Pingpongen met patiëntengegevens

Vorige week bewees ik dat patiëntengegevens niet veilig zijn opgeslagen. Een groep beveiligingsdeskundigen wist zonder idioot veel moeite door de beveiliging van twee ziekenhuizen heen te breken en kon naar believen in de patiëntendatabases vissen. Als je deze groep experts op andere ziekenhuizen zou loslaten, zouden ze in negen van de tien gevallen precies dezelfde resultaten behalen.

De reden? Nederland is bezig over te stappen naar een landelijk elektronisch patiëntendossier (EPD). Alle zorginstellingen zijn bezig hun patiëntendossiers voor elkaar open te stellen: huisartsen moeten de EPD’s bij ziekenhuizen kunnen bekijken, ziekenhuizen die van apothekers, enzovoorts. En waar bevoegden mogen binnenkomen, is vrijwel altijd een slinks weggetje te vinden voor onbevoegden. Patiëntgegevens worden niet versleuteld bewaard maar in klare tekst, en er zit zoveel programmatuur omheen – die EPD’s moeten namelijk steeds mooier en ingenieuzer worden – dat de software onbeheersbaar wordt.

De Inspectie voor de Gezondheidszorg, die ik een week geleden op de hoogte stelde, schrok zich en hoedje. Wat ze gingen doen om zulke lekken in de toekomst te voorkomen, vroeg ik. ‘Daar hebben we standaarden voor!’ zei de inspecteur. ‘Die werken niet, dat heb ik net bewezen,’ zei ik, ‘het gaat om volkomen nette ziekenhuizen die zich keurig aan de regels houden.’ Ondertussen weigert de Inspectie om eisen te stellen aan de software die wordt gebruikt: men vindt dat een zaak voor de markt. De Vereniging van Nederlandse Ziekenhuizen schrok eveneens maar kon of wilde niets zeggen: alles wat met het landelijk EPD te maken heeft, valt onder het Nictiz, het Nationaal Instituut ICT in de Zorg. Het Nictiz tenslotte wilde ook niks zeggen omdat ‘beveiliging van medische informatie de verantwoordelijkheid van de zorginstellingen zelf is’.

Een prachtig spelletje pingpong. Iedereen laat de ziekenhuizen in de steek, ook de overheid, die paal en perk stelt aan het geld dat ziekenhuizen mogen uittrekken voor hun automatisering. Hoe huisartsen de zaak moeten aanpakken, is helemaal een raadsel. Die hebben immers geen automatiseringsafdeling achter zich staan, geen systeembeheerder die hun computer up-to-date en virusvrij houdt, geen hoofd ICT dat helpt om de beveiliging te regelen.

De opvatting van het Nictiz is formeel juist – zij hebben immers geen zeggenschap over ziekenhuizen of huisartsen – maar in de praktijk onhoudbaar. Want de patiëntengegevens bij al die individuele zorginstellingen vormen de basis van het landelijke EPD. Het Nictiz is bezig een structuur bovenop al die huisartsen, ziekenhuizen, apothekers en verpleegtehuizen aan elkaar te knopen, maar als de onderste laag niet veilig is, kan wat daar bovenop wordt gebouwd nooit veilig worden.

Mijn hack is het derde grote incident in het afgelopen half jaar rond het EPD. In maart van dit jaar had het Spaarne Ziekenhuis in Hoofddorp te kampen met een computervirus; het gevolg daarvan was dat de poliklinieken een week lang niet of moeilijk bij de elektronische dossiers van hun patiënten kon. Veel afspraken moesten worden afgezegd. Twee weken gelden bleek dat de software die veel apotheken gebruiken om recepten te beheren en doseringen uit te rekenen, een fout bevatte waardoor bij 200 verschillende medicijnen de verkeerde dosering werd afgeleverd. En nu mijn hack, waardoor de gegevens van acht procent van de Nederlandse bevolking ineens op straat lagen.

Wie moeten ons zorgen gaan maken. We moeten nog eens heel goed nadenken hoe die invoering van dat landelijk dossier beter en veiliger kan.


Aantal reacties: 1

  1. Jos Schouten ≡ 03 Nov 2008 ≡ 11:18

    Hallo, Zaterdag een EPD formulier van minister K.link gekregen. Afgezien
    de bezwaren van de centrale opslag waar uiteindelijk de gegevens voor
    iedere belangstellende is in te zien (zorgverzekeringsmaatschappij via in dienst zijnde artsen etc)is er nog een probleem .
    Bij het dan terug sturen van je “nee”formulier moet je ook een kopie van
    je identiteitskaart of rijbewijs mee zenden.
    Wat als dit door derden wordt gebruikt om zich van jou identiteit meester te maken en zo op jouw naam aankopen doet zich voor jou uitgeeft etc
    een vervalsing met deze gegevens is zo gemaakt.Ik zal deze zaken zeker niet meesturen.
    Vriendelijke groeten
    J.Schouten

Trackbacks & Pingbacks 3

  1. From Zorgbestuur en maatschappij » Blog Archive » Cyber veiligheid in ziekenhuizen on 09 Aug 2012 at 09:21

    […] tot 1,2 miljoen patiëntgegevens en niemand merkte het. Karin heeft dit ook gemeld aan de IGZ. Lees vooral Karin’s blog daarover. Ik was erbij toen de resultaten in het Nictiz-platform werden gepresenteerd en was verbaasd hoe […]

  2. From Bestuurders moeten tegenkracht organiseren on 16 Jan 2017 at 15:51

    […] tot 1,2 miljoen patiëntgegevens en niemand merkte het. Karin heeft dit ook gemeld aan de IGZ. Lees vooral Karin’s blog daarover. Ik was erbij toen de resultaten in het Nictiz-platform werden gepresenteerd en was verbaasd hoe […]

  3. From Cyber-veiligheid in ziekenhuizen on 17 Oct 2017 at 13:30

    […] tot 1,2 miljoen patiëntgegevens en niemand merkte het. Karin heeft dit ook gemeld aan de IGZ. Lees vooral Karin’s blog daarover. Ik was erbij toen de resultaten in het Nictiz-platform werden gepresenteerd en was verbaasd hoe […]

Schrijf een reactie

E-mail adressen worden niet getoond noch aan derden doorgegeven.
Verplichte velden zijn gemarkeerd met een *