Informatiebeveiliging 2024

Zijn alle praktijkmedewerkers op de hoogte van de beroepscode ten aanzien van de geheimhouding van persoonsgegevens?

Ligt de geheimhouding van persoonsgegevens vast in het arbeidscontract met de medewerkers?

Krijgt het vertrouwelijk omgaan met persoonsgegevens/geheimhouding, regelmatig aandacht op een werkoverleg?

Indien medewerkers zich niet houden aan de afspraken die gemaakt zijn over de geheimhouding van persoonsgegevens dan spreken wij hen daarop aan.

Indien medewerkers zich niet houden aan de afspraken die gemaakt zijn over de geheimhouding van persoonsgegevens dan volgen formele disciplinaire maatregelen.

Is er in de praktijk een privacyverklaring aanwezig over de verwerking van persoonsgegevens, doorgifte en rechten van patiënten?

Hebt u een privacyverklaring gepubliceerd over welke gegevens de praktijk verzamelt, met welk doel, hoe lang die worden bewaard, met welke organisaties die worden uitgewisseld? Ook recht op inzage, correctie en vergetelheid rond het EPD is uitgelegd?

Hebben medewerkers informatie over de verwerking van persoonsgegevens, doorgifte van gegevens en hun rechten?

Is het ICT-beheer uitbesteed aan een externe partij?

Welk ICT-beheer heeft u uitbesteed?

Welke partij voert voor u het ICT-beheer uit?

Hoe tevreden ben u over deze dienstverlening op een schaal van 1 – 10?

Heeft u met deze HIS-beheerder een verwerkingsovereenkomst?

Is deze externe partij (HIS-beheerder) gecertificeerd (NEN7510 of ISO27001)?

Wordt de dienstverlening van deze externe partij (HIS-beheerder) jaarlijks geëvalueerd op grond van objectieve rapportages?

Hoeveel patiënten staan er in totaal ingeschreven?

Heeft u een Functionaris Gegevensbescherming (FG) aangesteld?

U voldoet aan de richtlijnen voor een Functionaris Gegevensbescherming (FG)?

Maakt u in de praktijk gebruik van een wachtwoordkluis?

Welke wachtwoordkluis wordt gebruikt?

Maakt iedere praktijkmedewerker gebruik van deze wachtwoordkluis?

We kennen strikte afspraken over het geheimhouden van je wachtwoord. Je deelt je wachtwoord met niemand. Je gebruikt een ander wachtwoord voor werk dan voor privé. Geldt dit ook zo bij u in de praktijk?

We kennen strikte afspraken over het geheimhouden van wachtwoorden en spreken elkaar erop aan als we dat vergeten.

Indien nodig volgen disciplinaire maatregelen als een medewerker een wachtwoord niet geheimhoudt.

Houd je logging bij van privacygevoelige applicaties?

Maakt u gebruik van tweefactorauthenticatie om in te loggen in het HIS?

Maakt u gebruik van een UZI pas voor 2 factor authenticatie?

Welke andere vorm van 2 factor authenticatie gebruikt u?

Maakt u gebruik van tweefactorautenthicatie (2FA) voor al het werken met privacygevoelige data?

Voor toegang tot systemen van ketenpartners vragen wij ook persoonlijke inlog aan voor onze medewerkers.

Ook beheerders werken met een persoonlijke inlog en zijn bekend bij de praktijkhouder.

Is er back-up van HIS/KIS en ICT omgeving?

Wij hebben ICT en dus ook de back-up uitbesteed?

Wordt de back-up van de HIS/KIS en de ICT omgeving op een andere locatie bewaard?

Is de back-up van de patienten dossiers (inclusief de medische gegevens) versleuteld, zodat het geen kwaad kan als deze in verkeerde handen terecht komt?

Is er een test of het terugzetten van de back-up goed lukt en leidt tot een goed werkend systeem?

Vindt er jaarlijks een test plaats op terugzetten van de back-up (door ICT-beheerder of HIS-leverancier) en gaat één van de zorg-professionals vervolgens ook na of het systeem inderdaad goed werkt?

We hebben een calamiteitenplan voor als het HIS/KIS niet werkt hoe we de zorg continueren.

Het terugplaatsen van de back-up neemt tijd in beslag. Komt de hiervoor benodigde tijd overeen met de verwachtingen die in uw calamiteitenplan beschreven staan?

Heeft u zich ervan vergewist dat uw HIS-leverancier nieuwe versies van het HIS heeft getest voor uitlevering?

Een zorgprofessional van de praktijk / de gebruikersgroep / de zorggroep test de nieuwe versie.

Worden de belangrijkste veranderingen van een nieuwe versie op de werkvloer besproken?

Wij hebben een procedure datalek die beschrijft hoe we moeten melden bij de Autoriteit Persoonsgegevens in voorkomende gevallen.

Onze medewerkers melden alle serieuze problemen. Van malware problemen, tot verloren laptop, van gestolen password tot phishing email, en daarnaast technische storingen. Als uit de analyse van de melding blijkt dat melding nodig is dan gebeurt dat volgens de vastgestelde procedure. We stellen ook de betrokken patiënten op de hoogte indien noodzakelijk.

Is er een overzicht van alle verwerkingen met persoonsgegevens van patiënten?

Is er een overzicht van alle verwerkingen met persoonsgegevens van medewerkers?

Hebt u de beschikbaarheid van uw HIS dossiers voor het LSP geregeld?

Is het HIS is zodanig ingericht dat bij problemen binnen 24 uur de patiëntengegevens weer beschikbaar zijn voor het LSP?

Heeft u contractuele afspraken gemaakt met uw ASP leverancier en/of HIS leverancier over de beschikbaarheid van patiëntengegevens bij problemen?

Maakt u  gebruik van een VPN-verbinding op de praktijk?

Maak je thuis gebruik van een VPN verbinding om met de praktijkgegevens te werken?

Hebt u nog een aparte firewall buiten het modem, naast de firewall die geintegreerd is in het modem?