GGZ NHN is overgestapt van 2FA via hardtokens naar softtokens via sms. Zo kunnen behandelaren 24/7 veilig inloggen bij het epd. Sinds enige jaren omarmt GGZ Noord-Holland-Noord (GGZ NHN) het flexwerken. Resultaat: alles is op afstand toegankelijk, met veel aandacht voor informatieveiligheid.
GGZ NHN is een grote organisatie voor de tweedelijns gezondheidszorg in de regio Noord-Holland-Noord met dertigduizend cliëntendossiers en negentienhonderd medewerkers. De organisatie voerde zeven jaar geleden het elektronisch patiënten dossier (epd) in. Destijds liep GGZ NHN voorop in de ontwikkeling van het epd. Bij bezoeken aan cliënten laten behandelaars van GGZ NHN tegenwoordig de grote papieren dossiers en mappen thuis, maar nemen ze slechts een iPad en iPhone mee.
‘De behandelaars hebben een zwaar beroep’, motiveert it-manager bij GGZ NHN Hans Blonk de aanschaf van vierhonderd iPads en iPhones voor behandelaars. ‘Met dat zware beroep moet de rest gemakkelijk zijn en vlekkeloos verlopen. Vroeger stonden bijvoorbeeld in de kamers rijen dossiers, werden gesprekken op een memorecorder opgenomen en daarna uitgetypt. Dat hoeft nu allemaal niet meer.’
Het epd staat deels op de servers van GGZ-NHN en deels bij externe datacenters. Ze bevatten gevoelige informatie over personen in de hele regio; een waterdichte beveiliging is een noodzaak. ‘We gebruikten aanvankelijk hardware tokens om in te loggen op het bedrijfsnetwerk’, vertelt Blonk. ‘Die moesten elke drie jaar worden vervangen en waren erg kostbaar.’
GGZ NHN stapte daarom over op One Time Passwords met sms om in te loggen bij de online werkomgeving van GGZ NHN. Na de invoer van de gebruikersnaam, een wachtwoord en een unieke pincode, vraagt de omgeving om een One Time Password. ‘Na invoer, gebeurt er iedere keer een wondertje’, meent Blonk. ‘Het One Time Password wordt binnen enkele seconden afgeleverd op de mobiele telefoon. Die is voor iedere medewerker bij GGZ uniek. Als je niet inlogt met jouw pincode, ontvang je ook geen OTP-sms’je. Het sms-wachtwoord is maar één keer per sessie te gebruiken.’
Een 24/7 organisatie
Onlangs wisselde GGZ NHN vanuit ontevredenheid van sms-provider. ‘Omdat we een 24 x 7 organisatie zijn en hebben ingezet op flexwerken, is het cruciaal dat je het sms’je gegarandeerd meteen ontvangt’, stelt de ict-manager. ‘Bij een eventuele storing moet de helpdesk van het sms-bedrijf dan ook altijd bereikbaar zijn. Dat was bij de vorige niet het geval. Onacceptabel, omdat externe toegang tot ons netwerk bedrijfskritisch is bij ons. Sms-provider CM is dag en nacht het hele jaar door bereikbaar. Dat is een vereiste voor ons epd.’
De sms-wachtwoorden zijn voor GGZ NHN tevens voordeliger dan de hardwaretokens, waar de kosten vooral zitten in de licenties en het feit dat iedere drie jaar nieuwe tokens moesten worden aangeschaft. ‘Informatieveiligheid is een continu proces en vergt een voortdurende investering in processen, middelen en mensen. Samen met partners als CM lukt ons dat prima’, weet Blonk.
Nu wachten op een Man in the Middle Attack op keten tussen SMS-provider CM en GGZ-NHN via een fake GSM-toren ; of wordt hierop gemonitord?
@Cordny
Breng Genootschap van Hackende Huisvrouwen nu niet op ideeen;-)
Toen ik las dat beveiliging een topprioriteit is maar het wel zo goedkoop mogelijk moet kreeg ik al mijn bedenkingen, schraalhans is weer eens keukenmeester. Benieuwd welk threat model ze gebruikt hebben omdat er voor- en nadelen kleven aan 2FA op basis van SMS en het misschien niet eens de goedkoopste oplossing is.
@Ewout,
ik zou niet durven, hopelijk zit er ook genoeg beveiligingskennis bij de GGZ NHN om een threat model te maken en hebben ze dit niet alleen door de SMS-provider CM (let wel, de leverancier) laten doen 😉