De verloren usb-stick is bijna het klassieke voorbeeld van hoe patiëntgegevens in verkeerde handen kunnen vallen. Onlangs nog mocht een Amerikaans ziekenhuis – het Oregon Health & Science University Hospital – op massale belangstelling rekenen nadat het een usb-stick met daarop de gegevens van 14.000 patiënten was kwijtgeraakt. Het apparaatje werd begin juli per ongeluk door een werknemer meegenomen in een tas die vervolgens bij een inbraak werd gestolen. De usb-stick bleek niet te zijn versleuteld, wat op zichzelf al een doodzonde is…
Zelfs als de dieven besluiten om de usb-stick ongezien in de Grote Oceaan te gooien, dan nog is de reputatieschade voor het ziekenhuis niet te overzien. Als de inbrekers de usb-stick wel aan een grondige inspectie onderwerpen, dan komen ook de zeer vertrouwelijke patiëntgegevens in gevaar. Medische gegevens van patiënten kunnen zelfs een commerciële waarde vertegenwoordigen als het gaat om kostbare medicijnen, behandelingen of behandelmethodes.
Mobiele apparaten
Gelukkig is encryptie gemeengoed aan het worden en komt het steeds minder vaak voor dat traditionele usb-sticks onversleuteld rondslingeren. Een positieve ontwikkeling die helaas volledig teniet wordt gedaan door de stormachtige opmars van slimme mobiele apparaten zoals smartphones en tablets. Deze ‘super-usb-sticks’ worden niet zelden via de personeelsingang binnengesmokkeld en vergroten de kans op verlies of diefstal van patiëntgegevens verder. Werkt u op uw geliefde iPhone en iPad al met apps waarin encryptie wordt toegepast? Zeker niet iedereen! Dropbox en andere filetransfervarianten om eenvoudig patiënt- of bedrijfsgegevens te kopiëren naar tablet of smartphone zijn helaas beter ingeburgerd.
Controleverlies
De toenemende mobiliteit vergroot niet alleen het risico op gegevensverlies of -diefstal, maar zorgt er ook voor dat zowel patiënten als zorgverleners de controle over gegevens verliezen. Waar ‘vroeger’ in een mapje aan het voeteneinde van het bed werd bijgehouden welke pillen patiënt Jansen moet krijgen, zwerft die informatie nu ook door het ziekenhuis op mobiele devices. Welke informatie is het meest accuraat?
In dit verband moet ik denken aan een brief die ik onlangs van mijn huisarts ontving. De praktijk vraagt mij toestemming om informatie te delen met andere zorginstanties. De brief gaf mij het gevoel dat ik zelf de controle heb over mijn gegevens. Maar als mijn persoonlijke gegevens vervolgens bij die instanties gaan rondzwerven is die controle maar schijn. Papieren en digitale dossiers worden door elkaar heen gebruikt omdat de ene professional wel digitaal werkt en de andere niet en ze niet allemaal digitaal verbonden zijn. Er is niet één centrale bron voor mijn gegevens.
Bewustwording
Natuurlijk moeten we ook de zegeningen van de mobiele gadgets tellen. Door apps slim in te zetten kun je wel degelijk de dienstverlening verbeteren. Maar daarbij is het wel goed om na te denken over de manier waarop informatie op bijvoorbeeld een tablet terechtkomt en hoe die informatie daar ook blijft. Medewerkers van zorginstanties moeten zich er bewust van worden dat door de toenemende ‘enterprise mobility’ anders wordt omgegaan met informatie. Die bewustwording is te creëren met behulp van zogenoemde ‘awareness-trainingen’.
Ook patiënten moeten kritisch blijven op de manier waarop zorgverleners met patiëntgegevens omgaan. Het kan absoluut geen kwaad om kritisch te kijken naar de wijze waarop met jouw privacygevoelige informatie wordt omgegaan. Wellicht een taak voor patiëntenorganisaties om zo snel mogelijk patiënten te mobiliseren. Zij kunnen ervoor zorgen dat mobiele epd’s nog even in de koelkast worden gezet totdat ze goed zijn doorontwikkeld en ge-audit.
Bastiaan Schoonhoven, Marketing Manager bij Motiv
Ook met Hageman eens.
nieuwe mogelijkheden en ook nieuwe wensen uit de samenleving: de Patiënt wil meer controle. De oplossing is simpel: EPD via een patiënt inlog/ patiënt portaal. De huisarts beheert de gegevens en de patiënt kan alleen maar inzien, niet muteren. Niet diefstal gevoelig omdat het maar om een patiënt gaat.
Beste iehels angels, jullie gaan NIET jullie eigen carriere, c.q. portemonnee pluggen ten koste van mijn privacy en die van mijn patienten.
Het gaat echt niet gebeuren.
( Ooit stilgestaan bij het feit dat uiteindelijk niet een ICT’er of zorgvisionair-goeroe beslist wat er tussen arts en patient gebeurt, maar arts, c.q. patient zelf ? )
Helemaal met Hageman eens. Innoveren is risico’s nemen. Je bewustzijn van die risico’s is belangrijk maar het mag de innovatie niet in de weg staan. Dus ga door met innoveren!!!!
Wordt het niet eens tijd dat we gaan denken vanuit de mogelijkheden in plaats vanuit de belemmeringen? De opmars van slimme mobiele apparaten is niet meer te stoppen. In plaats van nu weer allemaal belemmeringen te gaan bedenken kunnen we beter nadenken hoe we daarmee zo snel mogelijk innovatie in de zorg vorm gaan geven. Dat daarbij wel eens iets mis zal gaan met de beveiliging moeten we gewoon incalculeren want dat is toch niet te voorkomen en vaak ook veel minder erg dan we doen voorkomen.
Het lijkt er op dat deze marketing manager graag zijn eigen beveiligingsoplossing wil pluggen. Dit is FUD wat hij vertelt en heeft niets met goede beveiligingsoplossingen te maken.
De term mobiele EPD wordt ook verkeerd gebruikt, de data staat gewoon centraal bij een ziekenhuis EPD en een mobile device kun je eenvoudigweg veilig een verbinding laten maken. Een ‘Mobiel EPD’ gaat uit van data die je zelf bijhoudt op bv een smartphone en evt kunt uploaden naar een centraal EPD. Ga eens in de USA kijken hoe ze daar werken, zat voorbeelden. Of je nu een mobiele app gebruikt of een vaste opstelling maakt voor de manier waarop de data is vastgelegd geen verschil. Alle data die op een scherm leesbaar is, is immers altijd te kopiëren. Desnoods via een print screen.
Wellicht weet deze mijnheer ook niet dat er jaarlijks vele tienduizenden Cd’s met medische data worden gemaakt als ‘uitwisseling’ tussen ziekenhuizen, zonder enige encryptie en dat duizenden daarvan zoek raken of rondslingeren…
Of een man-in-the-middle wanneer geen encryptie is toegepast en informatie tussen twee communicerende partijen wordt onderschept. Voor zorginstellingen van belang om uitvoering te geven aan NEN7510, de norm voor informatiebeveiliging.
Desondanks blijven ook met een webbased applicatie kopieermogelijkheden als ctrl+c, ctrl+v mogelijk. Waarmee gebruikers van een applicatie altijd wel de mogelijkheid hebben om gegevens te extraheren.
Met een webbased applicatie kun je de medische applicatie overal gebruiken. Lokaal staat geen data en kun je het ook niet verliezen.