Nieuws | ZorgTTP

Storing DIS-portal verholpen

okt 3, 2022 | Nieuws

De op 29 september ontstane storing op de DIS-portal is verholpen en het is dus weer mogelijk om met de PVM DIS informatie aan de NZa aan te leveren

Nieuwsbericht Registratieonderzoek ELV

jul 27, 2022 | Nieuws

De Nederlandse Zorgautoriteit (NZa) is per 1 juli 2022 gestart met een registratieonderzoek om toe te werken naar een toekomstige, passende bekostiging voor eerstelijnsverblijf en Wlz crisiszorg vv (ELV). Het doel van het onderzoek is om de toekomstige bekostiging beter aan te laten sluiten bij de gewenste praktijk. Binnen het eerstelijnsverblijf en Wlz crisiszorg vv zal in de periode van 1 juli tot en met 31 december 2022 een registratieverplichting gaan gelden voor de geselecteerde zorgaanbieders. ZorgTTP heeft in opdracht van de NZa een pseudonimisatieketen ontwikkeld voor het beveiligen van informatie afkomstig van diverse zorgaanbieders. In gezamenlijk overleg tussen de NZa, ICT-leveranciers en ZorgTTP zijn de aanleverspecificaties opgesteld. De ICT-leveranciers testen in augustus 2022 de software, vanaf september kunnen de zorginstellingen hun informatie veilig aanleveren. De zorginstellingen worden in augustus door de NZa per brief geïnformeerd over de aanlevering van gegevens.

Spring4Shell kwetsbaarheid geen impact op ZorgTTP dienstverlening

apr 1, 2022 | Nieuws

Wat is er aan de hand?

Het Nationaal Cyber Security Center (NCSC) heeft een zogenaamd HIGH/HIGH beveiligingsadvies uitgebracht naar aanleiding van een kwetsbaarheid in het Spring Core Framework. ZorgTTP heeft onmiddellijk geïnventariseerd welke maatregelen te nemen. Omdat niet aan de criteria wordt voldaan waaronder de kwetsbaarheid uitgebuit kan bestaat er geen acuut risico op uitbuiting.

Welke acties heeft ZorgTTP ondernomen?

De volgende acties zijn, in lijn met het advies van het NCSC, sinds bekendmaking van de kwetsbaarheid uitgevoerd.

Inventarisatie gebruik Spring Core framework (31 maart 2022)
Analyse of wordt voldaan aan de criteria om de kwetsbaarheid uit te buiten (31 maart 2022). Om van kwetsbare blootstelling te spreken moet voldaan worden aan drie voorwaarden, te weten:
- Java 9+
- Tomcat applicatieserver
- In gebruik als .war bestand
Update CMT met Spring 5.3.18 (31 maart 2022)

Uitkomst van de inventarisatie en daarop volgende analyse is dat:

Encryptiedienst TRES niet wordt geraakt door dit incident;
De pseudonimisatiedienst in de componenten PVM, CMT en DRM wel gebruik maakt van een kwetsbare versie van het Spring Core Framework.
De Centrale Module TTP (CMT) van het ZorgTTP pseudonimisatieplatform niet voldoet aan de criteria om de kwetsbaarheid uit te buiten.
De PVM en DRM clients voor verzenden en ontvangen van te pseudonimiseren gegevens niet voldoen aan de criteria om de kwetsbaarheid uit te buiten.

Waarom is CMT niet kwetsbaar?

Er zijn geen internet-facing componenten die direct benaderbaar zijn of die gebruik maken van de DataBinder methode.

Waarom is de PVM niet kwetsbaar?

De software opereert niet als een server die wacht op binnenkomende verzoeken en voldoet daarmee niet aan de eerder genoemde criteria. De PVM is dus geen server maar een client, die alleen met ZorgTTPcontact heeft door dat contact alleen tijdens gebruik zelf actief te leggen.

Waarom is de DRM niet kwetsbaar?

De DRM is net als de PVM geen server maar een client en om dezelfde reden niet kwetsbaar.

Vervolgacties

De volgende acties worden momenteel uitgevoerd

Er is sinds 31 maart 2022 een nieuwe versie van CMT beschikbaar met Spring versie 5.3.18. Deze zal via het reguliere releaseproces worden opgebracht. Als tijdelijke maatregel in afwachting van de update is Apache Tomcat op 12 april 2022 bijgewerkt naar een versie die een patch bevat voor deze kwetsbaarheid.
Update naar Spring Core Framework versie 5.3.18 (of hoger) voor alle nieuw uit te geven software.
Op verzoek kunnen versneld nieuwe versies van de PVM en DRM clients versneld beschikbaar worden gesteld.

Indien u vragen heeft naar aanleiding van bovenstaande dan staan wij u graag te woord. Neem contact met ons op via onze servicedesk.

ZorgTTP sluit aan als partner van de Samenwerkende Data Verwerkers

dec 7, 2020 | AVG, Informatiebeveiliging, Nieuws, Pseudonimiseren, ZorgTTP

ZorgTTP heeft zich als partner aangesloten bij de Samenwerkende Data Verwerkers. Gezamenlijk met de SDV willen we werken aan het opzetten van een uniforme pseudonimisatieservice voor de zorg. Het doel is om direct herleidbare persoonsgegevens zo veel mogelijk uit kwaliteitsregistraties te houden en zo dicht mogelijk bij de bron te pseudonimiseren. Veilig gebruik van gepseudonimiseerde gegevens voor kwaliteitsregistraties, en het koppelen ervan voor onderzoek, wordt mogelijk gemaakt door een uniforme en openbare methode van pseudonimiseren.

De identiteit van de patiënt blijft bij de bron

De SDV en ZorgTTP slaan de handen ineen, om scenario’s uit te werken die pseudonimisering aan de bron mogelijk maakt. De identiteit van de patiënt is dan enkel bekend in het EPD of een ander bronsysteem, en niet meer bij de verdere verwerking van data voor kwaliteitsregistraties. Het is de bedoeling om direct herleidbare gegevens zoveel mogelijk uit de registratie te houden, waarbij het tegelijkertijd wel mogelijk is om patiënten door de keten van zorgverleners te volgen en diverse brondata op patiëntniveau te koppelen. Dit draagt bij aan het verlichten van administratieve lasten voor zorgprofessionals en volgt de zogeheten ‘privacy-by-design principes’ om de privacy van patiënten nog strikter te waarborgen.

Lees meer over de samenwerking en de werkagenda.

CMT versie 8.4 in gebruik genomen

nov 26, 2020 | Digitale certificaten, Informatiebeveiliging, Nieuws, Pseudonimiseren, Software

Deze versie van de Centrale Module TTP (CMT) biedt een nieuwe service in combinatie met vernieuwde PVM en DRM software; de Online TTP Informatie Service (OTIS).

ZorgTTP is dit jaar tweemaal genoodzaakt om een grootschalige vervangingsactie uit te voeren van digitale certificaten. In beide gevallen betrof het theoretische kwetsbaarheden die in de dienstverlening van ZorgTTP niet relevant zijn. OTIS stelt ZorgTTP en de gebruikers van de ZorgTTP software in staat om op een gebruiksvriendelijke en veilige wijze certificaten te vervangen.

Met deze service maken we het vervangen van certificaten eenvoudiger voor gebruikers. Als er nieuwe certificaten beschikbaar zijn, dan maakt de software hiervan melding. De gebruiker kan vervolgens beslissen om een update uit te voeren. Hiervoor is een code nodig die door ZorgTTP wordt gepubliceerd. De code is verbonden aan het nieuwe certificaat en vormt de bevestiging dat het juiste door ZorgTTP aangeboden certificaat wordt geïnstalleerd.