Doelstelling: Onbevoegde fysieke toegang tot, schade aan en interferentie met informatie en informatieverwerkende faciliteiten van de organisatie voorkomen.
Beheersmaatregel
Beveiligingszones behoren te worden gedefinieerd en gebruikt om gebieden te beschermen die gevoelige of essentiële informatie en informatieverwerkende faciliteiten bevatten.
Zorgspecifieke beheersmaatregel
Organisaties die persoonlijke gezondheidsinformatie verwerken, behoren gebruik te maken van beveiligde zones om gebieden te beschermen die informatieverwerkingsfaciliteiten bevatten die dergelijke gezondheidstoepassingen ondersteunen. Deze beveiligde gebieden behoren te worden beschermd door passende beheersmaatregelen voor de fysieke toegang om ervoor te zorgen dat alleen bevoegd personeel toegang krijgt.
Implementatierichtlijn
Voor zover van toepassing behoren de volgende richtlijnen voor fysieke beveiligingszones te worden overwogen:
a) beveiligingszones behoren te worden gedefinieerd, en de locatie en sterkte van elke zone behoren af te hangen van de beveiligingseisen van de bedrijfsmiddelen die zich binnen de zone bevinden en van de resultaten van een risicobeoordeling;
b) de begrenzing van een gebouw of locatie waarin zich informatieverwerkende faciliteiten bevinden, behoort fysiek in orde te zijn (d.w.z. er behoren geen openingen in de begrenzing te zijn en er behoren geen ruimten te zijn waar gemakkelijk kan worden ingebroken); het dak, de muren en vloer van de locatie behoren solide te zijn en alle buitendeuren behoren passend tegen onbevoegde toegang te zijn beschermd met controlemechanismen (bijv. afsluitbomen, alarmsystemen, sloten); deuren en ramen behoren afgesloten te zijn als er niemand aanwezig is, en voor ramen, in het bijzonder die op de begane grond, behoort externe bescherming te worden overwogen;
c) er behoort een bemande receptie of andere voorziening ter controle van de fysieke toegang tot de locatie of het gebouw aanwezig te zijn; toegang tot locaties en gebouwen behoort te worden beperkt tot bevoegd personeel;
d) er behoren, indien van toepassing, fysieke hindernissen te worden aangebracht om onbevoegde fysieke toegang en vervuiling van de omgeving te voorkomen;
e) alle branddeuren in een beveiligde zone behoren te worden voorzien van alarm, te worden gemonitord en getest in combinatie met de muren om het vereiste niveau van brandwerendheid in overeenstemming met passende regionale, nationale en internationale normen vast te stellen; de werking van de deuren behoort, in overeenstemming met de plaatselijke brandcode, faalveilig te zijn;
f) tegen indringers behoren op alle buitendeuren en toegankelijke ramen passende detectiesystemen in overeenstemming met nationale, regionale of internationale normen te worden geïnstalleerd en regelmatig getest; onbemande ruimten behoren te allen tijde te zijn voorzien van een alarmsysteem; ook andere ruimten, bijv. de computer- of communicatieruimten, behoren te worden bestreken door het alarmsysteem;
g) informatieverwerkende faciliteiten die worden beheerd door de organisatie behoren fysiek te zijn gescheiden van informatieverwerkende faciliteiten die door externe partijen worden beheerd.
Zorgspecifieke implementatierichtlijn
Het is belangrijk te erkennen dat in veel zorgsituaties het inrichten van beveiligde zones zeer uitdagend is. In veel operationele gebieden zijn cliënten aanwezig. Er is wellicht geen andere bedrijfstak waar het publiek zo veel toegang tot operationele gebieden heeft als in de zorg. Tegelijkertijd behoort er een veilige omgeving te worden gehandhaafd die de fysieke veiligheid en beveiliging van cliënten en van de gegevens en systemen die binnen die omgeving toegankelijk kunnen zijn, in stand houdt. Het is bijvoorbeeld mogelijk dat een cliënt alleen wordt achtergelaten in een onderzoekskamer (bijv. om de cliënt een onderzoeksschort te laten aantrekken voor een lichamelijk onderzoek), ondanks dat er een werkend werkstation in het vertrek aanwezig is. De beveiliging van werkstations in de zorg mag daarom niet volledig afhangen van het uit beveiligde zones buitensluiten van cliënten. Dit in tegenstelling tot een bank bijvoorbeeld, waar klanten waarschijnlijk nooit alleen zouden worden gelaten in een omgeving met een werkend werkstation. Bovendien zijn cliënten in de zorg in tegenstelling tot cliënten in andere bedrijfstakken vaak fysiek niet in staat te voorzien in hun eigen persoonlijke veiligheid en beveiliging.
Fysieke beveiligingsmaatregelen voor informatie behoren te worden afgestemd op fysieke beveiligings- en veiligheidsmaatregelen voor cliënten. Zorginstellingen hebben een plicht om deze beide te beschermen.
Overige informatie
Fysieke bescherming kan worden verkregen door een of meer fysieke barrières rond het bedrijfsterrein en de informatieverwerkende faciliteiten van de organisatie aan te brengen. De aanwezigheid van meerdere barrières biedt extra bescherming, omdat het falen van één enkele barrière niet betekent dat de veiligheid dan onmiddellijk is gecompromitteerd.
Een beveiligd gebied kan een afsluitbaar kantoor zijn of diverse ruimten omgeven door een ononderbroken interne fysieke beveiligingsbarrière. Tussen gebieden met verschillende beveiligingseisen binnen de beveiligingszone kunnen extra barrières en begrenzingen nodig zijn om fysieke toegang te beheersen. In geval van gebouwen die bedrijfsmiddelen voor meerdere organisaties bevatten, behoort speciale aandacht aan de fysieke toegangsbeveiliging te worden gegeven.
Toepassing van fysieke beheersmaatregelen, in het bijzonder voor de beveiligde gebieden, behoort te worden aangepast aan de technische en economische omstandigheden van de organisatie zoals vermeld in de risicobeoordeling.
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Beveiligde gebieden behoren te worden beschermd door passende toegangsbeveiliging om ervoor te zorgen dat alleen bevoegd personeel toegang krijgt.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Met de volgende richtlijnen behoort rekening te worden gehouden:
a) datum en tijdstip van binnenkomst en vertrek van bezoekers behoort te worden geregistreerd, en op alle bezoekers behoort toezicht te worden gehouden tenzij hun toegang vooraf is goedgekeurd; personen behoort alleen toegang te worden verleend voor specifieke, goedgekeurde doelen, en zij behoren instructies over de beveiligingseisen van het gebied en de noodprocedures te ontvangen. De identiteit van bezoekers behoort met passende middelen te worden vastgesteld;
b) toegang tot gebieden waar vertrouwelijke informatie wordt verwerkt of opgeslagen behoort te worden beperkt tot bevoegde personen door passende toegangsbeveiligingsmaatregelen te implementeren, bijv. door het implementeren van een dubbel authenticatiemechanisme zoals een toegangskaart en een geheime pincode;
c) van elke toegang behoort een fysiek logboek of een elektronisch audittraject te worden onderhouden en gemonitord;
d) van alle medewerkers, contractanten en externe partijen behoort te worden verlangd dat zij een bepaalde vorm van zichtbare identificatie dragen en zij behoren onmiddellijk beveiligingspersoneel te informeren als zij bezoekers zonder begeleiding en personen die geen zichtbare identificatie dragen, tegenkomen;
e) personeel van externe partijen die ondersteunende diensten verlenen, behoort alleen indien noodzakelijk beperkte toegang tot beveiligde gebieden of faciliteiten die vertrouwelijke informatie verwerken te worden verleend; deze toegang behoort te worden goedgekeurd en gemonitord;
f) toegangsrechten voor beveiligde gebieden behoren regelmatig te worden beoordeeld, geactualiseerd en indien nodig te worden ingetrokken (zie 9.2.5 en 9.2.6).
Zorgspecifieke implementatierichtlijn
Organisaties die persoonlijke gezondheidsinformatie verwerken, behoren zinnige maatregelen te treffen om te garanderen dat het publiek slechts zo dicht bij IT-uitrusting (servers, opslagapparaten, terminals en displays) kan komen als de fysieke beperkingen en klinische processen vereisen.
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Voor kantoren, ruimten en faciliteiten behoort fysieke beveiliging te worden ontworpen en toegepast.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Bij het beveiligen van kantoren, ruimten en faciliteiten behoren de volgende richtlijnen in aanmerking te worden genomen:
a) belangrijke faciliteiten behoren zo te worden gesitueerd dat ze niet voor iedereen toegankelijk zijn;
b) indien van toepassing behoren gebouwen onopvallend te zijn en zo min mogelijk aanwijzingen te geven over het gebruiksdoel ervan, zonder duidelijke tekenen, binnen of buiten het gebouw, die op de aanwezigheid van informatieverwerkende activiteiten duiden;
c) faciliteiten behoren zo te zijn geconfigureerd dat wordt voorkomen dat vertrouwelijke informatie of activiteiten van buitenaf zichtbaar en hoorbaar zijn. Voor zover van toepassing behoort elektromagnetische afscherming ook te worden overwogen;
d) adresboeken en interne telefoonboeken waarin locaties worden aangeduid met faciliteiten die vertrouwelijke informatie verwerken, behoren niet vrij toegankelijk te zijn voor onbevoegden.
Zorgspecifieke implementatierichtlijn
<geen>
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Tegen natuurrampen, kwaadwillige aanvallen of ongelukken behoort fysieke bescherming te worden ontworpen en toegepast.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Over het vermijden van schade door brand, overstroming, aardbeving, explosie, oproer en andere vormen van natuurrampen of door personen veroorzaakte rampen behoort specialistisch advies te worden ingewonnen.
Zorgspecifieke implementatierichtlijn
<geen>
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Voor het werken in beveiligde gebieden behoren procedures te worden ontwikkeld en toegepast.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Met de volgende richtlijnen behoort rekening te worden gehouden:
a) personeel behoort alleen op grond van ‘need-to-know’ bekend te zijn met het bestaan van of de activiteiten in een beveiligd gebied.
b) zonder toezicht werken in beveiligde gebieden behoort te worden vermeden, zowel om veiligheidsredenen als om geen gelegenheid te bieden voor kwaadaardige activiteiten;
c) leegstaande beveiligde ruimten behoren fysiek te worden afgesloten en periodiek te worden geïnspecteerd;
d) foto-, video-, audio- of andere opnameapparatuur, zoals camera’s in mobiele apparatuur, behoort, tenzij goedgekeurd, niet te worden toegelaten.
De afspraken voor het werken in beveiligde zones bevatten beheersmaatregelen voor de medewerkers en voor externe gebruikers die in de beveiligde zone werken en beslaan alle activiteiten die in de beveiligde zone plaatsvinden.
Zorgspecifieke implementatierichtlijn
<geen>
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Toegangspunten zoals laad- en loslocaties en andere punten waar onbevoegde personen het terrein kunnen betreden, behoren te worden beheerst, en zo mogelijk te worden afgeschermd van informatieverwerkende faciliteiten om onbevoegde toegang te vermijden.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Met de volgende richtlijnen behoort rekening te worden gehouden:
a) toegang tot een laad- en loslocatie van buiten het gebouw behoort te worden beperkt tot geïdentificeerd en bevoegd personeel;
b) de laad- en loslocatie behoort zo te zijn ontworpen dat goederen kunnen worden geladen en gelost zonder dat de leverancier toegang heeft tot andere delen van het gebouw;
c) de buitendeuren van een laad- en loslocatie behoren beveiligd te zijn als de binnendeuren open zijn;
d) inkomende materialen behoren te worden gecontroleerd en onderzocht op explosieven, chemicaliën of andere gevaarlijke materialen voordat ze vanaf een laad- en loslocatie worden overgebracht;
e) inkomende materialen behoren bij binnenkomst op de locatie te worden geregistreerd in overeenstemming met de procedures voor bedrijfsmiddelenbeheer (zie hoofdstuk 8);
f) inkomende en uitgaande zendingen behoren, voor zover mogelijk, fysiek te worden gescheiden;
g) inkomende materialen behoren te worden gecontroleerd op mogelijke aanwijzingen voor vervalsing tijdens het transport. Indien vervalsing wordt ontdekt behoort dit direct aan beveiligingspersoneel te worden gemeld.
Zorgspecifieke implementatierichtlijn
Het is belangrijk om op te merken dat er zich in de verlening van zorg verschillende omstandigheden voordoen waarbij het publiek (cliënten en hun metgezellen) fysiek wordt toegelaten tot zones met grote hoeveelheden gevoelige informatie (bijv. beproevingen in laboratoria waar de workflow kan vereisen dat er informatie van cliënten wordt vergaard in dezelfde ruimte waar op dat moment ook gegevens van eerdere cliënten worden verwerkt; behandelruimtes op de eerste hulp waar metgezellen of familieleden mogelijk zouden kunnen worden blootgesteld aan aanzienlijke hoeveelheden gevoelige mondelinge en visuele informatie over andere cliënten; computer-/verpleegwerkstations die zich vlakbij de kamers van cliënten bevinden). Die fysieke gebieden binnen de zorg waar gezondheidsinformatie wordt vergaard via gesprekken en waar systemen aanwezig zijn waar gegevens op het scherm worden bekeken, behoren daarom extra toezicht te krijgen.
Om te garanderen dat de privacy van cliënten gehandhaafd wordt, is het in de zorg vaak vereist dat er kennisgevingen worden opgehangen in liften, op deuren waarachter gesprekken plaatsvinden en op andere plekken. Dergelijke kennisgevingen dienen als geheugensteuntje dat men het bespreken van cliënten in openbare zones zo veel mogelijk moet beperken.
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Doelstelling: Verlies, schade, diefstal of compromittering van bedrijfsmiddelen en onderbreking van de bedrijfsvoering van de organisatie voorkomen.
Beheersmaatregel
Apparatuur behoort zo te worden geplaatst en beschermd dat risico’s van bedreigingen en gevaren van buitenaf, alsook de kans op onbevoegde toegang, worden verkleind.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Om apparatuur te beschermen behoren de volgende richtlijnen in overweging te worden genomen:
a) apparatuur behoort zo te worden geplaatst dat onnodige toegang tot de werkvloer zo veel mogelijk wordt beperkt;
b) informatieverwerkende faciliteiten die gevoelige gegevens behandelen, behoren zorgvuldig te worden gepositioneerd om het risico te verkleinen dat informatie tijdens verwerking door onbevoegde personen wordt ingezien;
c) opslagfaciliteiten behoren te worden beveiligd om onbevoegde toegang te voorkomen;
d) onderdelen die speciale bescherming nodig hebben, behoren te worden beveiligd zodat het algemene beschermingsniveau dat vereist is, kan worden verlaagd;
e) beheersmaatregelen behoren te worden aangenomen om het risico van potentiële fysieke bedreigingen en bedreigingen van buitenaf, bijv. diefstal, brand, explosie, rook, wateroverlast (of uitval van watervoorziening), stof, trilling, chemische reacties, storing in de elektriciteitsvoorziening of in communicatievoorzieningen, elektromagnetische straling en vandalisme, zo laag mogelijk te houden;
f) voor eten, drinken en roken in de nabijheid van informatieverwerkende faciliteiten behoren richtlijnen te worden vastgesteld;
g) omgevingsomstandigheden zoals temperatuur en vochtigheid behoren te worden gemonitord en gecontroleerd op omstandigheden die de werking van informatieverwerkende faciliteiten negatief kunnen beïnvloeden;
h) bij alle gebouwen behoort bliksembeveiliging te worden toegepast en op alle inkomende stroom- en communicatieleidingen behoren bliksembeveiligingsfilters te worden geïnstalleerd;
i) voor apparatuur in industriële omgevingen behoort de toepassing van speciale beschermingsmiddelen zoals toetsenbordfolie te worden overwogen;
j) apparatuur die vertrouwelijke informatie verwerkt, behoort te worden beschermd om het risico van weglekken van informatie door elektromagnetische emanatie zo laag mogelijk te houden.
Zorgspecifieke implementatierichtlijn
Organisaties die persoonlijke gezondheidsinformatie verwerken, behoren eventuele werkstations die toegang bieden tot persoonlijke gezondheidsinformatie, dusdanig te plaatsen dat niet-beoogde inzage of toegang door cliënten en het publiek wordt voorkomen.
Medische apparaten die worden gebruikt om gegevens te registreren of rapporteren, kunnen ook speciale overwegingen betreffende beveiliging vereisen met betrekking tot de omgeving waarin ze gebruikt worden en de elektromagnetische emissies die tijdens het gebruik ervan plaatsvinden. Zorginstellingen, met name ziekenhuizen, behoren te garanderen dat de richtlijnen voor plaatsing en bescherming van IT-uitrusting de blootstelling aan dergelijke emissies minimaliseren.
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Apparatuur behoort te worden beschermd tegen stroomuitval en andere verstoringen die worden veroorzaakt door ontregelingen in nutsvoorzieningen.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Nutsvoorzieningen (bijv. elektriciteit, telecommunicatie, watervoorziening, gas, riolering, ventilatie en airconditioning) behoren:
a) in overeenstemming te zijn met de technische beschrijving van de fabrikant en de lokale wettelijke eisen;
b) regelmatig te worden onderzocht om te beoordelen of hun capaciteit toereikend is voor de groei van het bedrijf en de interactie met andere nutsvoorzieningen;
c) regelmatig te worden geïnspecteerd en getest om te waarborgen dat ze correct functioneren;
d) zo nodig te worden voorzien van een alarmsysteem om disfunctioneren op te sporen;
e) voor zover nodig, te beschikken over meervoudige voeding met een verschillende fysieke route.
Noodverlichting en communicatiemiddelen behoren aanwezig te zijn. Nabij nooduitgangen of ruimten waar apparatuur aanwezig is, behoren noodschakelaars en knoppen te zijn waarmee stroom, water, gas of andere voorzieningen kunnen worden uitgeschakeld.
Zorgspecifieke implementatierichtlijn
<geen>
Overige informatie
Redundantie voor netwerkverbinding kan worden verkregen via meerdere routes vanaf meer dan een aanbieder.
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Voedings- en telecommunicatiekabels voor het versturen van gegevens of die informatiediensten ondersteunen, behoren te worden beschermd tegen interceptie, verstoring of schade.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Met de volgende richtlijnen voor beveiliging van bekabeling behoort rekening te worden gehouden:
a) voedings- en telecommunicatieleidingen naar informatieverwerkende faciliteiten behoren, zo mogelijk, ondergronds te lopen, of er behoort adequate alternatieve bescherming te zijn.
b) voedingskabels behoren gescheiden te zijn van communicatiekabels om interferentie te voorkomen;
c) voor gevoelige of essentiële systemen kunnen de volgende aanvullende beheersmaatregelen worden overwogen:
1) het installeren van gewapende kabelgoten en afgesloten kamers of dozen bij inspectie- en afsluitpunten;
2) het gebruik van elektromagnetische afscherming ter bescherming van de kabels;
3) het initiëren van technische schoonmaakbeurten en fysieke controles op aansluiting van niet-goedgekeurde apparaten op de kabels;
4) beveiligde toegang tot schakelpanelen en kabelruimten.
Zorgspecifieke implementatierichtlijn
Gezondheidsorganisaties behoren serieus aandacht te geven aan het afschermen van netwerk- en andere bekabeling in gebieden met hoge emissies uit medische apparaten.
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Apparatuur behoort correct te worden onderhouden om de continue beschikbaarheid en integriteit ervan te waarborgen.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Met de volgende richtlijnen voor onderhoud van apparatuur behoort rekening te worden gehouden:
a) apparatuur behoort te worden onderhouden in overeenstemming met de door de leverancier aanbevolen intervallen voor servicebeurten en voorschriften;
b) alleen bevoegd onderhoudspersoneel behoort reparaties en onderhoudsbeurten aan apparatuur uit te voeren;
c) er behoren registraties te worden bijgehouden van alle vermeende en daadwerkelijke fouten, en van al het preventieve en correctieve onderhoud;
d) als apparatuur is ingepland voor onderhoud behoren passende maatregelen te worden geïmplementeerd, waarbij in aanmerking wordt genomen of dit onderhoud wordt uitgevoerd door personeel op locatie of buiten de organisatie; voor zover nodig behoort vertrouwelijke informatie uit de apparatuur te worden verwijderd of het onderhoudspersoneel behoort voldoende betrouwbaar te worden verklaard;
e) er behoort te worden voldaan aan alle onderhoudseisen die door verzekeringspolissen zijn opgelegd;
f) voordat apparatuur na onderhoud weer in bedrijf wordt gesteld, behoort een inspectie plaats te vinden om te waarborgen dat er niet is geknoeid met de apparatuur en dat deze niet slecht functioneert.
Zorgspecifieke implementatierichtlijn
Gezondheidsorganisaties behoren serieus aandacht te geven aan het afschermen van uitrusting in gebieden met hoge emissies uit medische apparaten.
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Apparatuur, informatie en software behoren niet van de locatie te worden meegenomen zonder voorafgaande goedkeuring.
Zorgspecifieke beheersmaatregel
Organisaties die uitrusting, gegevens of software voor het ondersteunen van een zorgtoepassing met persoonlijke gezondheidsinformatie leveren of gebruiken, mogen niet toestaan dat die uitrusting, gegevens of software van de locatie wordt of worden verwijderd of erbinnen wordt of worden verplaatst zonder dat de organisatie hiervoor haar goedkeuring heeft gegeven.
Implementatierichtlijn
Met de volgende richtlijnen behoort rekening te worden gehouden:
a) medewerkers en gebruikers van externe partijen die bevoegd zijn om toe te staan dat bedrijfsmiddelen van de locatie worden meegenomen behoren te worden geïdentificeerd;
b) aan de afwezigheid van bedrijfsmiddelen behoren tijdsgrenzen te worden gesteld en er behoort te worden geverifieerd of ze worden teruggebracht;
c) voor zover nodig en gepast behoort het meenemen en de terugkeer van bedrijfsmiddelen te worden geregistreerd;
d) de identiteit, rol en connectie van iedereen die bedrijfsmiddelen hanteert of gebruikt, behoort te worden gedocumenteerd en deze documenten behoren samen met de apparatuur, informatie of software te worden geretourneerd.
Zorgspecifieke implementatierichtlijn
<geen>
Overige informatie
Steekproeven, om onbevoegd meenemen van bedrijfsmiddelen te ontdekken, kunnen ook worden uitgevoerd om niet-goedgekeurde opnameapparatuur, wapens enz. op te sporen en om te voorkomen dat deze de locatie worden binnengebracht en van de locatie worden meegenomen. Dergelijke steekproeven behoren te worden uitgevoerd in overeenstemming met relevante wet- en regelgeving. Personen behoren te worden geïnformeerd dat steekproeven worden uitgevoerd, en de controles behoren alleen te worden uitgevoerd met een goedkeuring die in overeenstemming is met de eisen van wet- en regelgeving.
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Bedrijfsmiddelen die zich buiten het terrein bevinden, behoren te worden beveiligd, waarbij rekening behoort te worden gehouden met de verschillende risico’s van werken buiten het terrein van de organisatie.
Zorgspecifieke beheersmaatregel
Organisaties die persoonlijke gezondheidsinformatie verwerken, behoren te garanderen dat het eventuele gebruik buiten hun gebouw van medische apparaten die worden gebruikt om gegevens te registreren of te rapporteren, geautoriseerd is. Dit behoort apparatuur te omvatten die door werknemers op afstand wordt gebruikt, zelfs indien dit gebruik permanent is (d.w.z. waar het een kernaspect is van de rol van de werknemer, zoals het geval is bij ambulancepersoneel, therapeuten enz.).
Implementatierichtlijn
Het buiten het terrein van de organisatie gebruiken van apparatuur waarop informatie is opgeslagen en die informatie verwerkt, behoort door de directie te worden goedgekeurd. Dit geldt voor apparatuur die eigendom is van de organisatie en voor apparatuur die persoonlijk eigendom is en ten behoeve van de organisatie wordt gebruikt.
De volgende richtlijnen behoren in overweging te worden genomen voor het beschermen van apparatuur buiten het terrein van de organisatie:
a) apparatuur en media die buiten het terrein worden gebracht behoren niet onbeheerd te worden achtergelaten in openbare ruimten;
b) voorschriften van de fabrikant voor het beschermen van de apparatuur behoren te allen tijde in acht te worden genomen, bijv. bescherming tegen blootstelling aan sterke elektromagnetische velden;
c) beheersmaatregelen voor locaties buiten het terrein, zoals locaties voor thuiswerken, telewerken en tijdelijke locaties, behoren op basis van een risicobeoordeling te worden vastgesteld, en passende beheersmaatregelen behoren voor zover relevant te worden toegepast, bijv. afsluitbare archiefkasten, ‘clear desk’-beleid, toegangsbeveiligingsmaatregelen voor computers en beveiligde communicatie met het kantoor (zie ook de ISO/IEC 27033-reeks in de bibliografie);
d) als apparatuur buiten het terrein tussen verschillende personen of externe partijen wordt overgedragen, behoort een overzicht te worden bijgehouden dat de bewakingsketen voor de apparatuur definieert, met daarin opgenomen ten minste de namen en organisaties die voor de apparatuur verantwoordelijk zijn.
Risico’s, bijv. op schade, diefstal of afluisteren, kunnen sterk tussen locaties variëren, en behoren bij het vaststellen van de meest geschikte beheersmaatregelen in overweging te worden genomen.
Zorgspecifieke implementatierichtlijn
<geen>
Overige informatie
Tot apparatuur die informatie opslaat en verwerkt, behoren alle soorten personal computers, organizers, mobiele telefoons, chipkaarten, papieren en andere informatiedragers die in bezit zijn voor thuiswerken of die van de gebruikelijke werklocatie worden overgebracht naar een andere locatie.
Meer informatie over andere aspecten van het beschermen van mobiele apparatuur is vermeld onder 6.2.
Het kan zinvol zijn het risico te verkleinen door bepaalde medewerkers te ontmoedigen buiten het bedrijf te werken of door hun gebruik van draagbare IT-apparatuur te beperken.
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Alle onderdelen van de apparatuur die opslagmedia bevatten, behoren te worden geverifieerd om te waarborgen dat gevoelige gegevens en in licentie gegeven software voorafgaand aan verwijdering of hergebruik zijn verwijderd of betrouwbaar veilig zijn overschreven.
Zorgspecifieke beheersmaatregel
Organisaties die gezondheidsinformatie verwerken, behoren alle media met toepassingssoftware voor gezondheidsinformatie of persoonlijke gezondheidsinformatie erop veilig te wissen of te vernietigen als ze niet meer gebruikt hoeven te worden.
Implementatierichtlijn
Voorafgaand aan verwijdering of hergebruik behoort te worden gecontroleerd of apparatuur opslagmedia bevat.
Opslagmedia die vertrouwelijke of door auteursrecht beschermde informatie bevatten, behoren, in plaats van met de standaard ‘delete’-functie te worden gewist of te worden geformatteerd, fysiek te worden vernietigd of de informatie behoort te worden vernietigd, verwijderd of overschreven met gebruikmaking van technieken die het onmogelijk maken de oorspronkelijke informatie terug te halen.
Zorgspecifieke implementatierichtlijn
<geen>
Overige informatie
Voor beschadigde apparatuur die opslagmedia bevat kan een risicobeoordeling nodig zijn om vast te stellen of het desbetreffende onderdeel van de apparatuur fysiek moet worden vernietigd in plaats van te worden gerepareerd of verwijderd. Informatie kan worden gecompromitteerd door onzorgvuldige verwijdering of door hergebruik van apparatuur.
Naast zorgvuldig wissen van de schijf vermindert codering van de gehele schijf het risico van openbaarmaking van vertrouwelijke informatie als de apparatuur van de hand wordt gedaan of opnieuw wordt ingezet, mits:
a) de codering voldoende sterk is en de gehele schijf omvat (met inbegrip van ‘slack space’, swapbestanden enz.);
b) de coderingssleutels lang genoeg zijn om met grove middelen uitgevoerde aanvallen te weerstaan;
c) de coderingssleutels vertrouwelijk worden behandeld (bijv. nooit op dezelfde schijf worden bewaard).
Voor nader advies over codering, zie hoofdstuk 10.
Technieken voor het zorgvuldig overschrijven van opslagmedia verschillen afhankelijk van de technologie van de opslagmedia. Overschrijvingsinstrumenten behoren te worden beoordeeld om er zeker van te zijn dat ze geschikt zijn voor de technologie van het opslagmedium.
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Gebruikers behoren ervoor te zorgen dat onbeheerde apparatuur voldoende beschermd is.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Alle gebruikers behoren op de hoogte te worden gebracht van de beveiligingseisen en de procedures voor het beschermen van onbeheerde apparatuur, en van hun verantwoordelijkheden voor het implementeren van die bescherming. Gebruikers behoren te worden geïnformeerd dat zij:
a) actieve sessies na beëindiging afsluiten, tenzij de sessies kunnen worden beveiligd door een geschikte vergrendeling, bijv. een schermbeveiliging die door een wachtwoord wordt beschermd;
b) uitloggen uit toepassingen of netwerkdiensten die niet langer nodig zijn;
c) computers of mobiele apparatuur beveiligen tegen onbevoegd gebruik door middel van toetsvergrendeling of een vergelijkbaar middel, bijv. toegang via wachtwoord, als de apparatuur niet in gebruik is.
Zorgspecifieke implementatierichtlijn
Zie ook 9.3 (Verantwoordelijkheden van gebruikers).
Overige informatie
<geen>
Overige zorgspecifieke informatie
<geen>
Beheersmaatregel
Er behoort een ‘clear desk’-beleid voor papieren documenten en verwijderbare opslagmedia en een ‘clear screen’-beleid voor informatieverwerkende faciliteiten te worden ingesteld.
Zorgspecifieke beheersmaatregel
<geen>
Implementatierichtlijn
Bij het ‘clear desk’- en ‘clear screen’-beleid behoort rekening te worden gehouden met de informatieclassificatie (zie 8.2), wettelijke en contractuele eisen (zie 18.1) en de bijbehorende risico’s en bedrijfscultuur van de organisatie. Met de volgende richtlijnen behoort rekening te worden gehouden:
a) gevoelige of essentiële bedrijfsinformatie, bijv. op papier of op elektronische opslagmedia, behoort in een afgesloten ruimte te worden bewaard (idealiter in een kluis, een kast of een andere vorm van beveiligd meubilair) wanneer deze informatie niet vereist is, vooral als het vertrek verlaten is.
b) onbeheerde computers en terminals behoren uitgelogd of beschermd te zijn met een scherm- en toetsenbordvergrendeling met wachtwoord, token of vergelijkbare gebruikersauthenticatie; wanneer ze niet worden gebruikt behoren computers en terminals te worden beschermd door toetsvergrendeling, wachtwoorden of andere beheersmaatregelen;
c) onbevoegd gebruik van fotokopieerapparaten en andere reproductieapparatuur (bijv. scanners, digitale camera’s) behoort te worden voorkomen;
d) media die gevoelige of geheime informatie bevatten, behoren na het afdrukken onmiddellijk van printers te worden verwijderd.
Zorgspecifieke implementatierichtlijn
Organisaties die gezondheidsinformatie verwerken, behoren bij het bepalen van de verantwoordelijkheden van gebruikers de wettelijk overeengekomen en door leden van organisaties van zorgverleners aanvaarde rechten en ethische verantwoordelijkheden van zorgverleners te respecteren.
Zie ook 9.3 (Verantwoordelijkheden van gebruikers).
Overige informatie
Een ‘clear desk’-/‘clear screen’-beleid vermindert tijdens en buiten gebruikelijke werkuren het risico van onbevoegde toegang, verlies en schade aan informatie. Kluizen en andere vormen van beveiligde opslagvoorzieningen kunnen de daarin opgeslagen informatie ook beschermen tegen rampen zoals brand, aardbeving, overstroming of explosie.
Overweeg het gebruik van printers met een pincodefunctie, waardoor alleen degene die de code invoert en naast de printer staat de afdrukken ontvangt.
Overige zorgspecifieke informatie
<geen>
