien.

Het EPD wordt ingevoerd om gemakkelijk toegang te krijgen tot dossiergegevens door zorgverleners en deze gegevens ook geüniformeerd te kunnen uitwisselen tussen de beroepsbeoefenaars. Zo wordt zorg beter, doelmatiger. To zover is het duidelijk.

De gevoeligheid van de deze dossier vraagt daarnaast om verantwoording van het gebruik. 'Wie heeft wat en wanneer gedaan met dit dossier?', 'aan welke partijen is inzage gegeven?', 'welke gegevens zijn uitgewisseld?'.  'Zijn de juiste autorisatie regels toegepast?'  De scope is duidelijk. Het gaat om het recht van patiënt om in te zien dat er verantwoord wordt om gegaan met zijn gegevens.

Logging van deze 'verkeersgegevens' is een middel om deze verantwoording te kunnen afleggen. De nieuwe NEN-norm zal gaan over welke gegevens moeten worden vastgelegd en hoe deze logging zelf beheerd en beveiligd moet worden. Op de slides verschijnen opsommingen van loggevens: behandelaar (UZIpas, Naam), patiënt (BSN),  uitgevoerde acties, datum en tijd, etc.

Hierbij kunnen vragen gesteld worden. Mogen patiënten de identiteit van medewerkers van instellingen zien in hun logging? Waar is de scheiding tussen identificerende gegevens (BSN) en zijn medische data (acties op dossier, behandeldata)? Nog spannender wordt de discussie als de vraag wordt gesteld op welke wijze de belanghebbende patiënt deze loggegevens ter beschikking kan krijgen. Dan gaan immers deze privacygevoelige gegevens over van een veilige omgeving naar een onveilige omgeving (werkstation van de consument). De securityspecialisten missen een verwijzing naar de maatregelen als pseudonimisatie en encryptie die dergelijke veiligheid en privacy mogelijk kunnen maken. Conclusie na een geslaagde discussiemiddag: er moet nog veel werk verzet worden.

Er wordt nog veel overgelaten aan de inventiviteit van de beveiligingsverantwoordelijke in de zorginstelling om een werkelijk verantwoorde logging mogelijk te maken. Laten we opletten dat het middel niet erger wordt dan de kwaal. Eerst maar eens toegang tot het EPD regelen, de logging kan daar een onderdeel van zijn.