- 24-04-24Status.bit.nl in nieuw jasje!
- 12-04-24Nieuw bij BIT: GPU hosting
- 25-03-24BIT breidt netwerkconnectiviteit uit met aansluiting op NL-ix^2
- 13-03-24No More Leaks: Samenwerken tegen cybercriminaliteit
- 03-03-24Geen verandering twee jaar na invoering sancties tegen Russische media: FOIC roept (wederom) op tot einde van ondemocratische censuur
- 29-01-24Onzichtbare upgrades
- 16-01-24BIT's Wido Potters wint Felipe Rodriquez Award voor inzet voor privacy
- 10-01-24BIT en partners zetten de koers voor een gedecentraliseerde Europese cloud met ECOFED-project
- 02-01-24Onze eigen stroom inkopen: de resultaten van 2023
- 24-11-23BIT Friday 2023
Informatiebeveiliging in de zorg; NEN 7510 en ISO 27001
23-01-2012 11:21:31
De laatste jaren zien we opvallend veel aandacht voor certificering van de informatiebeveiliging. Diverse ISP’s en datacenters hebben zich laten certificeren, maar ook bijvoorbeeld een partij als SIDN.
Voor vrijwel elke organisatie is informatiebeveiliging in meer of mindere mate van belang. Informatiebeveiliging zorgt ervoor dat, bepaalde informatie, in de door u bepaalde vorm, voor door u bepaalde personen juist wel of juist niet beschikbaar is en dan ook nog eens wanneer u dat nodig vindt.
Om dat te bereiken dient u voor uw eigen informatie en informatie van uw klanten maatregelen te treffen. Voor zorginstellingen geldt dit in het bijzonder. Bijvoorbeeld omdat zij verantwoordelijkheid dragen over
allerlei privacy gevoelige gegevens, maar ook omdat het Elektronisch PatiëntenDossier (EPD) toch een doorstart lijkt te maken.
NEN 7510:2011
NEN 7510:2011 is dé Nederlandse norm voor informatiebeveiliging in de zorg. Deze norm is in huidige vorm actief sinds september 2011 en is gebaseerd op een aantal reeds bestaande internationale normen:
- ISO/IEC 27002:2005 (de set aanbevelingen en richtinglijnen voor informatiebeveiliging)
- ISO/IEC 27799:2006 (de norm voor informatiebeveiliging in de zorg)
- ISO/IEC 27001:2005 (de norm voor informatiebeveiliging)
NEN 7510:2011 is, in tegenstelling tot de voorganger NEN 7510:2004, wel te certificeren. Het was weliswaar mogelijk een externe toetsing uit te laten voeren om te bepalen of een instelling voldeed aan NEN 7510:2004.
Dit was dan niet een door de Raad van Accreditatie verstrekt certificaat. Certificering is ook met deze nieuwe norm niet altijd verplicht, het werken volgens de norm door zorginstellingen wel. Desondanks verwacht ik na de hoos aan meldingen over ISO 27001 gecertificeerde organisaties de komende jaren veel nieuws rondom NEN 7510 certificeringen.
ISO 27001 en NEN 7510
Het in ISO 27001 beschreven ISMS (Information Security Management System) komt één op één terug in NEN 7510. Beiden vereisen een procesmatige aanpak van informatiebeveiliging. Er moet een cyclisch proces zijn (PDCA – Plan, Do, Check, Act) voor het bepalen van beveiligingsdoelstellingen op basis van risicobeoordeling, het treffen van maatregelen en het monitoren en beoordelen van de uitkomsten. Het zijn vooral de patiëntspecifieke aanvullingen in de beheersmaatregelen uit NEN 7510 die het verschil maken met de voor ISO 27001 in ISO 27002 beschreven beheersmaatregelen.
NEN 7510 gecertificeerde bedrijven
Zorg ervoor dat informatie die u buiten de deur plaatst, ondergebracht is bij een partij waarvan u zeker weet dat zij correct en zorgvuldig omgaan met uw informatie. Partijen die ISO 27001 gecertificeerd zijn voldoen daar waarschijnlijk aan, maar let daarbij wel op het ‘toepassingsgebied’ van dat ISO 27001 certificaat en de bijbehorende toepasselijkheidsverklaring. Voor organisaties die moeten voldoen aan NEN 7510 (zorginstellingen) hoeft de keuze voor leveranciers dus niet beperkt te blijven tot NEN 7510 gecertificeerde bedrijven, want wanneer die leverancier zelf geen patiëntgegevens verwerkt is ISO 27001 afdoende.
Wilt u meer weten of informatiebeveiliging?
Neemt u dan contact met ons op via 0318 648 688 of info@bit.nl