Zorgorganisaties werken aan informatiebeveiliging volgens NEN 7510

Nu zorgorganisaties steeds vaker digitaal cliëntgegevens uitwisselen, groeit ook het belang van goede informatiebeveiliging. Wittenbergzorg, Maaswaarden en SZR werken aan maatregelen om hun informatiebeveiliging in lijn te brengen met de norm NEN 7510. Daarbij gebruiken ze de ActiZ Routekaart NEN 7510 en wisselen ze ervaringen uit met andere zorgorganisaties in de regio. ActiZ beschrijft op hun website hoe de organisaties dit aanpakken.

Bij Wittenbergzorg waren al veel maatregelen voor informatiebeveiliging aanwezig, maar ontbraken nog enkele beheersmaatregelen. Ook Maaswaarden werkt aan de verdere ontwikkeling van het beleid. De organisatie richt zich nog regelmatig op het oplossen van problemen zodra die zich voordoen. Bij SZR zijn veel maatregelen getroffen, maar moeten deze beter worden vastgelegd.

De ervaringen van de drie organisaties laten zien dat informatiebeveiliging meer omvat dan technische maatregelen. Ook helder beleid, vastgelegde werkafspraken en bewustwording onder medewerkers spelen een rol. Zonder die aandacht bestaat het risico dat het voldoen aan de norm vooral een administratieve exercitie wordt, zonder dat de beveiliging in de dagelijkse praktijk voldoende verbetert.

Routekaart

De ActiZ Routekaart NEN 7510 biedt zorgorganisaties een stappenplan om hun informatiebeveiliging in kaart te brengen en verbeterpunten te bepalen. Met een nulmeting en risico-inventarisatie kunnen organisaties vaststellen welke maatregelen al zijn geregeld en waar aanvullende actie nodig is.

Maaswaarden kreeg bij dit traject ondersteuning van adviesbureau Booozt. Volgens Marieke de Wild, manager financiën en service bij Maaswaarden, helpt die begeleiding om structuur aan te brengen en het proces te versnellen. Ook regionale samenwerking speelt een rol. Wittenbergzorg wisselt binnen de Regiotafel VVT Rivierenland ervaringen uit met andere zorgaanbieders. Door aanpakken en voortgang te bespreken, krijgen organisaties inzicht in hoe andere partijen hun informatiebeveiliging organiseren.

Bestuurlijke verantwoordelijkheid

De ActiZ Routekaart NEN 7510 biedt praktische handvatten om informatiebeveiliging stapsgewijs in te richten en te verbeteren. Vooral kleinere zorgorganisaties kunnen daarbij tegen capaciteitsproblemen aanlopen. Het delen van kennis en ervaringen kan helpen om beschikbare expertise beter te benutten.

Daarnaast is bestuurlijke betrokkenheid van belang. Bestuurders moeten informatiebeveiliging op de agenda zetten en zorgen dat verantwoordelijkheden binnen de organisatie duidelijk zijn belegd. Dat benadrukt Gerard van den Berg, specialist informatiebeveiliging en privacy bij Sensire.

Blijvende aandacht

Het inrichten van informatiebeveiliging is geen eenmalige opgave. Risico’s veranderen en maatregelen moeten daarom regelmatig worden geëvalueerd en waar nodig aangepast. Nu zorgorganisaties steeds vaker in netwerken samenwerken en gegevens uitwisselen, vraagt dit ook om afstemming tussen de betrokken organisaties.

Veilige gegevensuitwisseling vereist daarmee niet alleen technische voorzieningen, maar ook duidelijke afspraken tussen samenwerkingspartners, heldere verantwoordelijkheden en blijvende aandacht voor de manier waarop medewerkers met cliëntgegevens omgaan.

Ook bij andere zorgaanbieders blijkt het versterken van digitale vaardigheden en kennis een aandachtspunt. Zo beschreef ICT&health eerder hoe de ICT Praktijkscan huisartsen ondersteunt bij digitalisering, waarbij ook cybersecurity en bewustwording aan bod komen.