m sectie 6 is van toepassing op alle gebruikers van IT infrastructuur. Sectie 7 en 8 richt zich tot gebruikers met een IT functie

Beleidsrichtlijn

Beveiliging en integriteit van elektronische informatie, gebruikersbeheer en autorisaties

1. Toepassingsgebied Deze policy is van toepassing op de gehele OLV IT infrastructuur en op alle gebruikers van de OLV IT infrastructuur. En dit ongeacht of ze rechtstreeks binnen OLV op het netwerk connecteren of een externe toegang gebruiken. Sectie 1 t/m sectie 6 is van toepassing op alle gebruikers van IT infrastructuur. Sectie 7 en 8 richt zich tot gebruikers met een IT functie.

2. Situering van deze policy De volledige beveiliging van elektronische gegevens binnen OLV wordt verzekerd door een set van policies die alle organisatorische, elektronische en fysieke beveiligingsaspecten omvatten. De hier volgende policy dekt, samen met de verwante IT policy “Discretieplicht” de elektronische beveiliging. De fysieke beveiliging van zowel elektronische als fysieke informatie valt onder de verantwoordelijkheid van de dienst “preventie en veiligheid” en wordt niet door het IT departement beheerd. Papieren archieven zijn niet in scoop. De inhoud van het medisch dossier en zijn toegangen worden in 2 aparte MOI policies beschreven.

3. Doelstelling van deze policy Deze policy heeft voornamelijk (maar niet uitsluitend) tot doel er voor te zorgen dat de elektronische informatie binnen/eigendom van/beheerd door OLV 1) beschermd is tegen beschadiging, verlies of ontvreemding 2) steeds consistent, volledig en actueel is 3) in noodgevallen toch beschikbaar blijft voor de gebruikers 4) gebruikersbeheer en toegang tot elektronische data goed beheerd wordt door a. te zorgen dat enkel de ertoe gerechtigde personen toegang verkrijgen tot het netwerk, de IT infrastructuur en de IT applicaties van het OLV. b. Te zorgen dat gebruikers van een IT applicatie binnen deze toepassing enkel de taken kunnen uitvoeren waar ze vanuit hun functie in de organisatie toe geautoriseerd zijn. Deze autorisatie geldt op de volgende dimensies: i. Tot welke soort gegevens heeft een gebruiker toegang? ii. Welk type toegang heeft hij tot deze gegevens (creëren, wijzigen, lezen, verwijderen, printen) iii. Beide vorige dimensies steeds in combinatie met een derde dimensie: voor welke organisatorische eenheid of in kader van een therapeutische relatie.

Dit document is 24u geldig vanaf printdatum en –uur. Geprint op: 3/09/2015 11:15

Pagina 1 van 11

4. Gerelateerde documenten & referenties     

Joint Commission International Accreditation Standards for Hospitals 5th Edition 2014 OLV policy “Discretieplicht” Policy gebruik sociale media door OLV-medewerkers en artsen Privacy wetgeving Wetgeving patientenrechten.

5. Rollen en verantwoordelijkheden De beheersorganisatie van de OLV ICT infrastructuur omvat de volgende rollen.

5.1

Comité Informatieveiligheid

Het comité informatieveiligheid is een multidisciplinair comité dat waakt over de informatieveiligheid van het ziekenhuis. Dit comité wordt aangestuurd door de algemene directeur.

5.2

IT management

Het IT management is verantwoordelijk voor het correct beheer en beveiliging van elektronische informatie en de ICT infrastructuur. Zij documenteert beslissingen in kader van uitzonderingen. Ze is ook verantwoordelijk voor de sensibilisering van gebruikers. IT management stelt via een jaarlijkse review prioritaire werkpunten en formuleert hieruit een verbeterplan Met deze aanpak wordt een duurzame invoering van de IT policy beoogd. IT management rapporteert hiervoor aan het Comité informatieveiligheid. De taken van het IT management worden in de eerste plaats op genomen door manager infrastructuur en ICT directeur.

5.3

Informatieveiligheidsconsulent

De veiligheidsconsulent adviseert de algemeen directeur en medisch directeur omtrent alle aspecten van de informatieveiligheid. Hij brengt de verschillende verantwoordelijkheden inzake veiligheid (preventie, toezicht, opsporing en verwerking) duidelijk in kaart. In zijn adviserende functie biedt hij garantie binnen de organisatie op vlak van informatieveiligheid en de bescherming van de persoonlijke levenssfeer bij de verwerking van persoonsgegevens betreffende de patiënten, in het bijzonder van gezondheidsgegevens, en medewerkers, alsook andere bedrijfsinterne informatie. Hij stelt voor de algemeen directeur en medisch directeur een ontwerp van veiligheidsplan op.

5.4

Systeemadministrators

De systeemadministrators vormen een team binnen de IT afdeling die verantwoordelijk zijn voor het technisch beheer van de OLV back-end hardware en het beheer van de Active Directory Accounts. Samen met de netwerkbeheerders staan de systeemadministrators in voor de technische beveiliging van ICT infrastructuur.

5.5

Netwerkbeheerders

De netwerkbeheerders vormen een team binnen de IT afdeling die verantwoordelijk zijn voor het technisch beheer van het OLV netwerk en de verbindingen ervan met de buitenwereld. De technische beveiliging is een belangrijk onderdeel van hun takenpakket.


Pagina 2 van 11

5.6

Applicatieverantwoordelijken

De applicatieverantwoordelijke van een IT toepassing is de medewerker binnen het ziekenhuis die verantwoordelijk is voor de applicatie: doel, scope, key-users, wijzigingen, continuiteit, …. Hij/zij is onder andere ook verantwoordelijk voor het correcte gebruik van de toepassing: juiste toegangen en autorisaties, opgeleide gebruikers, correcte inhoud, …. Bij grote IT toepassingen kan het nodig zijn om meerdere applicatieverantwoordelijken aan te wijzen. Elk van hen is dan verantwoordelijk voor een “domein” of een “module” binnen de toepassing. In het kader van deze policy zijn zij ervoor verantwoordelijk dat de in appendix 1 van dit document beschreven principes toegepast worden voor hun applicaties.

5.7

Applicatiesupport

Deze omvatten de verschillende teams binnen de IT afdeling die de technische ondersteuning voor IT toepassingen leveren. Applicatiesupport beheert de gebruikersaccounts binnen IT toepassingen en de autorisaties binnen de IT applicaties.

5.8

Key-users

De keyusers zijn het eerste aanspreekpunt voor de eindgebruikers van een IT applicatie op het gebied van ondersteuning en opleiding. Onderdeel van die verantwoordelijkheden zijn - Assistentie bij het indienen van de aanvraag voor nieuwe of gewijzigde autorisaties - Het opleiden van de eindgebruiker over de functionaliteit waar hij toegang tot heeft

5.9

IT Servicedesk

Elke aanvraag om toegang tot het netwerk of tot een door IT beheerde applicatie en elke aanvraag om de autorisaties binnen een IT beheerde applicatie te wijzigen moet gelogd worden en zal daarom steeds elektronisch via de IT Servicedesk verlopen (cfr 6.1). De IT Servicedesk zal de aanvragen ter uitvoering toewijzen aan de applicatiesupport, netwerkbeheerders of systeemadministrators. Voor departementale systemen wordt een uitzondering gemaakt. De accounts en autorisaties worden vaak beheerd door de applicatieverantwoordelijke en keyusers.


Pagina 3 van 11

6. Gebruik [Doelgroep: alle gebruikers] 6.1 Toegang Voor de logische IT-toegang en beveiliging proces wordt er onderscheid gemaakt tussen vier groepen gebruikers: 1. Werknemers 2. Niet-werknemer medewerkers: Deze groep omvat alle medewerkers die werken onder een specifiek samenwerkingscontract verschillend van regulier personeelscontract. Deze groep omvat medische staf, studenten, vrijwilligers, ... 3. externe gebruikers: Deze groep omvat alle medewerkers van externe bedrijven die werken in opdracht van de gebruikersorganisaties. 4. klant-gebruikers: Deze groep omvat patiënten en hun zorgverleners (verwijzende artsen, therapeuten, thuiszorg, ...). Voor elke gebruiker, uitgezonderd klant-gebruikers, wordt een persoonlijk account aangemaakt. Deze account geeft toegang tot OLV IT infrastructuur. Voor elke applicatie krijgen de gebruikers een gebruikersaccount met wachtwoord en telkens per applicatie de benodigde autorisaties. De geldigheidsduur van login van ‘niet-werknemer medewerkers’ en ‘externe gebruikers’ is beperkt in de tijd. Indien contractduur gekend is, wordt login afgesloten na duur van contract. Indien contractduur niet gekend is, wordt deze ingesteld op max 1 jaar. Voor werknemers wordt hun account afgesloten na beëindiging van hun contract. Voor gebruikersgroepen 2 t/m 4 is bij aanvraag van account de relatie of functie 1 met OLV verplicht. Voor externen is ook de firma naam verplicht. Elke niet-werknemer medewerker (uitgezonderd medische staf) en externe medewerkers staan steeds onder de begleiding2 van een OLV personeelslid. Alle gebruikers dienen volgende basisprincipes omtrent logins en wachtwoorden te respecteren. o Wachtwoorden zijn strikt persoonlijk en strikt vertrouwelijk. o Wachtwoorden mogen nooit worden doorgegeven aan anderen en mogen nooit worden opgeschreven. o Elke gebruiker is verantwoordelijk voor wat er onder zijn of haar persoonlijke login gebeurt. o Gebruikers mogen persoonlijke en professionele wachtwoorden niet door elkaar gebruiken.

Aanvragen van accounts en toegangsrechten De aanvraag van een account wordt elektronisch gericht aan IT dienst via HR transfer of via Service desk. Accounts worden aangevraagd door  leidinggevende of HR dienst voor de werknemers , jobstudenten, stagiairs of vrijwilligers  directiesecretariaat voor zelfstandige zorgverleners (arts, kinesist,…) op aangeven van zorgmanager of diensthoofd.  direct leidinggevende voor externe gebruikers. Enkel personen die zich akkoord verklaren met IT policy kunnen IT account krijgen. Bij transfers en uit dienst worden de zelfde procedures gevolgd.

1

Relatie of functie: student, medische staf, patiënt, … Communiceert naar IT ivm start/einde contract, vraagt nodige toegangsrechten, ondersteunt en meldt eventuele problemen aan IT. 2


Pagina 4 van 11

Het aanvragen van toegang tot applicaties of uitbreiden van permissies wordt ook aangevraagd via IT service desk door leidinggevende of applicatie verantwoordelijken. In specifieke omstandigheden kan een persoon een tweede login krijgen voor testdoeleinden (vb. de leden van de implementatieploeg of software ontwikkelaars). Ook deze login is strikt persoonlijk en kan nooit worden doorgegeven. Paswoorden worden individueel bezorgd. Het paswoord document bevat tevens de instructies voor het wijzigen van het paswoord.

Externe toegang Gebruikers via externe toegang dienen zich ervan bewust te zijn dat connecties vanuit eigen apparatuur aan het instellingsnetwerk van het OLV de facto neerkomen op een tijdelijke extensie van het instellingsnetwerk, en dat de externe werkplek als zodanig onderworpen kan worden aan controles die bij gebleken tekortkomingen kunnen leiden tot weigering van de verbinding. Een externe toegang zal voor de toegang tot instellingsvoorzieningen uitsluitend gebruik maken van door de beheerorganisatie voorgeschreven authenticatie- en communicatieprotocols. Een gebruiker dient te voorkomen dat via zijn systeem ongeautoriseerde personen toegang krijgen tot interne voorzieningen van het OLV. Systemen die gebruikt worden voor externe aansluiting aan het instellingsnetwerk dienen voorzien te zijn van upto-date anti-virussoftware en eventuele andere beschermingstools zoals voorgeschreven door de IT procedures. Daarnaast dient de gebruiker erop toe te zien dat de systeemsoftware op zijn systeem wordt onderhouden op een actueel patchniveau. Externe connecties worden na een door de beheerorganisatie vast te stellen periode van inactiviteit automatisch beëindigd. De externe gebruiker wordt geacht zich te onthouden van de toepassing van periodieke processen om de verbinding kunstmatig in stand te houden.

6.2 Gebruik ICT infrastructuur en applicaties De ICT infrastructuur en applicaties worden ter beschikking gesteld voor professioneel gebruik. Gebruikers moeten er bewust van zijn dat gebruik voor andere doeleinden kan leiden tot onderbrekingen op de gehele OLV computer infrastructuur. Occasioneel gebruik voor persoonlijke doeleinden is toegelaten in zoverre dit op geen enkele wijze de (arbeids)prestaties of veiligheid van ICT infrastructuur in het gedrang brengt. Het is strict verboden OLV infrastructuur te laten gebruiken door vrienden of familie.

Werkstation beveiliging Iedereen die geautoriseerd is om een OLV werkstation te gebruiken wordt verondersteld de integriteit van dat werkstation en van de gegevens erop te beschermen. Data wordt niet lokaal op werkstation bewaard. Indien data toch tijdelijk lokaal op c of d –schijf bewaard wordt, moet de gebruiker er zich van bewust zijn dat data verloren gaat bij hardware defecten. IT stelt centrale storage ter beschikking die voorzien is van nodige autorisaties en backup. Deze centrale storage is uitsluitend bestemd voor professioneel gebruik. Werknemers en medewerkers beschikken over een persoonlijke map op de H:\ schijf en een gedeelde map op de X:\ schijf als centrale storage. Van gebruikers wordt verwacht dat ze een redelijke inspanning doen om leesbare toegang tot werkstations die verbonden zijn met systemen te beperken wanneer dit werkstation buiten hun gezichtsveld is. Bijvoorbeeld door af te melden, het werkstation te vergrendelen, schermvergrendeling,


Pagina 5 van 11

…. Alle werkstations moeten automatisch vergrendeld of afgemeld worden na een vooraf vastgelegde tijd van inactiviteit. Er moeten inspanningen gedaan worden om de zichtbaarheid van gegevens op werkstations zoveel mogelijk te beperken tot medewerkers die dit nodig hebben om hun functie uit te voeren. Werkstations, printers, faxen, enz… worden bij voorkeur niet in publieke ruimtes zoals wachtzalen, gangen … geplaatst als ze connecteren op het OLV netwerk. (bijvoorbeeld PC’s met informatie voor patiënten of als tijdverdrijf voor de kinderen). Het is niet toegestaan om op een PC, laptop of andere ICT materiaal van het ziekenhuis hardware onderdelen te installeren, te verwijderen of te vervangen, zonder tussenkomst van de ICT dienst. Ook software wordt enkel geïnstalleerd door IT dienst. Uitzonderingen kunnen enkel in overleg en na schriftelijk akkoord van de IT dienst. Problemen die veroorzaakt worden door software (vb. access db-en) die niet via de ICT dienst is aangeschaft of geïnstalleerd, vallen volledig onder de verantwoordelijkheid van de dienst zelf. De dienst is dan ook verantwoordelijk voor de backup van de data, nodige aanpassingen bij installeren van nieuwe versies van windows en windows patches. De dienst is in dit geval ook zelf verantwoordelijk om risico’s naar continuiteit en informatieveiligheid te beheren. ICT raadt dergelijke software af en is steeds bereid om samen met de dienst een migratiepad uit te werken. Het gebruik van software waarvoor geen licentie in het ziekenhuis aanwezig is, is strafrechtelijk verboden. De medewerker die software, zonder licentie, op hardware van het ziekenhuis installeert is persoonlijk aansprakelijk.

Mobiele toestellen Het gebruik van mobiele toestellen leidt tot bijkomende risico’s. De gebruikers moeten alle redelijke inspanningen doen om te vermijden dat gegevens op mobiele toestellen langdurig opgeslagen worden. Indien mobiele toestellen toch tijdelijk medische of confidentiële gegevens stockeren dan moeten ze gebruik maken van a.

Unieke, individuele opstart wachtwoorden

b.

Wachtwoord beveiligde schermbeveiligingen

IT dienst voorziet automatische updates van software pakketten en beveiligingssoftware. De gebruiker is verantwoordelijk om mobiele toestellen in het beheer van OLV regelmatig, minstens 1 maal per maand, te koppelen aan het OLV netwerk. Dit om toestellen van nodige software updates te voorzien. Toestellen die langer dan 2 maanden niet geconnecteerd zijn aan het OLV netwerk, worden enkel na interventie van IT terug toegelaten in het domein.

Toestellen koppelen aan OLV netwerk Mobiele en vaste toestellen niet in het beheer van OLV mogen niet connecteren aan het OLV netwerk. Deze toestellen kunnen wel koppelen aan het patiënten netwerk om zo connectie te maken met het internet.


Pagina 6 van 11

Uitzonderingen worden gemaakt voor medische toestellen of medische PC’s indien zij aan de door IT bepaalde veiligheidsvoorschriften voldoen. De hardware moet uitgerust zijn met een recent antivirusprogramma. Bij voorkeur wordt hetzelfde antivirusprogramma gebruikt als op alle andere OLV PC’s. Indien dit niet mogelijk is worden er afspraken gemaakt met firma in verband met continu actueel houden van het antivirusprogramma.

Mobiele opslag media (USB-sticks,…) Read/write mobiele opslag media worden sterk afgeraden. Deze media zijn potentiële bron van virussen en vereisen omzichtigheid van de gebruiker. Sporadisch gebruik binnen PC’s van het ziekenhuis is toegelaten. Het delen van data met externe partijen of externe toestellen via schrijfbare opslag media wordt afgeraden en is enkel toegelaten indien usb stick gescand wordt op virussen met recente virusscanner om zo onnodige riscio’s voor OLV infrastructuur te beperken.

Email Wees op uw hoede voor ongewenste en nepmails die vragen om persoonlijke informatie zoals logins, paswoorden, bankgegevens enz.

6.3 Elektronische informatie De gebruiker dient zijn werkwijze aan te passen conform het type data en conform de policy discretieplicht. OLV maakt onderscheid tussen medische data, interne, confidentiële en publieke data. Deze 4 categorieën vereisen andere confidentialiteit maatregelen en hierdoor aangepast handelen. Medische gegevens zijn confidentieel en dienen behandeld te worden conform de Belgische wet op privacy en de wet op de patiëntenrechten. De therapeutische relatie tussen patiënt en zorgverlener verantwoordt de toegang tot een medisch dossier. Medische data worden beheerd in verschillende medische applicaties. Via vb. KWS en Mediweb worden de medische data gedeeld tussen de zorgverleners. Met externe zorgverleners wordt er gecommuniceerd via medische applicaties (vb. Hermes, Nexuz KWS, eHealth applicaties overheid), Medimail/ehealthbox (= berichtensysteem) of op papier. Enkel geanonimiseerde medische data mogen op andere wijzen gedeeld worden. Interne gegevens worden bewerkt, bewaard en gedeeld via de OLV infrastructuur. Hiervoor stelt OLV centrale opslagruimte (persoonlijke h-drive en gedeelde x-drive), OLV connect en applicaties ter beschikking. Interne gegevens worden enkel gedeeld met externe partijen indien dit noodzakelijk is voor hun OLV opdracht of mits toestemming van leidinggevende. Confidentiële gegevens Interne gegevens zoals personeelsgegevens, financiële gegevens,.. zijn confidentieel en mogen enkel gedeeld worden met collega’s die de informatie nodig hebben voor het uitoefenen van hun job. Confidentiële gegevens worden enkel gedeeld met externen mits goedkeuring van een directeur. Publieke gegevens worden bewaard, bewerkt en publiek gemaakt door de communicatie dienst.


Pagina 7 van 11

7. Beheer van ICT infrastructuur [Doelgroep: gebruikers met een IT functie] 7.1

Inventaris van OLV hardware en elektronische media

Dienst ICT onderhoudt een inventaris van de hardware en elektronische media gebruikt in OLV. De inventaris moet het volgende omhelzen: a. Lijst van hardware en elektronische media geconnecteerd aan OLV intern netwerk. b. Registratie van de in- en uitbewegingen van hardware en elektronische media c. Risico assessment

7.2

Inventaris van Ziekenhuis toepassingen

Dienst ICT onderhoudt een inventaris van de binnen OLV gebruikte ziekenhuis toepassingen. De inventaris moet het volgende omhelzen: a. Lijst van ziekenhuis toepassingen met prioriteitsindicator b. Aanspreekpunten in het ziekenhuis: applicatieverantwoordelijke, key users, … c. Technische informatie zoals geïnstalleerde release, … d. Risico assessment ____________________________________________________________________________________ In wat volgt omhelst de term “systeem” meerdere componenten van de OLV IT infrastructuur: software toepassingen, servers, switches, routers, …. ____________________________________________________________________________________

7.3

Wijzigingen aan ICT infrastructuur en Ziekenhuis toepassingen

Technische Wijzigingen aan ICT infrastructuur en ziekenhuis toepassingen worden wekelijks besproken, ingepland en gedocumenteerd in OLV Connect. Individuele vragen naar installatie van software op client PC’s worden goedgekeurd door management IT via IT Service Desk systeem.

7.4

Beheer accounts en rollen

Autorisaties binnen IT toepassingen moeten berusten op het principe van rollen en toewijzing rollen aan gebruikers zoals beschreven in appendix. Sommige gebruikers hebben nood aan speciale user accounts met meer of minder rechten dan hun standaard account. Deze gebruikers zijn typisch:  IT personeel of keyusers hebben nood aan test account om de applicatie te testen als een andere (meer beperkte) gebruiker;  IT personeel om software te installeren of systeem taken uit te voeren.  Auditoren en tracers. Ziekenhuis applicatie accounts zijn steeds gelinkt aan 1 persoon. Generieke users kunnen beperkt toegelaten worden. Het gebruik van generieke users wordt gedocumenteerd.

7.5

Contingency planning

De ICT dienst is verantwoordelijk voor het opstellen en implementeren van business continuity en disaster recovery plannen voor applicaties en systemen.


Pagina 8 van 11

7.6

Technische maatregelen

1) Er moet naar gestreefd worden om diensten, die niet noodzakelijk zijn om het ziekenhuisdoel of de functie van het systeem te verwezenlijken, buiten werking te stellen. Voorbeelden zijn FTP, SMTP, Web Services, … maar deze opsomming is niet limitatief 2) Bescherming tegen malware a. Alle systemen moeten beschermd worden tegen kwaadwillige software. Dit kan gebeuren door, maar is niet beperkt tot antivirus software, firewalls en security patches. b. Het belangrijkste criterium hieromtrent is het feit of deze systemen al of niet connecteren op het OLV netwerk. Systemen worden enkel op het OLV netwerk toegelaten als de bescherming ervan door OLV uitgevoerd en beheerd wordt. c. Voor standalone systemen die beheerd worden door OLV zal OLV redelijke inspanningen doen om deze systemen te updaten met de laatste security patches en antivirus software en definities 3) Versie beheer: De applicatieverantwoordelijken en de systeemadministrators dragen de verantwoordelijkheid om vast te leggen welke versies van een IT applicatie geïnstalleerd mogen worden. 4) Intrusiedetectie en kwetsbaarheidsscanning: netwerken die verwerking, opslag of verzending van gegevens ondersteunen worden zo veel mogelijk automatisch bewaakt. Gedetecteerde intrusies worden onderzocht, gelogd en gerapporteerd. 5) Serverbeveiliging: Administratieve systeemtaken op systemen mogen enkel door systeembeheerders uitgevoerd worden . Afwijkingen van deze werkwijze zijn toegelaten mits toegelaten door IT infrastructuur manager of IT directeur en deze gedocumenteerd zijn.

7.7

Backup, herstel en verwijdering

De systeemadministrators moeten over gedocumenteerde procedures beschikken die beschrijven hoe verzekerd wordt dat OLV steeds over een herstelbare, exacte kopie van de gegevens beschikt. Ze moeten gegevens- en systeemherstel regelmatig, met een vooraf vastgelegde frequentie, testen, minstens jaarlijks. De vereisten gesteld aan gegevens- en systeembackup omvatten, maar zijn niet beperkt tot,: a. Gegevens en systemen moeten met een vooraf vastgelegde regelmaat (minstens elke week) gebackuped worden op duurzame media en volgens gedocumenteerde procedures die zeker moeten voorzien in het bijhouden van een backup of een kopie van de backup op een locatie in een ander gebouw dan de plaats waar de backup gemaakt werd. b. Backup media moeten beschermd worden tegen diefstal, omgevingsrisico’s, fysische bedreigingen en ongeautoriseerde toegang c. Backup systemen die gebruikt worden om backups van gegevens en/of systemen te maken moeten een inventaris van de gebackupte systemen kunnen aanleveren met daarbij een overzicht van welke backups op welke backup media opgeslagen zijn. De beschikbaarheid en correctheid van deze inventaris moet minstens elk jaar getest worden d. Beheerders en administrators van systemen en gegevens moeten gedocumenteerde procedures hebben om die systemen en gegevens terug te plaatsen e. Elk systeem moet hersteld kunnen worden tot recente situatie van maximum 1 dag oud. De data van het centraal medisch dossier systeem wordt gerepliceerd. f. Bij de verwijdering van gegevens en systemen moet er voor gezorgd worden dat de gegevens niet teruggehaald of hersteld kunnen worden. 1. IT systemen of media worden nooit weggeschonken of verkocht. 2. Het IT departement moet ervoor zorgen dat voor buiten gebruik gestelde systemen en media die verwijderd worden, de gegevens onleesbaar en onherstelbaar gemaakt worden. Ze kunnen hiervoor beroep doen op gespecialiseerde firma’s


Pagina 9 van 11

3. Het IT departement moet systemen en media die intern voor andere doeleinden gebruikt gaan worden steeds herformatteren.

7.8

Duurzame implementatie van IT policy

1) Via een jaarlijkse review stelt het IT management de prioriteiten en formuleert een iteratief verbeterplan voor aan het Comité informatieveiligheid. Sensibilisering en opleiding zijn een onderdeel van het verbeterplan. 2) Bij de aankoop of huur van IT toepassingen en systemen moeten de richtlijnen die voortvloeien uit de IT policy en uit de bijhorende procedures, steeds als vereisten meegenomen worden in het lastenboek en steeds deel uit maken van de evaluatie van de aangeboden oplossingen. 3) IT management rapporteert onderstaande incidenten aan het comité informatieveiligheid. a. Ongeautoriseerde toegang tot of gebruik van een IT systeem b. Ongeautoriseerde onthulling, wijziging of vernietiging van confidentiële gegevens c. Ongeautoriseerde verstoring van de normale werking van de organisatie of van IT toepassingen d. Diefstal of verlies van IT toepassingen of van informatie

8. Appendices [Doelgroep: gebruikers met een IT functie] 8.1

Basisprincipe autorisaties binnen IT toepassingen

De realisatie van deze policy is gebaseerd op het volgende concept.

Rollen, Taken en functies

Elk IT systeem is opgebouwd uit een aantal afzonderlijke “transacties” via dewelke de gebruiker interageert met het systeem. Dergelijke transactie kan bestaan uit één scherm of uit een opeenvolging van schermen. Voorbeeld: “creatie artikel” Transacties die bij elkaar horen worden gebundeld in een taak (=rol). De taak “Beheer artikel” omvat bijvoorbeeld de transacties om artikelen aan te maken, te wijzigen, te tonen, te blokkeren en te markeren voor verwijdering. Indien wenselijk kunnen binnen de toepassing taken samengevoegd worden tot functies (= samengestelde rollen) maar dat hoeft niet. Dit kan nuttig zijn indien er een groot aantal taken bestaan. Voorbeeld: de functie “Beheerder stamgegevens aankoop” kan de taken omvatten voor het beheren van artikelen, leveranciers en leverancierslijsten. Merk op dat er ook taken en functies opgesteld kunnen worden die enkel transacties omvatten die gegevens tonen. Voor taken en functies moet aangeduid worden of ze gelden voor de gegevens van de gehele organisatie of voor een beperkt aantal organisatorische eenheden (bijvoorbeeld voor heel OLV of voor één enkele campus of voor één enkele verpleegeenheid).

Elke taak en functie draagt dus steeds de drie dimensies uit de doelstelling van deze policy in zich: welke gegevens, welke soort toegang en voor welke organisatorische eenheid of therapeutische relatie. Verder zijn er taken en functies die enkel aan de systeembeheerders mogen toegewezen worden. Ze bevatten systeemtransacties zoals bijv. het monitoren van locks op de database, performantie van het systeem, overzicht van de processen, … Ze omvatten geen functionaliteit die ziekenuis gegevens toont of wijzigt.


Pagina 10 van 11

Voor de volledigheid vermelden we nog dat er ook taken en/of functies moeten bestaan die moeten toegewezen worden aan elke gebruiker en die hem toelaten te printen, zijn wachtwoord te wijzigen, ….Deze omvatten eveneens geen functionaliteit die ziekenhuis gegevens toont of wijzigt

Toewijzing functies en taken aan de gebruikersaccount

Door in een IT toepassing de juiste taken en/of functies toe te wijzen aan de juiste gebruikersaccount wordt ervoor gezorgd dat een medewerker in deze applicatie enkel de functionaliteit kan uitvoeren waar hij vanuit zijn functie in de organisatie toe geautoriseerd is en dit enkel voor de organisatorische eenheden waartoe hij geautoriseerd is.

Rol van de applicatieverantwoordelijken

1) Zij bepalen hoe binnen de toepassing de rollen opgebouwd worden en welke rollen een gebruiker toegewezen mag krijgen. Op deze manier zijn zij verantwoordelijk voor: - De opbouw van (samengestelde) rollen met toewijzing van de organisatorische eenheden - Een juiste toewijzing van (samengestelde) rollen aan functies binnen de organisatie. Hierdoor wordt ervoor gezorgd dat medewerkers met een bepaalde functie enkel de autorisaties krijgen die voor de uitoefening ervan noodzakelijk zijn. - Het verzekeren van de functiescheiding binnen de toepassing door te vermijden dat hiermee conflicterende rollen niet aan één gebruiker toegewezen worden. Indien het toch noodzakelijk is om conflicterende rollen aan één gebruiker toe te wijzen dan moet de applicatieverantwoordelijke motiveren waarom dit gebeurt en is hij verantwoordelijk voor de controle dat deze gebruiker geen misbruik maakt van zijn autorisaties 2) Zij waken erover dat de autorisaties correct geïmplementeerd worden en melden inbreuken aan comité IT beveiliging.

9. Disclaimer(s) Het OLV Ziekenhuis Aalst-Asse-Ninove is eigenaar van de kennisdocumenten die intern gepubliceerd worden. Het is niet toegelaten deze informatie zonder toestemming van directie / zorgzonemanager / leidinggevende te verspreiden buiten het ziekenhuis.


Pagina 11 van 11

m sectie 6 is van toepassing op alle gebruikers van IT infrastructuur. Sectie 7 en 8 richt zich tot gebruikers met een IT functie

Recommend Documents