dec 16, 2020 | Pseudonimiseren, ZorgTTP
Op 6 december 2021 is een nieuwe versie van de Privacy- en Verzendmodule (PVM) beschikbaar gekomen voor het DBC Informatiesysteem (DIS) van de Nederlandse Zorgautoriteit, te weten de PVM 8.1.1 voor Windows, Mac en Linux.
Als zorgaanbieder of softwareleverancier kunt u gebruik maken van de nieuwe software voor de gegevensaanlevering aan DIS. De nieuwe software kunt u downloaden met uw DIS-account via het DISportal.
Heeft u vragen? Bekijk dan de veelgestelde vragen van de Nederlandse Zorgautoriteit of neem contact met hen op per e-mail via info@nza.nl of via WhatsApp op 088-770 8 770 (maandag t/m vrijdag tussen 9:00 en 17:00 uur).
dec 7, 2020 | AVG, Informatiebeveiliging, Nieuws, Pseudonimiseren, ZorgTTP
ZorgTTP heeft zich als partner aangesloten bij de Samenwerkende Data Verwerkers. Gezamenlijk met de SDV willen we werken aan het opzetten van een uniforme pseudonimisatieservice voor de zorg. Het doel is om direct herleidbare persoonsgegevens zo veel mogelijk uit kwaliteitsregistraties te houden en zo dicht mogelijk bij de bron te pseudonimiseren. Veilig gebruik van gepseudonimiseerde gegevens voor kwaliteitsregistraties, en het koppelen ervan voor onderzoek, wordt mogelijk gemaakt door een uniforme en openbare methode van pseudonimiseren.
De identiteit van de patiënt blijft bij de bron
De SDV en ZorgTTP slaan de handen ineen, om scenario’s uit te werken die pseudonimisering aan de bron mogelijk maakt. De identiteit van de patiënt is dan enkel bekend in het EPD of een ander bronsysteem, en niet meer bij de verdere verwerking van data voor kwaliteitsregistraties. Het is de bedoeling om direct herleidbare gegevens zoveel mogelijk uit de registratie te houden, waarbij het tegelijkertijd wel mogelijk is om patiënten door de keten van zorgverleners te volgen en diverse brondata op patiëntniveau te koppelen. Dit draagt bij aan het verlichten van administratieve lasten voor zorgprofessionals en volgt de zogeheten ‘privacy-by-design principes’ om de privacy van patiënten nog strikter te waarborgen.
Lees meer over de samenwerking en de werkagenda.
sep 4, 2020 | Privacy, Pseudonimiseren, ZorgTTP
Op 18 september vindt het congres ‘Gegevensuitwisseling in de zorg – van parel tot ketting’ plaats. Het evenement brengt succesvolle casussen onder de aandacht van gegevensuitwisseling tussen patiënten, zorgverleners, onderzoekers en beleidsmakers. ZorgTTP neemt deel als leverancier en geeft graag informatie over hoe wij helpen om medische gegevens voor onderzoek en beleid op veilige wijze toegankelijk te maken. Bijvoorbeeld met innovatieve projecten op het gebied van Multi Party Computation (MPC) en de ontwikkeling van een pseudonimisatiedienst voor de academische centra in Nederland. Met plezier vertellen we u hierover.
Dagvoorzitter Gert-Jan van Boven, directeur van Dutch Hospital Data (DHD) vertelt in deze video over het grote belang van dit congres voor de gezondheidszorg: https://www.youtube.com/watch?v=52oWvat4hL8&feature=youtu.be.
Het congres wordt georganiseerd door MedicalPHIT en zal plaatsvinden in evenementenlocatie Inn Style te Maarssen. Uiteraard wordt daarbij rekening gehouden met de richtlijnen van het RIVM. Meer informatie is te vinden op de website: https://phit.nl/nl/congres-gegevensuitwisseling-de-zorg-van-parel-tot-ketting
jul 13, 2020 | Encryptie, Pseudonimiseren, ZorgTTP
ZorgTTP is een autoriteit als het gaat om pseudonimisering van persoonsgegevens. Dat vinden ook het ministerie van VWS, de Nederlandse zorgautoriteit en het Zorginstituut. Daarom is ons via een openbare aanbesteding opnieuw de opdracht gegund persoonsgegevens te pseudonimiseren. Woensdag 7 juli werden de geheime sleutels waarmee pseudoniemen gemaakt worden overgezet naar de nieuwe beveiligde hardware. Vertegenwoordigers van de opdrachtgevers waren fysiek en op afstand via een livestream getuige van de zogenaamde key ceremony. ZorgTTP-directeur Hans van Vlaanderen en projectleider Thomas Waslijah vertellen wat aan dit moment vooraf ging.
Deze opdracht bouwt voort op de bestaande opdracht. Hans: “De vorige aanbesteding is 5 jaar geleden ook door ons gewonnen. Dus we kennen de techniek en procedures al. Onderdeel van deze aanbesteding was het moderniseren en ‘future proof’ maken van hard- en software.”
Betrouwbare beveiliging is essentieel
De software die de data versleutelt is opgeslagen in een Hardware Security Module (HSM) in een beveiligd datacenter. De HSM is zo beveiligd dat bij oneigenlijke fysieke toegang een alarm afgaat en het sleutelmateriaal wordt vernietigd. “Dat klinkt als een scene uit een James Bond film”, aldus Hans. “Maar er gaan echt miljarden records over de lijn met alle zorg- en inkomensgegevens van Nederlanders. Het is dus erg gevoelige informatie. Dan is een betrouwbare beveiliging essentieel.”
Beveiligd met sleutels en pincodes
Thomas heeft samen met collega André Kaldenhoven de sleutelceremonie voorbereid. “Ik heb gezorgd dat alles organisatorisch goed liep en heb de procedure uitgeschreven en vastgelegd. De HSM is beveiligd met meerdere beveiligingssleutels en pincodes zodat de pseudonimisatiesleutels nooit in leesbare vorm geëxporteerd kunnen worden. De transportsleutels staan in delen op keycards. Deze liggen zowel bij ons als bij de klant in een kluis. Zonder beide delen kan de overdracht niet plaatsvinden. Dan is het best even spannend of door personeelswisselingen bij de klant alle pasjes en pincodes nog in het bezit zijn. Gelukkig was alles nog in tact en is de ceremonie vlekkeloos verlopen.”
Goede voorbereiding essentieel
Voor nood was een plan B gemaakt. Thomas: “Er lag een scenario op de plank voor als we geen verbinding met de server konden krijgen of als pasjes en pincodes niet meer werkten.” Dat rekening moet worden gehouden met onverwachte situaties bleek wel bij de voorbereiding van deze ceremonie, vertelt Hans. “Op een gegeven moment leek het er op dat de softwaredrivers van de HSM cardreaders niet meer compatible waren met onze computers. Het was een heel gedoe om de ze weer aan de praat te krijgen. Gelukkig is collega André daar samen met leverancier Utimaco in geslaagd. Zoiets toont wel aan dat een goede voorbereiding essentieel is en je goed in de gaten moet houden dat het serviceniveau op peil blijft.”
mrt 30, 2020 | Pseudonimiseren, Software, ZorgTTP
In verband met de Corona crisis wordt de Quo Vadis G4 Issuing CA een maand later ingetrokken. De intrekking zal uiterlijk 29 april zijn voltooid. Naar verwachting wordt de daadwerkelijke intrekking in de week van 20 april uitgevoerd in een ceremonie waarbij een externe auditor aanwezig is. Door de reisbeperkingen in verband met COVID-19 is door de leden van het CA/Browser forum uitstel verleend ten opzichte van de eerder gecommuniceerde datum.
Zie voor meer informatie ons eerdere nieuwsbericht over de aanleiding voor het intrekken.
feb 27, 2020 | Pseudonimiseren, Software, ZorgTTP
ZorgTTP maakt voor het beveiligen van het berichtenverkeer gebruik van digitale certificaten. Deze certificaten worden afgenomen bij een hiervoor gekwalificeerde leverancier; Quo Vadis Trustlink B.V.
Maandag 24 februari heeft Quo Vadis ons meegedeeld dat de “QuoVadis Issuing Certificate Authority (CA) G4” op 31 maart 2020 wordt ingetrokken. Er is bij audits gebleken dat deze niet meer aan de recente beveiligingseisen voldoet. Voor de duidelijkheid; er is geen sprake van een beveiligingsincident.
Update: De intrekkingsdatum is in verband met de COVID-19 crisis uitgesteld tot uiterlijk 29 april 2020.
Zie de technische toelichting onder dit bericht voor de technische details.
Impact
Een eerste inventarisatie heeft uitgewezen dat momenteel 134 certificaten actief zijn die zullen worden ingetrokken. Een beperkt deel van de certificaten die geraakt worden door het intrekken van de CA wordt gebruikt als zogenaamd route certificaat. Dit type certificaat wordt binnen onze verwerkingen gebruikt om berichten bestemd voor onze opdrachtgevers te versleutelen vanaf de verzendende organisatie en heeft daarmee een belangrijke rol in de pseudonimisatie ketens. Na het intrekken van de CA zal zonder verdere actie het aanleveren van gegevens onmogelijk worden voor routes die een Quo Vadis G4 certificaat gebruiken.
Acties
Wij stellen met spoed nieuwe versies van onze software met nieuwe certificaten beschikbaar en hebben de partijen die het betreft hierover gericht geïnformeerd. Wij proberen daarbij de overlast waar mogelijk te beperken door de aanpassing te combineren met reeds geplande updates.
De ervaring leert dat na het beschikbaar stellen van nieuwe softwareversies door ZorgTTP de tijd die nodig is voor installatie van de software in gebruikersomgevingen sterk uiteen kan lopen.
Voor met name grotere organisaties kan het weken tot maanden duren voordat de software aan gebruikers beschikbaar is gemaakt. Voor deze organisaties stellen we een work-around beschikbaar waarbij het certificaat handmatig kan worden vervangen in de bestaande installatie. Wij leveren hiervoor technische ondersteuning in de vorm van documentatie en beschikbaarheid van onze servicedesk voor begeleiding op afstand.
Tot slot
Wij hadden hier uiteraard eerder door Quo Vadis van op de hoogte gebracht willen worden en hebben onderzocht of uitstel mogelijk is. Dat is helaas niet het geval. Daarom moeten we noodgedwongen actie ondernemen. We doen ons uiterste best om de gebruikers optimaal te ondersteunen bij het installeren van de nieuwe software.
Onze welgemeende verontschuldigingen voor de ontstane situatie.
Technische toelichting:
De Quo Vadis G4 Issuing CA zal worden ingetrokken omdat deze technisch gezien in staat is om TLS certificaten aan te maken die gebruikt kunnen worden voor het beveiligen van browsers. In het toepassingsgebied voor de CA had deze optie uitgeschakeld moeten worden door QuoVadis. Grote browser leveranciers verenigd in het CA/Browser forum hebben besloten dat dit een onaanvaardbaar beveiligingsrisico is en daarom het intrekken afgedwongen.
