Gevoelige informatie, waaronder patientendossiers, niet veilig bij de Nederlandse Zorgautoriteit
Medische gegevens en gevoelige informatie van zorgverzekeraars en zorgverleners, waaronder patientendossiers, zijn niet veilig bij de Nederlandse Zorgautoriteit (NZa).
Bezwaarschrift
Dit blijkt uit het bezwaarschrift van maar liefst 600 pagina’s geschreven door bedrijfseconoom Arthur Gotlieb, senior beleidsmedewerker bij de NZa. In het dossier, dat in handen is van het NRC, beschrijft Gotlieb hoe hij jarenlang geprobeerd heeft de misstanden intern aan de kaak te stellen en hoezeer hij op tegenstand stuitte. In januari leverde Gotlieb zijn bezwaarschrift in bij de directie van de NZa waarna hij zelfmoord pleegde. Gotlieb was sinds 2000 werkzaam bij de NZa.
De NOS meldt op haar website dat allerlei gevoelige informatie waaronder patiëntendossiers, tariefbeschikkingen, bezwaarschriften, onderzoeksrapporten, foto's, geluidsopnamen jarenlang vrij toegankelijk waren voor al het personeel van de Nederlandse Zorgautoriteit, inclusief vakantie- en uitzendkrachten. Er was geen enkele vorm van beveiliging.
Gotlieb trof onder andere aan:
* 96 complete patiëntendossiers * kopieën van bankpassen met pincodes * loonstroken * 150 geluidsopnamen van vergaderingen * 300 tariefbeschikkingen * 600 nacalculaties * 700 verweerschriften * 2750 bestanden over bezwaarzaken * 10.000 foto's * mailarchieven van Outlook * 832 powerpoint-presentaties * marktscans en onderzoeksrapporten * bijna 14.000 juridische stukken Op het interne netwerk van de NZa stonden ook illegaal verkregen speelfilms en meer dan 2.000 niet-rechtenvrije e-boeken. Het College Bescherming Persoonsgegevens is niet door de NZa geïnformeerd over problemen.De NZa zegt tegen het NRC maatregelen te hebben genomen om de informatie beter te beveiligen. “Het is niet goed gegaan en valt niet goed te praten. Ik betreur het”, aldus bestuurslid Eitel Homan, verantwoordelijk voor de ICT.
Onderzoek
Minister Schippers van VWS heeft gisteren een onderzoek door een onafhankelijke commissie onder leiding van Hans Borstlap, oud-topambtenaar en lid van de Raad van State, naar de ICT-beveiliging van de NZa aangekondigd.
Erg jammer dat dit zomaar gebeuren kan er geen haan naar kraait.
Dat de zorg anders moet is duidelijk, dat dat van boven naar onder zou moeten gaan lijkt me evident.
Helaas vindt Den Haag dat gemeenten het maar uit moeten zoeken, fijn dat daar de dossier-veiligheid wél gegarandeerd is... *kuch*
Triest.
Bankrekeningnummer is nog tot daar aan toe, maar een kopie pas?
Nog erger pincode!!!
Klinkt als een prutsende IT afdeling dat absoluut niets weet van file en folderpermissies.
Eén ding valt me op: de betrokken driveletters (V en W) zitten hoog in het alfabet. Dat suggereert dat er de nodige andere driveletters in gebruik zijn, en die zijn dan voor zover we weten niet problematisch. Zijn het misschien relatief late toevoegingen aan een systeem dat wél goed was ingericht? Waarom zijn die gedaan? Waren de IT'ers prutsers of hebben ze keihard van hogerhand de opdracht gekregen te stoppen met dwarsliggen? Wie weet was Arthur Gotlieb wel niet de enige die zich eraan stoorde en geen gehoor vond voor zijn zorgen. We weten het niet, maar het plaatje kan een stuk ingewikkelder zijn dan simpelweg prutsende IT'ers.
Er zijn richtlijnen zoals:
http://www.noraonline.nl/wiki/NORA_online waar ook veel terug te vinden is op https://www.ncsc.nl/.
Het komt er neer dat ISO27k verplicht is voor overheidsinstanties.
Het houdt in dat het bewustzijn voor een veilige informatieverwrking (ISO27001 http://nl.wikipedia.org/wiki/ISO/IEC_27001) op het niveau van het top management aanwezig dient te zijn. En dat het hun taak is dat het in de organisatie verder gedragen moet worden.
Als je de berichtgeving goed gelezen hebt is het falen beter gezegd het willen negeren en in de doofpot willen stoppen
Dat is het grootste issue waar het om draait. Het gaat niet om de techniek.
- als dit zo langdurig heeft kunnen voortduren,
- een auditor er iets over meldt.
- er een klokkeluider verhaal is die er onderdoor gegaan is.
- op zich vrije lauwe reacties vanuit de gemeenschap.
Stel dan de vraag of dit de enige instantie is waar het bij de informatieverwerking/beveiliging zo werkt.
Het kon wel eens veel breder spelen.
...Zijn het misschien relatief late toevoegingen aan een systeem dat wél goed was ingericht? Waarom zijn die gedaan? Waren de IT'ers prutsers of hebben ze keihard van hogerhand de opdracht gekregen te stoppen met dwarsliggen? Wie weet was Arthur Gotlieb wel niet de enige die zich eraan stoorde en geen gehoor vond voor zijn zorgen.
Maar de eerste de beste manager die dat tegen mij zegt, heeft heel wat uit te leggen.
Misschien dat er een angstcultuur heerst o.i.d. (ik sta te gokken hier, dit is niet onderbouwd).
Een aantal jaar geleden gebruikten wij ook lage letters voor de shares (vanaf F:).
Users meldden steeds problemen omdat usb-sticks steeds meer gemeengoed werden en deze sticks pakten de eerste de beste vrij letter. Als die stick aangesloten was voordat de shares werden gemapped (via loginscript), kreeg je dus conflicten.
Met hoge letters voorkom je dat.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.