In een theoretische setting is er altijd wel een lek te bedenken voor een informatiesysteem zoals het EPD. Maar vergeet niet dat papieren dossiers nu ook voor het opscheppen liggen.

In het artikel ‘EPD is lek omwille van de bruikbaarheid’ van 26 maart wordt een onderzoek aangehaald van de Universiteit van Amsterdam waaruit zou blijken dat het elektronisch patiëntendossier (EPD) onveilig is. Het belangrijkste manco zou gelegen zijn in het autorisatiemechanisme, de component die beoordeelt of iemand bevoegd is om bepaalde patiëntgegevens in te zien. Alleen iemand die een behandelrelatie heeft met een patiënt mag de gegevens inzien. Dat is meestal een arts, maar het kan ook iemand zijn aan wie de arts zijn of haar bevoegdheden heeft gedelegeerd. Dit machtigingssysteem zou niet deugen, omdat iemand in het betreffende computerscherm een willekeurige naam als gemachtigde kan invullen, zonder dat de mandaterende arts hiervan op de hoogte is. Een controlemechanisme ontbreekt.

Laten we ons eens een dergelijk scenario voorstellen. Stel, het EPD is ingevoerd en een corrupte ziekenhuismedewerker is uit op de medische gegevens van een bekende Nederlander. Wat zou die persoon moeten doen om die gegevens te achterhalen? Allereerst zou hij een UZI-pas van iemand moeten zien te bemachtigen, de pas waarmee toegang tot het EPD kan worden verkregen. Zo’n pas moet dan ergens rondslingeren – niet ondenkbaar, want het risicobewustzijn in de zorg is laag – maar de bijbehorende PIN-code is eveneens nodig. Die moet dus achterhaald worden.

Wanneer deze obstakels – UZI-pas en PIN-code – genomen zijn, kan de corrupte medewerker zich op een stil moment aanmelden, zichzelf valselijk mandateren om vervolgens de benodigde gegevens buit te maken. Dan zijn er echter ook nog het loggingmechanisme van het EPD en een keur aan forensische technieken, waarmee achteraf kan worden nagegaan wie wanneer welke gegevens heeft benaderd. De corrupte medewerker doet er daarom verstandig aan zichzelf tevoren een alibi te verschaffen. Al met al moet er sprake zijn van een behoorlijke investeringsbereidheid. Voor een kwaadwillende van buiten de deuren van de zorginstelling zou dit allemaal nog een heel stuk lastiger zijn.

Wie zou de opdrachtgever kunnen zijn van een corrupte medewerker in de zorgsector? Een boulevardblad dat wil weten welke operaties een bekende Nederlander heeft ondergaan? Een groepering die wil weten of een politieke tegenstander in behandeling is geweest voor een psychische aandoening? Een werkgever die benieuwd is naar de medische voorgeschiedenis van een nieuwe medewerker? Op het eerste gezicht allemaal denkbare scenario’s.

Maar waarom zijn dergelijke gevallen ons nu dan nauwelijks bekend? Op dit moment – nu er nog geen EPD is – is het namelijk veel gemakkelijker om aan vertrouwelijke patiëntgegevens te komen. Papieren dossiers liggen letterlijk voor het opscheppen, veel pc’s in zorginstellingen voldoen nog lang niet aan de moderne beveiligingseisen en het risicobewustzijn bij zorgverleners, zoals al eerder is aangehaald, is laag. Uit diverse onderzoeken is gebleken dat het in veel zorginstellingen vrij eenvoudig is om gerichte informatie te verkrijgen met behulp van social engineering, het door middel van een truc of smoes ontfutselen van vertrouwelijke informatie.

In een theoretische setting is er altijd wel een lek te bedenken voor een informatiesysteem. Maar dat zegt nog niets over de praktische uitvoerbaarheid en waarschijnlijkheid ervan. Bovendien, tegen corrupte medewerkers is vrijwel geen enkel informatiesysteem bestand. Verreweg de meeste creditcardgegevens worden gestolen door interne medewerkers van bedrijven die die gegevens opslaan en verwerken, niet door onveilige websites of internetverbindingen. In de zorgsector daarentegen blijkt corruptie, althans in dit verband, geen significant fenomeen. Feit blijft dat het EPD, vergeleken met de huidige situatie, een grote stap vooruit is in het veilig verwerken en uitwisselen van patiëntgegevens. Verbeteringen zijn zeker mogelijk, maar dat mag de invoering ervan niet in de weg staan.

BRON: http://www.nrc.nl/
DATUM: 9 april 2010
AUTEUR: Dr. Rob van der Staaij, adviseur bij Atos Origin op de terreinen risicomanagement, privacy en identiteitsmanagement. Hij was aanwezig bij beide hoorzittingen over het EPD in de Eerste Kamer.