Hoe beveilig je patiëntengegevens? Het UZ Leuven aan het woord
Bij “security” denken we vooral aan de beveiliging van grote bedrijven, of zelfs je eigen gegevens. Maar hoe beveilig je een ziekenhuis, met duizenden gevoelige gegevens? Valérie Deridder sprak met Bart Van den Bosch en Thomas Noppe van het Universitair Ziekenhuis in Leuven over hoe het UZ Leuven zijn gevoelige data beschermt.
UZ Leuven gebruikt daarvoor de klinische software KWS, een software die meer dan 20 jaar geleden werd ontwikkeld en die ondertussen marktleider is met 46 procent van de markt. Nexuzhealth commercialiseert die hele toepassing dan weer.
In de eerste plaats is er de statische toegangscontrole, het applicatieve niveau. Die statische toegangscontrole wordt bepaald door welke rol je hebt in de maatschappij. Zo kan je arts meestal je gegevens inkijken. Een verpleegkundige kan bijvoorbeeld een verslag noteren, maar de validatie van dat verslag moet bijvoorbeeld door een arts gebeuren.
Dan is er ook nog de dynamische toegangscontrole. Zo verandert je toestemming al naargelang de situatie. Een gastro-enteroloog kan dan misschien wel het dossier van de heer Peeters inkijken, als diezelfde patiënt een hartprobleem heeft, mag een cardioloog ook je gegevens inkijken. Kort gezegd gaat het dus om relevantie. Dat alles zit ingebakken in KWS.
Applicatieve security is echter niet de enige beveiliging die de UZ Leuven gebruikt in hun strijd tegen hackers. Zo maakt het UZ ook gebruik van verschillende tools tegen virussen en malware zoals FortiGate en Splunk en wordt er ook samengewerkt met ethische hackers. Die ethische hackers doen overigens niet aan social engineering, maar kijken of er momenteel reële bedreigingen zijn.
Social engineering past het UZ Leuven zelf wel toe. Zo werd er ooit intern een hele phishingcampagne op poten gezet om ziekenhuismedewerkers op de hoogte te brengen van de gevaren van phishingmails. Die campagne werd overigens onthaald op heel wat positieve reacties van de medewerkers ook al zaten er heel wat moeilijke e-mails tussen, met gespoofte e-mailadressen bijvoorbeeld. Op den duur werd er zelfs een spelletje van gemaakt, waarbij de persoon die niet in de e-mails was getrapt, “gewonnen had”. Of hoe beveiliging ook leuk kan zijn.
Als je meer wil weten over de gegevensbeveiliging van ziekenhuizen, kom dan vooral op 12 juni naar de Cyber Security Summit van Heliview.
Bron: Techpulse.be