Uh... betrek milieuactivisten bij het bouwen van kerncentrales, inbrekers bij het ontwerpen van sloten, wapenfabrikanten bij kogelvesten en zo voorts.

Iemand die dit soort werk doet is een beveiligingsexpert, geen hacker. Hackers laat je er op los zodra je een pilot hebt draaien en loof je 20.000 euro uit voor degene die gevoelige informatie weet te bemachtigen. Ik mag toch hopen dat ze dat wel doen.

Let op: Ontwikkelen is iets anders dan testen!

Er worden al 'hackers' ingezet - er zijn in Nederland een paar gevestigde namen, en die hebben voor zover ik weet allemaal al wel eens naar dit ding gekeken. Het voorstel van groen links en deze aanpak, is echter naief en mist het basale inzicht dat iedere Pentester die wel eens een TMap boek heeft bekeken je zal kunnen vertellen: een 'hacker' maakt een momentopname, en in een dynamisch systeem (ieder systeem dat gebruikt wordt) is de boel in flux en kan er morgen een nieuw gat ontstaan. Oftewel, vandaag misschien niet 'hackbaar', morgen wel.

@Mysterio: Denk wel dat ér evenveel hackers zijn als manieren waar een gat kan zitten, en de 'beveiligingsexpert' geacht wordt alle manieren te kennen. Een hacker hoeft er maar één te vinden. Dat gaat ook niet lukken.

@Mysterio,
Maar, als vervolgens blijkt dat het grootste deel van de hackers gevoelige informatie te pakken krijgt, zit je met een probleem. Hackers[*] hebben inzicht in hoe ze in moeten breken en daaruit volgt een inzicht in hoe het systeem te ontwerpen zodat het veilig is.
Je inbreker voobeeld zo goed zijn als het zo was dat inbrekers het slot openbreken. Meestal is dat niet zo (ruit ingooien, aanbellen, etc), dus loopt je vergelijking mank.

[*]; hier bedoeld als degenen die in systemen inbreken, in tegenstelling tot de gebruikelijke betekenis van beveiligingsexpert.

De regering noemt het allemaal hackers, dus daar zullen we het nu mee moeten doen. Op zich vind ik het al een vooruitgang dat er aan wordt gedacht om beveiligingsexperts uit te nodigen, al was het pas na het invoeren van het EPD.

Een betere en goedkopere oplossing is om het EPD af te schaffen/te stoppen.

Giet het EPD in gewapend beton, laat het zinken tot op 10 km diepte en dan nog is het onbetrouwbaar.

Veilig EPD is als een goedaardige Atoombom, als idee al een mislukking.

Als ze met "de hacktest" penetration test bedoelen kan ik me heel goed vinden in dit standpunt. Als je een veilig systeem wilt maken moet het ook getest worden. Niet door één pentester, maar door meerdere onafhankelijke pentesters of pentestteams. Eéntje laat je een blackbox test (dus zonder extra informatie) doen, en de rest whitebox (dus met een technische documentatie van het systeem er bij).

Dat hele EPD moet er gewoonweg niet komen. Het is NIET veilig te krijgen en het ZAL misbruikt worden.

En dan nog het grootste probleem; de gebruikers. Die weten van toeten nog blazen en dan gaat het nog vaker fout dan wanneer er mensen mee werken die er wel verstand van hebben. Ik wil er niet in staan maar dat zal een kwestie van tijd zijn.

Degenen die denken dat verzekeraars geen toegang krijgen of hebben moeten nog maar een keer goed nadenken.
Er is al een ziekenhuis aan een verzekeraar verkocht met de goedkeuring van Klink.

Er komt natuurlijk aan het licht dat er misbruik van gemaakt is door verzekeraars. Dan gaat men zeggen dat het best wel efficiënt is en kosten besparend werkt voor de patiënt (lees zakkenvullende directie en artsen) en dan wordt het 'na een zeer zwaar debat' verplicht voor alles en iedereen. Er gaat gewoonweg veel te veel geld om in de gezondheidsindustrie om niet misbruikt te worden voor welk doeleinde dan ook.

De 'IT specialisten' van bedrijf X houden die onnozele halzen in de tweede kamer een honderden miljoenen kostende worst voor die al bedorven is voordat men er een hap van kan nemen en strijken de poen op. De rekening en alle ellende die er komen gaat komt bij de gewone man terecht die straks geen kant meer op kan als de hele handel op straat ligt.

Wetten worden gemaakt door degenen die er, direct of indirect, belang bij hebben.

WEG MET HET EPD!

WEG MET HET EPD!

Zucht. Wanneer leren ze nu eens dat geen enkel systeem 100% veiligheid biedt. En ja, op sommige systemen is 2 tot 5% misbruik niet zo erg. Maar dit gaan om onze gegevens, onze privacy en mogelijk ook om onze carriere.
Bovendien zijn het onze gegevens! Niet die van de politiek, niet die van de doktoren of de ziekenhuizen. Onze gegevens. Punt. En ik bepaal zelf wie die in mag zien. En daarbij vertrouw ik geen enkel systeem. Punt.

Een systeem zoals het EPD kan niet gelijktijdig "waterdicht" en bruikbaar zijn.

Elk systeem dat mensen moet voorzien van informatie zal het soms de verkeerde mensen deze informatie geven. Bovendien, zodra het systeem de informatie vrij geeft heb je er al helemaal geen controle meer over: zodra het scherm wordt getoond, op papier staat, naar een thumb-drive gekopieerd is of via email wordt verzonden kan niets het nog tegenhouden.

De groep mensen die toegang krijgt zal in de praktijk vele malen groter zijn dan in theorie gepland is: De theorie is bedacht door bestuurders en ambtenaren die geen idee hebben van de realiteit. Hun theoretisch gebruiksmodel is eenvoudig niet werkbaar in de realiteit van een ziekenhuis.

De realiteit is eenvoudig: Alle informatie in het EPD is al bijna openbaar, en de enige reden dat het dit niet is komt omdat niemand de moeite doet of de interesse heeft in deze gegevens. Maar daadwerkelijk privacy of geheimhouding is niet te garanderen zonder het functioneren van de EPD te beperken tot dat deze ongeveer gelijk is aan de huidige situatie.

We hebben het dan nog niet eens over bugs of problemen met de interface, waar de gebruikers dan creative oplossingen voor gaan bedenken die het systeem praktischer maar ook onveiliger maakt, want wat weten gebruikers nu van beveiliging? Wil je die allemaal gaan trainen?

In essentie wordt de regering een onmogelijk droom systeem aangeprezen: Een snel toegankelijk centraal informatie systeem dat (in nood situaties) door het hele land snel kan worden geraadpleegd door tienduizenden mensen. Een systeem dat eveneens volkomen veilig en betrouwbaar is en alle gegevens geheim houdt.

Ik heb zelf meegebouwd aan het EPD. Wat veel mensen niet weten, is dat het EPD zelf geen gegevens heeft van patienten. Het EPD heeft alleen verwijzingen naar medische gegevens en medische handelingen, die bij bv. een ziekenhuis geregistreerd staan. De beveiliging is zo sterk als de zwakste schakel, is een bekend gezegde. En is ook hier van toepassing. Hoewel het technisch zeer goed mogelijk is het systeem zo veilig mogelijk en zeer moeilijk te hacken te maken (en dat hebben we ook), het moet nog steeds mogelijk zijn om mensen er mee te laten werken. En daar zit 'm juist het probleem. Zoals hier boven beschreven is ook hier de mens de zwakste schakel geweest.

Deze informatie is niet geheim, gewoon een beetje zoeken op het internet: bijv. hier: http://www.nictiz.nl/page/Landelijke-infrastructuur/AORTA. Dan kan jezelf er achter komen hoe e.e.a. in elkaar steekt.

Het hele EPD blijft een misbaksel. En al is het technisch 100% veilig gemaakt, wat het niet is, dan is er nog geen controle en screening van ALLE medewerkers in de medische keten die er mee gaan werken.
Er is 1 oplossing: iedereen moet weigeren in het EPD gestopt te worden.
De dooddoener dat het mijn risico verkleint wanneer een medicus in geval van 'elke seconde telt' niet bij over gegevens kan beschikken IS EN BLIJFT MIJN RISICO. Mag ik daar zelf iets over te beslissen hebben?

Als ik alleen al bij mijn huisarts zie hoe vaak ik kan meekijken op de monitor...
Als ik zie hoe vaak de assistentie wegloopt of zich omdraait om even iets te pakken...
Als ik in de wachtkamer kan horen wat iemands naam en geboortedatum is en vervolgens welke adviezen hij/zij krijgt...
Als ik zie en weet hoe vaak de assistentie in een zijkamertje met mij, als patiënt, bezig is en de gegevens van de vorige patiënt staan nog op het scherm.
Idem bij eerstehulp- en spoedeisende hulpbalies van ziekenhuizen...hektiek, even weglopen, vervolgens door iemand aangesproken worden, en de applicatie EPD is (en blijft) maar niet uitglogd.

In ziekenhuizen waar stagieres, groen als gras, nog op school en aan het werk gezet worden als typegeit.
Welke screening of consequentie hangt er voor hen als invoerders of raadplegers aan vast als er iets misgaat met de digitale gegevens?
En welke consequentie voor mij als betrokkene en houder van die medische gegevens?
Waar is het evenwicht? Dat is er niet en komt er niet. Want:
Deze info is goud waard voor verzekeringsmaatschappijen en banken.

Ooit wel eens een kredietbeoordelingsrapport laten opmaken?
Niet alleen de bevraagde persoon maar ook diens vrouw wordt even doorgelicht.
De hoogte van zijn inboedelverzekering verraadt wat de geschatte waarde van zijn inboedel is en of er privé wat te halen valt mocht hij niet betalen. Allerhande belastinginfo verraadt of vrouwlief ooit een uitkering of inkomen heeft genoten.
Het aantal polissen verraadt de hoogte van zijn boedel en indirect de hoogte van zijn salaris.
Etc. etc.
Wedden dat niet alle databases op legitieme wijzen zijn geraadpleegd?
Hoevaak wordt niet via slinkse wijze (voordoen als collega bank/ziekenhuis/huisarts/apotheek) telefonisch wat info opgevraagd? (Social engineering)

Aan de kenners: Zit er in het EPD ook een trace-functie zodat te herleiden is wie welke info op het scherm heeft geraadpleegd EN WAAROM?

Zijn de systemen ook beveiligd tegen screendumps?
Wedden dat het Windows machines zijn waar ALT+PrtScrn werkt en dus ongecontroleerd een screendump via MS Word of mail ongecontroleerd het systeem uitvliegt?

gek genoeg, verwijst Linda naar een artikel wat helemaal niets met hacken maar met social engineering te maken heeft.

Dat geeft ook wel het gevaar van EPD aan, ben niet per definitie tegen maar wel dat mensen met niet al te veel kennis van zaken van beveiliging dus dergelijke uitspraken doen maar ook de keuzes maken over ontwikkelingen rondom dergelijke grote projecten