Securityeisen voor mijnCaress

Eind 2021 was de hele wereld in de ban van Log4j2. Een beveiligingsissue in Apache met een gevaarscore 10 uit 10  op het CVSS systeem. Bii deze kwetsbaarheid waren kwaadwillenden in staat om via logging de gehele server van organisaties over te nemen. Een zeer groot aantal bedrijven liep daarmee het risico om gehackt te worden wanneer niet tijdig een nieuwe versie van Log4j2 geïmplementeerd zou worden.  

En wat dacht je van de oorlog tussen Rusland en Oekraïne en de dreigende cyberoorlog? Een cyberoorlog wordt gezien als een nieuwe manier van oorlogsvoering waarbij op afstand, in potentie, grote delen van de maatschappij plat gelegd kunnen worden. Denk bijvoorbeeld aan aanvallen op onze stroomvoorziening of betaalverkeer.  

Deze ontwikkelingen laten meermaals zien dat investeren in een gedegen informatiebeveiligingsbeleid van cruciaal belang is. Voor onze Care markt kan dit zelfs van levensbelang zijn. Maar wat doet PinkRoccade Care eigenlijk aan de beveiliging van de gegevens in mijnCaress? Wat kunt u als zorginstelling doen om te zorgen dat cliëntgegevens zo veilig mogelijk zijn in mijnCaress? 

De veiligheid van cliëntgegevens staat bij PinkRoccade Care hoog in het vaandel. Daarom nemen wij tijdens de ontwikkeling van mijnCaress maar ook tijdens de exploitatie van mijnCaress diverse maatregelen. 

Security eisen voor mijnCaress 

De eerste stap naar een veilig elektronisch cliëntendossier wordt al genomen nog vóórdat de eerste regel code van mijnCaress geschreven is: het moment waarop ontwerpers en architecten nadenken over de eisen en wensen voor nieuwe functionaliteiten. Daarin nemen zij ook onze security requirements in mee. Dit is een lijst met eisen voor informatiebeveiliging van mijnCaress. Deze lijst met eisen wordt niet alleen door PinkRoccade Care gebruikt, maar door alle business units die vallen onder het bedrijf PinkRoccade Healthcare. Daarmee gelden deze security eisen dus ook voor PinkRoccade Hosting Services.  

Elke twee jaar worden de security requirements opnieuw onder de loep genomen. Dit doen we niet zelf, maar dit besteden wij uit aan security experts van een onafhankelijk en gerenommeerd security bedrijf. Zij stellen dit document op op basis van internationaal geldende standaarden voor informatiebeveiliging. Denk daarbij aan eisen voor het veilig kunnen inloggen en een veilige connectie tussen front-end en backend.  

Niet alleen op PinkRoccade Healthcare niveau, maar ook op het niveau van ons moederbedrijf Total Specific Solutions (TSS) en Constellation Software (CSI) worden eisen gesteld aan het informatiebeveiligingsniveau van mijnCaress. Deze eisen worden elk kwartaal getoetst in een interne audit.  

Security testen door een onafhankelijke en gerenommeerde organisatie 

Security testen uitvoeren op een systeem met veel gevoelige gegevens is een belangrijke en specialistische klus. Hiertoe huren wij een gerenommeerde en gespecialiseerde organisatie in. Voordat wij een release uit brengen, zorgen wij dat de software is onderworpen aan een zogenaamde attack & penetratietest (A&P test). Geen enkele major release verlaat de ontwikkelafdeling zonder dat deze organisatie een A&P test heeft uitgevoerd. De A&P testen zijn onderdeel van een jaarlijkse cyclus bestaande uit één integrale en 2-3 incrementele testen.  

Eenmaal per jaar wordt er een A&P test uitgevoerd op de gehele mijnCaress suite. Dit is een zeer uitgebreide test waarbij elke applicatie, vanuit informatiebeveiligingsperspectief, onder de loep wordt genomen. Daarbij wordt ook gecontroleerd of de security requirements op de juiste manier en consequent zijn geïmplementeerd in de software. Doorgaans plannen we deze test voor de release waarin grote wettelijke wijzigingen (iWLZ of iWMO) zijn opgenomen. Dit is immers de major release die vrijwel alle zorgorganisaties in gebruik zullen nemen.  

De daaropvolgende major releases worden onderworpen aan een zogeheten incrementele A&P test. Het doel van deze test is beoordelen of de nieuw ontwikkelde functionaliteiten nog wel aan de informatiebeveiligingsstandaarden voldoen, zodat er geen nieuwe security problemen opgeleverd worden. Bovendien beoordeelt deze onafhankelijke organisatie ook de ingebouwde oplossingen voor reeds eerder gevonden security bevindingen.   

Continu security testen tijdens ontwikkeling 

De trend binnen de ontwikkelafdeling van mijnCaress is om zoveel mogelijk kwaliteit en controle van de software tijdens het ontwikkelen van de functionaliteiten uit te voeren. Hierdoor zouden wij nog vaker en nog eerder in het ontwikkelproces de feedback ontvangen én op een minder arbeidsintensieve manier. De invoering van incrementele A&P testen hebben de feedbackcyclus al aanzienlijk verkort, maar dit kan nóg korter. Onlangs zijn wij daarom gestart om A&P testen op geautomatiseerde wijze op te nemen in ons ontwikkelproces. Er is een Proof of Concept gestart voor onze API. Door een uitbreiding van onze testautomatisering kunnen wij o.a. controles uitvoeren op authenticatie en autorisatie. De organisatie die onze A&P testen uitvoert, ondersteunt ons bij deze implementatie zodat het informatiebeveiligingsniveau van mijnCaress op orde blijft.  In de komende periode zullen wij meer van dit soort concepten onderzoeken en waar mogelijk implementeren in ons ontwikkelproces.  

Door deze aanpak zijn wij continu zo goed als mogelijk op de hoogte van eventuele beveiligingsrisico’s in de software en dichten wij de belangrijkste potentiële beveiligingslekken. 

Ook ontwikkelgereedschappen kennen beveiligingsrisico’s 

In het ontwikkelproces gebruiken wij diverse ontwikkelgereedschappen; frameworks, tools en servers. Ook deze gereedschappen kennen potentiële beveiligingslekken. Wij voeren een actief update beleid; wij zorgen waar mogelijk dat we altijd de meest recente versies gebruiken en het beveiligingsrisico zo laag mogelijk is. Het werken met actuele versies van deze software leidt ook nog eens tot stabielere software! 

Wat nou als er toch sprake is van een (potentieel) datalek? 

Ondanks alle maatregelen vooraf kan het toch voorkomen dat er sprake is van een mogelijk datalek. In dat geval hebben wij een standaard protocol over hoe wij hier mee om gaan. Onderdelen van dit protocol zijn hoe wij het onderzoek uitvoeren, wie hierbij betrokken is, welke onderzoeksvragen gesteld worden en hoe wij onze klanten hierover informeren.