Datalek bij drie ziekenhuizen treft ruim 158.000 patiënten
Patiëntgegevens van twee Nederlandse ziekenhuizen en een Belgisch ziekenhuis hebben op straat gelegen. Daarover heeft het Belgische IT-bedrijf iGuana, verantwoordelijk voor het versturen van de gelekte databestanden, de ziekenhuizen maandag geïnformeerd.
Het bedrijf benadrukt dat het niet gaat om medische dossiers. Het zou gaan om patiëntnummers, naam, geboortedatum, geslacht, het specialisme en de locatie.
Het bestuur van het St. Anna Ziekenhuis werd afgelopen donderdag door de redactie van het programma Meldpunt van Omroep Max geïnformeerd over het datalek. De redactie van het programma had toegang tot een digitaal databestand bij iGuana, een leverancier van het ziekenhuis.
De gegevens van 4559 patienten van het St. Anna-ziekenhuis in Geldrop zijn meer dan een maand lang online toegankelijk geweest. Dit heeft het ziekenhuis per brief laten weten aan de betrokken patiënten. Bij het andere Nederlandse ziekenhuis gaat het om een pdf-bestand met een technische beschrijving van software. In deze beschrijving staan ook screenshots die de naam en het patiëntnummer van vijftig patiënten bevatten. In het geval van het Belgische ziekenhuis gaat het volgens iGuana om onbruikbare gegevens.
Menselijke fout
Volgens het IT-bedrijf gaat het om een menselijke fout, er is gebruik gemaakt van een onbeveiligde webserver. De server is inmiddels offline gehaald.
iGuana is een bedrijf dat onder meer papieren medische dossiers voor ziekenhuizen digitaliseert. De automatiseringsgids meldt dat het bedrijf een deel van het voorbereidende werk, zoals nietjes en paperclips verwijderen, tot eind 2014 door gedetineerden liet doen. Vanwege de "verkeerde beeldvorming bij klanten en in de publieke opinie'', is de onderneming hiermee gestopt.
Het verstrekken van electronisch patientdossiers aan criminelen in gevangenissen. Is daarbij ''beeldvorming'' daadwerkelijk het enige probleem ? Klinkt als een datalek op zich, al werd het wel gelekt conform de procedures van iGuana. Hadden al deze criminelen een verklaring van goed gedrag ofzo, zodat het verantwoord was hen toegang te geven ? ;)
Volgens mij moet het dit bedrijf verboden worden om ooit nog te werken met vertrouwelijke patient dossiers.
"Dit heeft het ziekenhuis per brief laten weten aan de betrokken patiënten". Ja, dus....
Het feit dat het kan gebeuren is al genoeg reden voor alarm en stampij hier over.
We hebben net kunnen horen over het digitaliseren en kopiëren van Nederlandse patiëntendossiers in de Belgische gevangenissen.
Hoe verzinnen ze het. Wat voor idioot zit hier achter. Anders kan ik het niet noemen.
Waar zitten ze met hun hersens?
Wie mag dan wel die fout gemaakt hebben als het geen menselijke fout is
Het verstrekken van electronisch patientdossiers aan criminelen in gevangenissen. Is daarbij ''beeldvorming'' daadwerkelijk het enige probleem ? Klinkt als een datalek op zich, al werd het wel gelekt conform de procedures van iGuana. Hadden al deze criminelen een verklaring van goed gedrag ofzo, zodat het verantwoord was hen toegang te geven ? ;)
Volgens mij moet het dit bedrijf verboden worden om ooit nog te werken met vertrouwelijke patient dossiers.
Denk je echt dat die gevangenen die dossiers allemaal zitten te lezen en op de een of andere manier interessante gegevens
eruit vissen die ze opslaan voor mogelijk later gebruik?
Dan moet je wel erg veel fantasie hebben denk ik...
Op het moment dat je een enorme hoeveelheid informatie laat verwerken door niet-betrokkenen (het is nog in het
buitenland ook!) dan is de kans dat daar iets mee gedaan wordt of dat de medewerker iets in handen krijgt waar hij
iets mee kan enorm klein. Ga jij maar eens in Antwerpen rondlopen en kom dan vertellen hoeveel mensen je kende.
Als ze de logfiles wel goed hebben valt het nog mee voor de betrokkenen in de diossiers..
"Ons onderzoek van de access logfiles wijst uit dat de gegevens in totaal twee keer zijn gedownload. Uit de IP-adressen blijkt dat de Nederlandse omroep Max de gegevens heeft gedownload en tegelijkertijd werden dezelfde gegevens ook gedownload door een bedrijf dat werkzaam is in onze sector. "
De reputatie-schade voor het bedrijf iguana had niet erger gekund.
Oorzaak: OS webserver inrichting niet voldoende gecontroleerd vijgegeven (LCM / releasemanagement):
"Wij hanteren standaardprocedures waarbij de gegevens altijd worden versleuteld en via beveiligde SFTP of VPN-verbindingen worden verstuurd. Voor uitzonderingsgevallen hebben wij een speciale webserver ingericht. Deze was uiteraard beveiligd. Bij de migratie naar een andere webserver is deze beveiliging door een menselijke fout niet mee overgegaan. "
Nu is het België waar het gebeurd is niet Nederland. Zal wel buiten het bereik van de AP vallen. Meer benieuwd of de AP de nederlandse bedrijven gaat aanspreken en om uitleg vraagt.
Hoe weet jij dat jouw gegevens veilig zijn bij je huis arts?
Het lijkt me een goed idee om de gevolgen bij lekken te verkleinen door gewoon zo min mogelijk gevoelige zooi op te slaan en wanneer de behandeling ten einde is of/en de informatie niet meer relevant is deze te anonimiseren of gewoon te verwijderen. Verder is de informatie eigenlijk van de patiënt en deze zou dan ook de mogelijkheid moeten krijgen de gegevens te beheren.
Dus dat zijn er al drie. Waar kan ik even controleren of ik op die lijst sta?
Het lijkt me een goed idee om de gevolgen bij lekken te verkleinen door gewoon zo min mogelijk gevoelige zooi op te slaan en wanneer de behandeling ten einde is of/en de informatie niet meer relevant is deze te anonimiseren of gewoon te verwijderen. Verder is de informatie eigenlijk van de patiënt en deze zou dan ook de mogelijkheid moeten krijgen de gegevens te beheren.
Maar het probleem is dat deze gegevens volledig bewaard dienen te blijven voor 20 jaar
Dus dat zijn er al drie. Waar kan ik even controleren of ik op die lijst sta?
Dus dat zijn er al drie. Waar kan ik even controleren of ik op die lijst sta?
Google indexeert toch de data, ook pdf, plaatjes en word documenten worden hierbij gedownload.
Wie mag dan wel die fout gemaakt hebben als het geen menselijke fout is
Lekker makkelijk om het af te schuiven op een menselijke fout. Dit soort zaken moet je tenminste volgens het 4 eyes principe doen.
M.a.w. Bullshit, de procedures zijn gewoon niet op orde.
Wie mag dan wel die fout gemaakt hebben als het geen menselijke fout is
Lekker makkelijk om het af te schuiven op een menselijke fout. Dit soort zaken moet je tenminste volgens het 4 eyes principe doen.
M.a.w. Bullshit, de procedures zijn gewoon niet op orde.
Daarnaast is dit gewoon iets wat normaal 1 persoon doet, of meerdere maar niet om alle settings te controleren. Maar het is en blijft mensen werk.
"Dit heeft het ziekenhuis per brief laten weten aan de betrokken patiënten". Ja, dus....
Nee, dus. Mijn partner is een van de slachtoffers en deze heeft GEEN brief gekregen.
Ik vraag me ook af waar die eventuele brief naartoe is gestuurd?
Het adres waar ze woonde toen ze in het ziekenhuis lag, of het adres van de verzekering, of het GBA adres?
Geen idee, in ieder geval niet naar het juiste adres.
Wie mag dan wel die fout gemaakt hebben als het geen menselijke fout is
Patientgegevens worden tegenwoordig gekoppeld via DIGID, en die club heeft strikte regels over uitwisseling.
Hoe kunnen ze ooit deze gegevens op een onbeveiligde server krijgen, die ook nog eens aan internet hangt?
Het heeft daar niets te zoeken.
Ze zouden documenten moeten digitaliseren, waarvoor hebben ze dan een webserver aan internet hangen met gegevens van patienten?
Waar is dat voor nodig?
Wordt er echt ZO erg slecht omgegaan met gegevens?
Als er al gegevens uitgewisseld moeten worden, waarom gebeurt dat niet via een VPN?
Patientgegevens worden tegenwoordig gekoppeld via DIGID, en die club heeft strikte regels over uitwisseling.
Hoe kunnen ze ooit deze gegevens op een onbeveiligde server krijgen, die ook nog eens aan internet hangt?
Het heeft daar niets te zoeken.
.........
Als er al gegevens uitgewisseld moeten worden, waarom gebeurt dat niet via een VPN?
Achter een firewall met een IP whitelist werkt ook heel goed. Wordt zelfs heel vaak gebruikt. SFTP wordt hier heel vaak voor gebruikt.
Een een (heel lullig) foutje is dan zo gemaakt als je een nieuwe server neer zet.
VPN is een stuk complexer om neer te zetten. Een whitlist werkt dan een stuk gemakkelijker.
Dus dat zijn er al drie. Waar kan ik even controleren of ik op die lijst sta?
Max en de bekende concurrent hebben de persoonsgegevens aantoonbaar in bezit of in bezit gehad. Daarmee zijn zij ook aanspreekbaar op ethisch omgaan met die gegevens. Je zal geen inzicht in de gegevens mogen verwachten. Het zou anders zijn als een Chinees het publiekelijk zou willen maken en om niet te publiceren geld eist.
Als je bij de getroffen instellingen een dienst hebt afgenomen betekent dit niet dat iedereen die ooit daar klant was in dit datalekverhaal als geraakt gezien moet worden. Dat kan je pas weten als je inzicht bij max vraagt. Als die dat echter publiceren schenden ze de privacy regels.
Als er al gegevens uitgewisseld moeten worden, waarom gebeurt dat niet via een VPN?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?