Overheid houdt beveiliging EPD geheim
Het Ministerie van VWS wil niet vertellen hoe de beveiliging van het landelijke elektronische patiëntendossier is geregeld, waarbij het zich lijkt te verschuilen achter security through obscurity principe. Dat melden Medisch Contact en BigWobber Brenno de Winter, die een verzoek in het kader van de Wet openbaarheid van bestuur (Wob) hadden ingediend. Niet alleen wordt een deel van de beveiliging geheim gehouden, deels bevindt die zich in een pril stadium. Het gaat dan om intelligente logging en een belangrijke indringerstest, (de EIS). De intelligente logging laat toezichthouders controleren of er ongeoorloofde inzage is in medische dossiers heeft plaatsgevonden.
Volgens VWS wordt de beveiliging jaarlijks door onafhankelijke derden getest. Daarnaast is het principe van security through obscurity geen uitzondering. "In het artikel wordt gesuggereerd dat het een uitzonderlijke situatie is dat niet alle beveiligingsmaatregelen van een infrastructuur bekend worden gemaakt. Dit is echter vrijwel bij alle infrastructuren het geval en ook bij het landelijk EPD", aldus Stephan Koole, directeur Voorlichting en Communicatie.
Documenten
De Winter laat weten dat de ernstige verdenking bestaat dat er meer documenten bestaan dan er daadwerkelijk zijn geleverd en ook worden er documenten geweigerd. "Opvallend is ook dat veel van de ‘geopenbaarde documenten’ reeds publiek zijn en daardoor niet verstrekt hadden moeten worden. Al met al grond genoeg voor het starten van een bezwaarprocedure, die op dit moment nog loopt."
Wat betreft het niet verstrekken van alle documenten is Koole duidelijk: "Het Nederlands elftal traint ook wel eens zonder publiek." Volgens Secretaris-Generaal G. Van Maanen worden sommige documenten bewust niet openbaar gemaakt, omdat dit "nadelige gevolgen voor de verdere implementatie van het EPD en de bij het EPD traject betrokkenen" zou kunnen hebben.
Morgen stemt de Eerste Kamer over een motie om het landelijk EPD stil te leggen. Begin juni waren verschillende Senatoren nog zeer kritisch en werd er voor stopzetting gepleit.
Verder heb ik bezwaar gemaakt tegen opneming van mijn gegevens en wat blijkt nu? Mijn gegevens zijn toch opgenomen en worden slechts geblokkeerd. Bovendien was het ageren tegen opname toch al een farce, met je kopie ID bewijs via post naar een of ander vaag postadres sturen? Welke bedrijven (ambternarij kan dat zowiezo niet zelf) hebben ze daar voor ingehuurd om die gegevens te verwerken? Zijn DIE wel te vertrouwen?
Bovendien wil tussen de 30 en 60% van de artsen zelf niet in dat EPD. Wat weten zij wat wij niet weten? Of weten zij misschien ook wat wij wel weten.
Security through obscurity werkt niet. Security in Numbers wel. Is bewezen in de natuur. Vissen zwemmen in scholen omdat wanneer 1 uit de 10 miljoen gepakt wordt het niet in verhouding staat. Zo ook met patienten dossiers. De kans dat iemand met mijn papieren dossier het ziekenhuis uit loopt is minimaal. Het is teveel moeite, een relatief groot risico voor die moeite en het potentieel misbruik is in mijn geval nul. De kans dat iemand straks op z'n USB stick 17 miljoen Nederlanders heeft is mega-groot. Het potentieel misbruik is dan gigantisch.
ASL
http://www.csc.com/nl/press_releases/5382-bouw_landelijk_schakelpunt_voor_de_zorg_van_start
http://www.zorgvisie.nl/Nieuws/Artikel/Nieuw-EPD-van-CSC-Veel-ziekenhuizen-ontevreden-over-bestaande-EPDs.htm
Saillant detail: CSC heeft ook een vaccinatietoko in hun bezit, genaamd Dynport: http://www.csc.com/dvc
(wat doet een automatiseerder met een vaccinatietoko??)
Gelukkig ligt de boel zwaar achter op schema en is er nog (bijna) niets gekoppeld. Als dat wel zo was, had Alberto Stegeman ongetwijfeld al lang het dossier van Beatrix of zo opgevraagd.
En wat gaan ze dan doen met die informatie? Mijn medisch dossier uit diegene zn geheugen wissen? Je kan dan iemand straffen wat je wilt, maar je medisch dossier is dus al op straat.
Ik zou zeggen: Onafhankelijk onderzoek is nodig, waarbij de beoordeling publiek gemaakt moet worden, maar tegelijkertijd is het volledig vrijgeven van al deze informatie een risico op zich, en daar moet je ook zorgvuldig mee om gaan.
Security through obscurity is wellicht van toepassing op specifieke vulnerabilities, wanneer je het hebt over het volledig vrijgeven van alle documentatie m.b.t. de beveiliging dan is het een leeg en zinloos argument. Immers zal geen enkele overheidsinstantie, en geen enkel bedrijf, alle details over hun beveiliging op straat gooien, gezien de risico's die dit met zich meebrengt. Wat dat betreft vind ik de argumentatie van Brenno zwak, want die kant van de medaille negeert hij volkomen.
Ik wil niet alles weten, maar wil wel begrijpen welke mechanismes er werken. Zoiets is niet te vergelijken met een bedrijf. Daar heb ik keuze om zaken te doen, maar hier niet. Dit gaat wel om medische gegevens en bij herhaling staan er allerhande mensen op van enig statuur die twijfelen aan de beveiliging. Daarnaast is er nog iets uit te leggen rond de documenten, want er lijken toch echt zaken te missen. Behoorlijk twijfelachtig dus.
Nee ik negeer niet zaken
btw .... goed werk brenno ! +1
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
