Hoe hardwarematige versleuteling zorgt voor een betere bescherming van persoonlijke gegevens in de gezondheidszorg

Uit een recent onderzoek blijkt dat wereld­wijd weinig mensen erop vertrouwen dat orga­ni­sa­ties op een veilige manier met hun persoons­ge­ge­vens omgaan. Ondanks dat zorg­aan­bie­ders na banken en finan­ciële instel­lingen als meeste betrouw­bare orga­ni­sa­ties worden gezien, vertrouwt slechts 37% van de onder­zochte groep hen. De vraag is hoe de zorg en overige sectoren met de bescher­ming van persoons­ge­ge­vens omgaan en wat ze nog meer moeten doen om het bevei­li­gings­ni­veau verder te verbeteren. 

Het is van groot belang om persoons­ge­ge­vens te allen tijde te beschermen. Daarom bestaat er een wet- en regel­ge­ving die ervoor zorgt dat pati­ënt­ge­ge­vens niet op straat belanden. In België is sinds 2018 de Algemene Veror­de­ning Gege­vens­be­scher­ming (AVG) van kracht die erover waakt dat orga­ni­sa­ties op een zorg­vul­dige en veilige manier persoons­ge­ge­vens verwerken. In het kader van deze AVG moeten patiënten voor het verwerken van hun persoon­lijke gegevens toestem­ming aan zorgor­ga­ni­sa­ties geven.

Datalekken door menselijke fouten

Ten aanzien van de bevei­li­ging geldt er binnen de AVG een verant­woor­dings­plicht. Dit betekent dat zorgor­ga­ni­sa­ties tech­ni­sche en orga­ni­sa­to­ri­sche maat­re­gelen moeten treffen om de persoons­ge­ge­vens van de patiënten te bevei­ligen. Het is bijvoor­beeld niet toege­staan om méér persoons­ge­ge­vens te verwerken dan strikt nood­za­ke­lijk is, de persoons­ge­ge­vens mogen niet langer bewaard worden dan nodig en een zorgor­ga­ni­satie moet van elke indi­vi­duele mede­werker bijhouden als deze een pati­ën­ten­dos­sier bekijkt. Verder is het belang­rijk om te bepalen welke mede­wer­kers toegang mogen hebben tot bepaalde (gevoelige) persoons­ge­ge­vens. Mede­wer­kers die geen behan­del­re­latie met een patiënt hebben, mogen het medisch dossier van deze persoon niet inzien.

Data­lekken zijn dus niet alleen een van de grootste digitale drei­gingen in de finan­ciële sector, maar ook in de zorg. De meeste data­lekken worden veroor­zaakt door mense­lijke fouten, bijvoor­beeld een onbe­vei­ligde usb-stick of dito laptop te laten slingeren. Ook kan het gaan om onge­oor­loofde toegang van mede­wer­kers tot bepaalde systemen en data­bronnen. Data­lekken kunnen verder worden veroor­zaakt door externe actoren. Het gaat bijvoor­beeld om data­lekken veroor­zaakt door het stelen of raden van wacht­woorden door hackers of het verleiden van gebrui­kers om kwaad­aar­dige software (malware) op te starten. Bij dit type data­lekken kan de impact groot zijn, omdat kwaad­wil­lenden dan toegang krijgen tot een grote hoeveel­heid vertrou­we­lijke data. 40 procent van de zorg­in­stel­lingen kreeg al eens te maken met diefstal van apparaten of papier en bij 65% werd papier of hardware ontvreemd, bleek uit onderzoek van Z‑CERT. Dat is veel, en daar moet dringend veran­de­ring in komen.

Hardwarematige encryptie 

Een manier om een hoog bevei­li­gings­ni­veau te reali­seren en data­lekken te voorkomen is de toepas­sing van encryptie, die zowel hard- als soft­wa­re­matig kan zijn. USB-sticks die werken met een soft­wa­re­ma­tige versleu­te­ling zijn anders ontworpen en daardoor kwets­baarder voor aanvallen. De versleu­te­ling vindt niet plaats in de USB-stick. Dit type opslag­me­dium gebruikt compu­ter­bronnen en andere programma’s van gebrui­kers die kwaad­aardig kunnen zijn. Een soft­wa­re­pro­gramma op de computer versleu­telt eerst de gegevens die daarna op de USB-drive worden opge­slagen. Om de gegevens weer leesbaar te maken is een soft­wa­re­pro­gramma nodig voor de ontsleuteling.

Een hard­wa­re­ma­tige encryptie van gege­vens­be­vei­li­ging is de meest effec­tieve manier om onge­oor­loofde toegang tot privé­ge­ge­vens uit de gezond­heids­zorg te voorkomen. Versleu­telde USB-drives zijn een uitste­kende, eenvoudig te gebruiken oplossing om persoon­lijke gegevens te beschermen tegen data­ver­lies bij verplaat­sing. Dit komt omdat ze zeer strikte indu­strie­normen volgen. Ze vereisen geen software op de host­com­puter om te func­ti­o­neren. Dit betekent dat ze compa­tibel zijn op alle platforms, ongeacht het bestu­rings­sys­teem van de computer, laptop of tablet. Dat is een groot voordeel voor wie werkt in een omgeving met gemengde bestu­rings­sys­temen en apparaten. Hard­wa­re­ma­tige encryptie voorkomt ook andere soft­wa­re­kwets­baar­heden, zoals sniffing, brute force en geheugen hash­aan­vallen. Zorg­in­stel­lingen moeten zich daarom beter bewust zijn van deze mogelijkheid.

Versleuteling in de zorg

Het is nood­za­ke­lijk om zo’n programma voor soft­wa­re­ma­tige versleu­te­ling voort­du­rend te updaten om beveiligd te zijn tegen de nieuwe manieren om de data te ontsleu­telen. Dat updaten is in de praktijk lastig voor mede­wer­kers die op afstand werken. Die moeten namelijk voort­du­rend updates voor de software en drivers instal­leren en gebruiken. Dat gebeurt vaak niet, waardoor er onaan­vaard­bare risico’s ontstaan. Een soft­wa­re­ma­tige oplossing voor encryptie lijkt voordelig maar doordat er hierdoor vaak data­lekken ontstaan, is het alsnog een dure oplossing als blijkt dat er hierdoor bedrijfs­ge­ge­vens op straat belanden.

Idealiter kiezen zorg­in­stel­lingen daarom voor opslag­media met hard­wa­re­ma­tige encryptie. Zo bieden bijvoor­beeld de Kingston IronKey USB-drives een robuus­tere en betrouw­baar­dere gege­vens­be­scher­ming. Tot slot zijn ze gebruiks­vrien­de­lijk, zonder afbreuk te doen aan de strenge militaire encryptie die de gegevens beschermt.