Dit geeft ook weer precies aan waar het ook mis gaat met bijvoorbeeld het LSP. Als je je gegevens met een organisatie deelt dan kan ineens de hele organisatie erbij. En keer op keer blijkt dat de autorisaties in die systemen niet op orde zijn waardoor er veel te veel mensen bij kunnen die niets met de behandeling te maken hebben. Dat is dan ook precies de reden waarom ik de gegevens niet deel via het LSP. Pas wanneer dit delen veel gerichter kan (bijvoorbeeld alleen met de behandelend arts) denk ik erover na: tot die tijd wordt mijn data niet gedeeld.

Waarom zit hier niet fatsoenlijke monitoring overheen wanneer de autorisaties zo bagger zijn ingericht als mitigerende maatregel?

Waarom zijn ze niet op staande voet ontslagen en geschorst voor iets met gezondheidszorg voor de rest van hun leven?

Mee eens, moet continue monitoring op...
Steefproeven, dit geeft alleen maar aan dat het vaker waarschijnlijk gebeurd maar niet gezien wordt....

Ik zou eerder zeggen waarom zit hier geen fatsoenlijke access management systeem achter. Als je de toegang krijgt als je assigned wordt in het behandeltraject dan kun je wel monitoring ernaast hebben draaien maar dan komen de medewerkers zowiezo pas aan de data als ze de juiste rechten krijgen toegewezen, zoals dat hoort.

Je post toont aan dat je geen flauw idee hebt hoe ziekenhuissystemen werken en hoe ziekenhuisprocessen werken.

Wie welk dossier in kan kijken is vantevoren ab-so-luut onmogelijk te voorspellen. Daarom heb je binnen de meeste ZIS te maken met 2 manieren van toegang tot een dossier: de gebruikelijke route via een werklijst, of een breaking the glass route. De eerste is dat mensen gewoon hun werk kunnen doen, en bij de dossiers kunnen van patienten die op hun afdeling liggen. De tweede is een manier om met spoed of buiten de werklijsten bij een dossier te komen: de medewerker zoekt met de hand in het systeem, zoals dat hier ook gedaan is. Wanneer je het dossier aanklikt, krijg je de vraag waarom je toegang wilt. Zonder opgaaf van reden krijg je geen toegang, daarna wel. Waarom bestaat dat? Nou, er zijn genoeg momenten dat een patient niet vantevoren netjes is aangemeld of in een werklijst staat, maar dat er wel toegang noodzakelijk is tot het dossier. Op dit soort breaking the glass aanvragen is vervolgens een steeksproefgewijze controle.

Die is er wel, maar 100% controle heb je als ziekenhuis vervolgens meerdere mensen fulltime voor in dienst nodig, iets wat gewoonweg qua geld niet kan.

Op staande voet ontslag moet wel voldoen aan bepaalde (wettelijke) voorwaarden. Wie terecht op staande voet wordt ontslagen heeft geen recht op een WW-uitkering. Zie daarover de informatie van de Rijksoverheid hieronder.
https://www.rijksoverheid.nl/onderwerpen/ontslag/vraag-en-antwoord/wat-is-ontslag-op-staande-voet

De werkgever weet ook dat hij niemand zomaar op staande voet kan ontslaan en daarom wordt er vaak eerst een Officiële Waarschuwing gegeven. Wie dan nog de euvele moed heeft een tweede keer in de fout te gaan na zo'n waarschuwing, krijgt inderdaad strafontslag aangezegd.

Voor de rest van hun leven de toegang ontzeggen tot een bedrijfstak, komt wel voor, zoals in de detailhandel (winkels), de beveiligingswereld en het transportwezen. Dan kom je nergens meer aan de slag. Maar of dit ook voor ziekenhuizen geldt, daar ken ik geen voorbeelden van.

Dit systeem zou bewijzen van een redelijke adequate access management.
Als iemand meld dat er steekproefsgewijs is onderzocht, dan lees ik dat aan de andere kant niet als. Na doorlopen log-autorisatie toestemmingsaanvragen hebben medewerkers onterecht zichzelf toegang verschaft tot persoonlijke gegevens van een patient.

Dat is namelijk heel wat anders en veel kwalijker vanuit de medewerkers gezien. En tegelijk veel beter vanuit de ziekenhuis instelling gezien.

Monitoring ?!? Dit moet gewoonweg niet kunnen. Werk je niet op afdeling A dan heb je geen toegang nodig voor patiënten op afdeling B.
Alleen de behandelende arts heeft toegang nodig tot complete dossiers, de rest alleen de onderdelen nodig voor hun werk.

Je spreekt jezelf toch een beetje tegen, Als een breaking the glass methode de enige manier is om bij data te komen waarvoor je niet geautoriseerd bent (wat ik me kan voorstellen), dan zou dit een uitzondering moeten zijn en niet de standaard werkwijze. Dit betreft dan dus een klein percentage van de toegang tot deze data. Dus lijkt me dat in combinatie met automatisering (je gaat de logs niet met de hand bekijken natuurlijk) dat je toch een heel eind moet kunnen komen tot een controle die richting de 100% gaat ipv steekproeven die waarschijnlijk nog niet 1% van de gevallen dekt. Daar heb je echt geen mensen full time in dienst voor nodig, dit kunnen de SOC medewerkers er gewoon bij nemen (ik mag ten minste hopen dat er een SOC is, hetzij per ziekenhuis of ziekenhuisoverstijgend).

Grappig, dat was 10 jaar geleden al een probleem weet ik uit ervaring. Mooi om te zien dat ze nog niks zijn opgeschoten.

Geloof me, ik spreek uit ervaring. Als maar een paar procent van de toegangsaanvragen tot dossiers via breaking the glass gaan, dan heb je het alsnog over vele honderden per week. Uitzoeken of een inzage al dan niet correct is geweest kost erg veel tijd. Verder is het zo dat je dit niet door een SOC laat onderzoeken, dit wordt over het algemeen door een ISO of FG gedaan.

Ik weet toevallig dat men na het debakel bij het Hagaziekenhuis over is gegaan op 100% controle van inzage. Er zijn daar 2 personen full time extra in dienst gekomen om dit voor elkaar te krijgen.

Dat is niet hoe een ziekenhuis werkt. Voorbeeld: soms (uh, vaak) gaat een patient van afdeling A naar afdeling B. De ontvangende afdeling moet dan weten wat voor patient ze binnen krijgen. De patient staat dan nog niet op hun lijst, maar het is toch echt noodzakelijk dat ze in het dossier kunnen. Idem met processen als kwaliteit en veiligheid m.b.t. kwaliteitsrapportages, planning van patienten, patientenvervoer en zo kan ik nog wel even door gaan. 100% afscherming is in een ziekenhuiscontext simpelweg niet mogelijk.

Dan passen ze hun werkwijze maar aan. Als ze je tv abbo van bed A naar bed B kunnen aanpassen terwijl ze je verplaatsen dan kan dit ook.

Zorg instellingen kunnen gewoon niet volgens enige IT-security etiquette werken, is onmogelijk.
De mentaliteit is er niet, de noodzaak zien ze niet, en wanneer er een universiteit ernaast staat is het dweilen met de kraan open.

@18.50 Dat klopt. Vergeet ook de, soms arrogante, arts die in de telefoon naar je manager gaat hangen en dan buiten protocol om zaken weet te regelen. Waarom men dat toestaat? Geld... Ze hebben hun eigen cash machine in het ziekenhuis aka een maatschap. Vaak grote vrienden met RvB en alles wat hun werk veranderd of moeilijker maakt wordt afgeschoten.

Succes om dan security(maatregelen) af te dwingen....
Groepsaccounts of wachtwoorden delen/post its was ook zeer normaal. Een ander probleem is dat veel medische apparatuur geen SDLC heeft doorlopen. Dan kan het wel op een eigen LAN segment zitten maar er is altijd wel een mogelijkheid tot interactie bv USB poorten of Wireless protocollen zoals Wifi/BT

Ik verbaas me, in commentaren op deze website als dit onderwerp ter sprake komt, er keer op keer over dat veel mensen denken dat in een ziekenhuis, waar elke seconde kan tellen om levens te redden of ernstige schade te voorkomen in situaties die zich totaal onverwacht aandienen, er tijd zou zijn om eerst rustig langs de formele kanalen toegang tot een patiëntendossier te regelen en dan pas dat leven te redden of die schade te voorkomen. Dan ben je te laat. Ik snap, met andere woorden, dat loggen van inzage en controle achteraf de juiste weg is om te bewandelen.
Wat ik me daarbij afvraag is in hoeverre wordt vastgelegd wie er bij de behandeling betrokken zijn geweest. Als zich een "breaking the glass"-situatie voordoet dan neem ik aan dat in ieder geval in het patiëntendossier wordt vastgelegd wat er is gebeurd, wanneer het plaatsvond, en ik kan me niet voorstellen dat dat gebeurt zonder dat van minimaal één van de betrokkenen (degene die het dossier bijwerkt) de betrokkenheid wordt vastgelegd.

Het lijkt me dat op basis daarvan automatische controles in te richten zijn. Als degene die het dossier bijwerkt ook degene is die vlak daarvoor de inzage heeft gedaan is meteen duidelijk dat dat met elkaar klopt. Als kort daarvoor een of enkele anderen inzage hebben gehad kan dat consistent zijn met het feit dat er een noodsituatie met die patiënt was. Als dat een op dat moment dienst doende collega was van de afdeling van degene die het dossier bijwerkte die inzage deed, dan versterkt dat de indicatie dat het iets met die noodsituatie te maken had.

Zou het niet mogelijk zijn om op basis van dit soort verbanden tussen gegevens die al worden vastgelegd geautomatiseerd onderscheid te maken tussen inzages die hoogstwaarschijnlijk legitiem zijn en inzages die dat mogelijk tot zeer waarschijnlijk niet zijn, en daarmee de tijd die mensen aan uitpluiswerk moeten besteden aanzienlijk kleiner kunnen maken?

Dat is 0,05% van de 3500 medewerkers van het ziekenhuis (die overigens niet allemaal full-time zullen werken), en met 29.000 patiënten per jaar en uitgaande van 1800 werkuren per jaar per FTE kom je op ongeveer 7,5 minuten extra werk per patiënt uit. Dat lijkt me te overzien.

Ik wist niet dat patiënten een persoonlijk tv-abonnement hebben, maar als dat klopt is het niet vergelijkbaar met een patiëntendossier inzien door iemand die er onvoorzien voor een noodsituatie bij wordt gehaald. Dat abonnement kan ook wel een kwartiertje later geregeld worden, daar telt niet elke seconde.

Als degene die de patiënt verplaatst dat zelf op dat moment kan instellen dan komt dat overeen met een zorgmedewerker die voor zichzelf ter plekke toegang tot een patiëntendossier kan regelen op het moment dat de inzage nodig is. Als dat kan heb je de toegangsbeveiliging die je wilt niet meer, dan kan iedereen erbij, en kom je weer uit op achteraf controleren of die toegang terecht was.

Er ligt een patiënt op een afdeling voor, laten we zeggen, een kankerbehandeling. Die behandeling is zwaar, en opeens krijgt de patiënt een hartstilstand. Daar weet men ter plaatse de allereerste hulp voor te verlenen, maar die patiënt gaat meteen met spoed door naar cardiologie of een cardioloog bij spoedeisende hulp, wat ook het meest toepasselijke is. Daar moet iemand direct het dossier in kunnen zien om te weten wat er allemaal gaande is met die patiënt en welke medicatie die allemaal krijgt.

Hoe gaat dat in de IT-security-etiquette die jij voor je ziet? Als je een securityfunctionaris nodig hebt om die toegang te regelen, is dat iemand die inhoudelijk de aanvraag kan beoordelen, zonder een medisch specialist te zijn, zonder het dossier van die patiënt zelf te mogen inzien of dat te kunnen beoordelen, zonder op dat moment te kunnen controleren of de hartstilstand echt is, en zonder dat dat vertraging oplevert in een situatie waarin elke seconde het verschil tussen leven en dood kan zijn?

Hoe zie je voor je dat dat werkt én hoe dat meer toevoegt dan de vertraging die het oplevert kost bij het redden van een leven? En heb je door dat het redden van een leven ook over veiligheid gaat?

Iemand die er in een nood situatie bijgehaald wordt is niet een werknemer op de afdeling, maar iemand gespecialiseerde kennis. Die komt niet uit het niets maar wordt er bijgehaald, dan kan ook worden aangegeven dat hij er bijgehaald is -> auth. Kan zelfs door zijn/haar pas even langs een scanner te halen.


Zij die de patient verplaatsen hebben niets anders dan een telefoon en een geeltje en krijgen opdracht om patient a naar locatie B te verplaatsen. Verder doen en kunnen ze niets met de patient.
Bij verplaatsen komt de opdracht behandelende artsen, die houden bij wat en waarom. En als die aangeven dat patien van A naar B gaat dan gaat de toegang tot het dossier ook van A naar B.

Uiteraard moet artsen en verplegers er bij kunnen in een noodsituatie. Echter in het verleden konden iig stagairs er ook gewoon in grasduinen. Dan heb je nog het probleem dat Technisch Applicatiebeheer en Database/systeembeheer er bij kunnen en in sommige gevallen een testomgeving met echte data draaien. Daar is achteraf auditing toepassen een slechte oplossing.

Mooi om te zien, dat vele eigenlijk geen idee hebben hoe een ziekenhuis nu eigenlijk werkt. Maar wel met oplossingen komen.

Typisch klaverblad advies. Iets bedenken, maar eigenlijk niet eens weten hoe iets nu eigenlijk gebruikt wordt.

Sorry maar je laat duidelijk zien, dat je niet echt begrijpt hoe een ziekenhuis werkt, hoe complex bijvoorbeeld behandelingen zijn of hoeveel medewerkers dan aan de behandeling werken.

Wie is bijvoorbeeld je behandelt arts? Die laat een bijvoorbeeld een bloedonderzoek doen. Je hebt dan zo maar met diverse afdelingen en mensen te maken. Even een longfoto en meteen ook een echo.
Second opinion, vakantie/afwezig, even overleg met de dienstdoende zuster.

Ik ben toen ik de keren in het ziekenhuis moest zijn, zeer blij met hoe effectief het ziekenhuis werkt. Blijkbaar heb jij nog nooit echt zorg nodig gehad.

Dit was juist actief en werkte perfect, daarom kwam dit naar voren.

Of jij gaat begrijpen hoe een ziekenhuis werkt? Of stopt gewoon met oplossingen te bedenken waar jij geen kennis van hebt?

Even aangegeven.... Tijdens een noodsituatie..... Je begrijpt dus echt niet hoe zorg nu eigenlijk werkt?

Of de zusters regen dit allemaal met de zusters van de andere afdeling.

er is zo een verschil tussen een medewerker van de spoedeisende hulp en een medewerker van een wille keurige zorgafdeling.

Alleen al het toegang blokkeren tot dossiers van patienten die niet op je zorgafdeling ligt scheelt al zoveel en is zo simpel te toen.

Toch wel opvallen dat degen die het hardst roepen "privacy" dat meteen vervolgen door een sleepnet te eisen voor anderen.
Privacy is kennelijk voorbehouden aan de grote ik. Big brothers in spé

Het gaat hier niet om het monitoren van zorgmedewerkers als privépersonen, het gaat om het monitoren van een specifiek aspect van hun professionele gedrag, juist om de privacy van privépersonen te beschermen. Je vergelijkt appels met peren.

Ok dan zie ik de eerste berichten al weer in de krant verschijnen omdat het schandalig is dat er iemand in het ziekenhuis is dood gegaan omdat men in een spoedsituatie niet snel genoeg bij de gegevens kon omdat de behandelend arts niet bereikbaar was (die had op dat moment een andere ongeplande spoedoperatie bijvoorbeeld).

Het probleem is dat je van te voren niet goed kunt bepalen wie, waneer toegang nodig heeft tot welke gegevens. Toegang kan op het enen moment helemaal niet nodig zijn, en op een ander moment wel.

Sleepnet: waarbij mensen worden doorgelicht die geheel niets te maken hebben met het geen wat onderzocht word. Dat dat gebeurd is van te voren duidelijk en wordt voor lief genomen.

Dus jouw vergelijking zou hout snijden als we bijvoorbeeld niet alleen de mensen met toegang tot het systeem zouden doorlichten, maar ook de overburen, de bezoekers van het ziekenhuis, de taxichauffeur die er bezoekers af zet, de kassiere van het winkeltje in de hal en het monteursbedrijf die de lift in de parkeergarage kwam maken...

De voorbeelden die je geeft geven dus precies aan waarom ziekenhuissystemen blijkbaar alleen gebouwd zijn met het functionele gedrag in het achterhoofd maar is de security en privacy niet voldoende meegenomen in het ontwerp. Enige vorm van een need-to-know aanpak lijkt te ontbreken.

Ter illustratie nav de voorbeelden die je geeft. Degene die een bloedonderzoek doet heeft zeker geen toegang nodig tot het patientendossier. Deze persoon krijgt opdracht van de arts, die aangeeft welke onderzoeken er nodig zijn, en hoeft alleen het resultaat ervan terug te leveren. Ergo, deze moet hooguit genoeg rechten hebben om de onderzoeksresultaten aan het dossier toe te voegen, maar heeft geen toegang nodig tot verdere informatie uit het dossier. Dit geldt ook voor degene die longfoto en echo's moet maken, en er eventueel een eerste beoordeling op doen.

Second opinion: op dat moment is dat ook een van de behandelaars, dus deze mag mijn dossier zien. Echter wellicht niet de resultaten van de first opinion, om beinvloeding te voorkomen.

Tijdens afwezigheid tijdens vakantie kan het dossier gewoon overgedragen worden aan de vervangend arts (met team). Lijkt me geen probleem en is niet tijd kritisch.

Voor echt tijd kritische zaken igv van een noodgeval kan altijd nog een "rode knop" procedure worden toegevoegd aan het systeem, die het dossier op dat moment vrijgeeft. Hier zal echter 100% controle op moeten zijn om (naderhand) te checken of de procedure niet is misbruikt.

Een steekproef noem ik geen monitoring (hooguit zeer beperkte monitoring). Deze zal incidenteel worden uitgevoerd en wellicht een deel van het misbruik opmerken. Waar ik banger voor ben is juist het feit dat met een steekproef al misbruik wordt gedetecteerd. Dat doet het vermoeden rijzen dat er op veel grotere schaal ongeoorloofd toegang is tot de dossiers.

Waarom steekproeven in plaats van logging & auditing ?

Minimaal maandelijks auditen op toegang zou geen issue moeten zijn voor een professionele IT organisatie.

Als er wordt gefilteerd op uitzonderingen die voorkomen dan heb je degene die geen toegang tot een dossier horen te hebben snel te pakken

Auditing & logging lost 90 % van onbevoegde toegang issues op

Er is een volledige logging op wie welke gegevens opvraagt via het LSP, die je als patient ook zelf kunt inzien. LSP staat volledig los van een dossier binnen een ziekenhuis of andere zorginstelling.
Jammer dat mensen die er blijkbaar toch niks van begrijpen toch zo de publieke opinie beinvloeden en goede zorg in het algemeen hiermee tegen gaan.
Niet tekenen voor deelname aan LSP is echt iets waar je alleen jezelf mee hebt.

Logging wel maar geen echte auditing.

Een steekproef is geen auditing !

En de logging is niet te herleiden tot een natuurlijk persoon. De pogingen die ik in de log heb gezien (en die waren mislukt vanwege niet delen van de informatie) waren onder de noemer van het ziekenhuis als geheel. Daar heb je dus helemaal niets aan.

Verder komen die gegevens dan vanuit het LSP in een ziekenhuisssysteem terecht waar de autorisaties niet op orde zijn naar mijn mening, dus helemaal los kun je die systemen niet van elkaar zien. Dus wanneer je deelt via LSP zeg je eigenlijk dat een ieder binnen de zorg bij je data mag. No way.