Onderwerp 4.2 — Identiteits- en toegangsbeheer

In gezondheid en zorg is het beheersen van wie wat kan zien en doen met het dossier van een patiënt geen IT-huishouding maar een bepalende factor in de frontlinie voor klinische veiligheid, vertrouwelijkheid en publiek vertrouwen.

Waarom dit ertoe doet in gezondheid en zorg#

Elke klinische beslissing rust op de aanname dat het dossier voor een clinicus het juiste dossier is, bij de juiste patiënt hoort en door de juiste persoon is bereikt. Identiteits- en toegangsbeheer (identity and access management, IAM) is de machinerie die deze drie aannames waar maakt. Wanneer het werkt, ziet een ambulanceverpleegkundige een allergie op tijd, bereikt een notitie over safeguarding alleen wie haar nodig heeft en kan een controlespoor de vraag “wie heeft dit dossier bekeken en waarom?” beantwoorden. Wanneer het faalt, worden patiënten geschaad door dossiers geopend onder de verkeerde naam, snuffelt personeel naar familieleden of bekende personen en erodeert het vertrouwen in de hele digitale onderneming.

Gezondheid en zorg verhogen de inzet boven het gewone bedrijfsgeval op drie manieren. Ten eerste behoren de data tot het gevoeligste dat iemand ooit zal genereren — geestelijke gezondheid, seksuele gezondheid, middelengebruik, genderidentiteit, zorgen over safeguarding — dus een schending van vertrouwelijkheid is geen ongemak maar blijvende schade. Ten tweede is het personeelsbestand mobiel, roulerend en multi-organisatorisch: arts-assistenten roteren om de paar maanden, uitzend- en waarnemend personeel komt voor één dienst en geïntegreerde zorg betekent dat een wijkverpleegkundige legitiem een ziekenhuisdossier kan nodig hebben. Ten derde is de zorgplicht onbarmhartig voor wrijving: een toegangsbeheersing die om 03.00 uur bij reanimatie te traag is, is zelf een veiligheidsgevaar. IAM is in deze sector daarom een voortdurende onderhandeling tussen data afsluiten en de juiste persoon snel binnenlaten.

Dit onderwerp behandelt de diepte van toegangsbeheer onder de bredere plichten die in Onderwerp 1.7 — Informatiebeheer, gegevensbescherming en cyberbeveiliging worden behandeld. Waar dat onderwerp het wettelijke en organisatorische kader stelt — de UK General Data Protection Regulation, de Data Security and Protection Toolkit, de geheimhoudingsplicht — gaat dit onderwerp over de concrete mechanica van het bewijzen van identiteit en het verlenen van de minimale toegang die nodig is om het werk te doen.

Kernbegrippen#

Identiteits- en toegangsbeheer is de discipline en de set technologieën die ervoor zorgt dat de juiste personen op het juiste moment de juiste toegang tot de juiste middelen hebben, en dat dit achteraf kan worden bewezen. Het rust op een onderscheid dat gemakkelijk vervaagt en gevaarlijk is te verliezen: het verschil tussen authenticatie en autorisatie.

Authenticatie beantwoordt “bent u wie u beweert te zijn?” Zij wordt bewezen met factoren: iets wat u weet (een wachtwoord of pincode), iets wat u hebt (een smartcard, een telefoon, een hardwaretoken) en iets wat u bent (een vingerafdruk of gezicht). Autorisatie beantwoordt een andere vraag — “nu we weten wie u bent, wat mag u zien en doen?” Een specialist en een baliemedewerker kunnen beiden perfect authenticeren, maar zijn gemachtigd voor zeer verschillende delen van een dossier. De twee verwarren leidt tot systemen die identiteit sterk controleren en dan iedereen alles laten zien.

Autorisatie in gezondheid en zorg wordt gewoonlijk georganiseerd als rolgebaseerde toegangsbeheersing (role-based access control, RBAC), waar rechten aan rollen hangen — “verpleegkundige spoedeisende hulp”, “huisarts”, “medisch secretaresse” — en mensen rechten erven door een rol te hebben, in plaats van dat rechten één voor één worden verleend. RBAC wordt bestuurd door het principe van minimale rechten: elke persoon, en elk systeemaccount, moet de minimale toegang hebben die nodig is om het werk te doen en niet meer. Minimale rechten beperken zowel onbedoelde fouten als de schadestraal van een gecompromitteerd account.

Moderne authenticatie versterkt de stap “bewijs wie u bent” met multifactorauthenticatie (MFA), die twee of meer factoren combineert zodat een gestolen wachtwoord alleen niet genoeg is. Zij vermindert wrijving met single sign-on (SSO), waar één geauthenticeerde sessie toegang geeft tot veel applicaties zonder herhaald inloggen — een echt veiligheidsvoordeel wanneer een clinicus in een uur tussen een dozijn systemen moet bewegen. SSO over organisatiegrenzen heen leunt op gefedereerde identiteit: één organisatie staat in voor een gebruiker zodat een andere hem of haar kan vertrouwen zonder zijn of haar inloggegevens te bezitten.

Het leidingwerk van federatie en moderne authenticatie is gebouwd op open normen. OAuth is een norm voor gedelegeerde autorisatie — een applicatie namens u laten handelen zonder uw wachtwoord uit te geven. OpenID Connect legt authenticatie bovenop OAuth zodat een applicatie kan leren wie de gebruiker is, en de oudere, op XML gebaseerde Security Assertion Markup Language (SAML) doet een soortgelijk werk voor SSO in bedrijven. De levenscyclus van een identiteit — het verlenen, wijzigen en intrekken van toegang naarmate mensen binnenkomen, doorschuiven en vertrekken — wordt afgehandeld door processen voor provisioning, gewoonlijk joiners/movers/leavers of JML genoemd.

De strategische richting is zero-trustarchitectuur: de aanname dat geen enkele gebruiker of apparaat betrouwbaar is louter omdat hij binnen het netwerk zit. Elk verzoek wordt geauthenticeerd, geautoriseerd en getoetst aan context — gezondheid van het apparaat, locatie, gevoeligheid van de data — in plaats van te leunen op een versterkte perimeter. In een sector waar personeel werkt vanuit klinieken, huizen, ambulances en partnerlocaties is de perimeter feitelijk opgelost, en zero trust noemt het eerlijke antwoord daarop.

Beste praktijken#

1. Behandel authenticatie en autorisatie als afzonderlijke ontwerpbeslissingen. Besluit eerst hoe sterk u identiteit moet bewijzen voor een bepaald systeem, en afzonderlijk hoe fijnmazig u moet beheersen wat elke rol dan mag doen. Sterk inloggen op een systeem dat iedereen volledige toegang geeft is valse troost, en fijnmazige rechten achter een zwak wachtwoord zijn even hol. Documenteer beide beslissingen expliciet voor elk klinisch systeem en herzie ze wanneer de gevoeligheid van de data of de gebruikerspopulatie verandert.

2. Laat rolgebaseerde toegangsbeheersing echte klinische rollen weerspiegelen en houd haar dan schoon. Ontwerp rollen rond hoe zorg werkelijk wordt geleverd — niet rond het organigram of de grillen van de standaardconfiguratie van een leverancier — en koppel elke rol aan de minimale dossiers en functies die zij nodig heeft. Na verloop van tijd vervalt RBAC in “rolexplosie”, waar honderden overlappende rollen zich opstapelen en niemand kan zeggen wat een daarvan verleent. Plan periodieke rationalisatie van rollen en weersta de verleiding elk toegangsverzoek op te lossen door een nieuwe maatwerkrol te maken.

3. Pas minimale rechten toe op mensen en machineaccounts gelijk. Minimale rechten worden routinematig toegepast op clinici en dan vergeten voor de serviceaccounts, integratiemotoren en rapportagehulpmiddelen die vaak de breedste toegang van allemaal hebben. Een geautomatiseerde interface die data voor een dashboard ophaalt heeft zelden schrijftoegang of identificeerbare vrije tekst nodig, maar krijgt die vaak toch. Inventariseer niet-menselijke identiteiten, beperk ze en roteer hun inloggegevens volgens schema.

4. Verplicht multifactorauthenticatie voor toegang op afstand en met privileges, en kies factoren die bij de setting passen. Alleen wachtwoorden zijn niet langer verdedigbaar voor alles wat patiëntgegevens van buiten een vertrouwd apparaat bereikt, en MFA is nu een basisverwachting in NHS-systemen. Kies factoren die de klinische omgeving overleven: phishingbestendige hardwaretokens of platformauthenticators voor toegang met privileges en op afstand, en wees op uw hoede voor sms-codes op afdelingen waar het bereik slecht is en telefoons worden gedeeld. Weeg de beveiligingswinst af tegen de werkelijkheid dat een clinicus midden in een reanimatie niet kan rommelen naar een tweede factor.

5. Gebruik single sign-on om wrijving weg te nemen die personeel naar onveilige omwegen duwt. Wanneer personeel op tien systemen apart moet inloggen, schrijven zij wachtwoorden op plakbriefjes, delen smartcards en laten sessies open — elk een risico voor veiligheid en vertrouwelijkheid. Goed geïmplementeerde SSO, bij voorkeur gecombineerd met nabijheidspassen “tap in, tap out” op gedeelde klinische werkstations, verbetert zowel de beveiliging als geeft clinici tijd terug. Behandel SSO als een interventie voor patiëntveiligheid, niet louter als gemak, en meet de inlogtijd die u wegneemt.

6. Moderniseer NHS-identiteit voorbij de smartcard, zonder te breken wat werkt. De NHS Care Identity Service (voorheen de Care Identity Service en daarvoor het regime van de Registration Authority gebouwd op smartcards) authenticeert NHS-personeel en stuurt toegang tot nationale systemen als de Spine. De nationale richting is nu naar moderne, op normen gebaseerde authenticatie — CIS2 met MFA en OpenID Connect — wat de afhankelijkheid van fysieke smartcards en kaartlezers vermindert die falen, worden gedeeld of zorg blokkeren. Plan uw migratie bewust: behoud de borging en registratiestrengheid van het smartcardmodel terwijl u de flexibiliteit van moderne tokens overneemt.

7. Run joiners/movers/leavers als beheerst, controleerbaar proces — vooral leavers. Het meest voorkomende ernstige falen van IAM in gezondheid en zorg is het account dat de behoefte van de persoon overleeft: de geroteerde arts-assistent, de vertrokken uitzendverpleegkundige, de aannemer wiens toegang nooit is ingetrokken. Automatiseer provisioning vanuit een gezaghebbende bron (gewoonlijk het elektronisch personeelsdossier) zodat het starten, wijzigen en beëindigen van een rol binnen een omschreven, kort venster de bijbehorende toegangswijziging triggert. Behandel intrekking op dezelfde dag voor vertrekkers en voor personeel onder onderzoek als harde eis, niet als aspiratie.

8. Hercertificeer toegang regelmatig en maak managers daarvoor verantwoordelijk. Toegang die op dag één passend was, drijft af naarmate mensen van team wisselen en rechten verzamelen die zij niet meer nodig hebben — “privilege creep”. Voer periodieke toegangstoetsingen (hercertificering) uit waarin de verantwoordelijke manager of systeemeigenaar actief bevestigt dat elke persoon elk recht nog nodig heeft, waarbij stilte standaard intrekking betekent en geen behoud. Maak de toetsing zinvol door haar in eenvoudige taal van klinische rollen te presenteren, niet in ruwe rechtencodes die geen manager kan interpreteren.

9. Bestuur toegang met privileges als categorie op zich. Beheerders, database-eigenaren en infrastructuurengineers kunnen elk dossier lezen of wijzigen en de maatregelen uitzetten die het beschermen, dus hun toegang vraagt sterkere behandeling dan gewone gebruikers. Voer beheer van toegang met privileges (privileged access management) in: scheid beheeridentiteiten van dagelijkse accounts, verleen verhoogde rechten just-in-time en in tijd begrensd in plaats van permanent en leg sessies met privileges vast voor onafhankelijke toetsing. Laat een leverancier of een “break-glass”-account nooit een permanente, niet-gemonitorde loper worden.

10. Maak elke toegangsbeslissing controleerbaar, en lees de audit werkelijk. Toegangsbeheersing die achteraf niet kan worden getoetst is slechts een halve maatregel; het vermogen “wie heeft dit dossier geraadpleegd, wanneer en op welke grondslag?” te beantwoorden onderbouwt zowel onderzoeken naar vertrouwelijkheid als patiëntveiligheid. Configureer uitgebreide, manipulatiebestendige auditlogging en — cruciaal — voorzie proactieve audit van middelen, inclusief alarmen voor opzoekingen van zichzelf, van collega’s of van bekende personen en voor ongebruikelijke toegangsvolumes. Een controlespoor dat niemand onderzoekt schrikt niemand af.

11. Ontwerp break-glass-toegang zodat noodgevallen worden bediend en misbruik wordt gevangen. Clinici hebben soms legitiem een dossier nodig dat zij niet routinematig mogen zien — een bewusteloze patiënt, een noodgeval over organisaties heen. Bied een expliciet “break-glass”-pad dat noodtoegang verleent met een verplichte reden, onmiddellijke markering en verplichte toetsing achteraf, in plaats van personeel te dwingen te kiezen tussen de regels en de patiënt. Het doel is de veilige noodhandeling gemakkelijk te maken en de ongerechtvaardigde zichtbaar.

12. Neem zero trust aan als richting en volg haar pragmatisch in volgorde. Beweeg van “vertrouwd netwerk, binnen open” naar het verifiëren van elk verzoek tegen identiteit, gezondheid van het apparaat en context, zodat een gecompromitteerde laptop op het bedrijfs-LAN niet langer automatisch wordt vertrouwd. Dit is een meerjarige reis via sterke identiteit, naleving door apparaten, voorwaardelijke toegang en micro-segmentatie — geen product dat u koopt. Zet haar achter de fundamenten (MFA, minimale rechten, schone JML) en stem haar af op het werk aan het bestand in Onderwerp 4.0 — Technische architectuur, cloud en legacy.

Vragen om met uw team te bespreken#

1. Waar wegen wij bewust toegangswrijving af tegen klinische veiligheid, en wie besliste over de balans? Elke extra login, tweede factor of autorisatiestap beschermt vertrouwelijkheid maar kost seconden die in een noodgeval zelf een veiligheidsrisico zijn. Deze vraag dwingt het team de specifieke plekken te noemen waar beveiligingsmaatregelen zorg kunnen vertragen — de login bij reanimatie, het gedeelde werkstation op de afdeling, het systeem buiten kantooruren — en te vragen of de huidige balans is gekozen door mensen die zowel de klinische als de beveiligingsgevolgen begrijpen, of standaard de instelling van een leverancier werd. Bespreek de spanning eerlijk: een te strakke maatregel drijft wachtwoorden op plakbriefjes en gedeelde smartcards aan die erger zijn dan het risico dat zij adresseren, terwijl een te losse snuffelen en lekken uitnodigt. Zoek naar concrete signalen van een slechte balans — personeel dat inloggegevens deelt, sessies die open blijven, break-glass die routinematig wordt gebruikt. Een goed antwoord identificeert wie elke afweging bezit, toont dat clinici in de kamer waren toen zij werd gesteld en wijst naar gemeten inlogtijden en percentages omwegen in plaats van aannames. Het verbindt zich er ook aan de balans te herzien naarmate rollen, systemen en dreigingen veranderen.

2. Hoe zeker zijn wij dat een vertrekker of doorschuiver de juiste toegang verliest, binnen het juiste tijdsbestek, elke keer? Het account dat zijn behoefte overleeft is het klassieke falen van IAM, en in een roulerend, multi-organisatorisch zorgpersoneel is het risico acuut. Deze vraag onderzoekt of joiners/movers/leavers een betrouwbaar, geautomatiseerd proces is dat vanuit een gezaghebbende bron wordt gedreven, of een set handmatige e-mails die stilletjes falen wanneer iemand het druk heeft. Bespreek de moeilijke gevallen: de arts-assistent die tussen ziekenhuizen roteert, de uitzendverpleegkundige voor één dienst, de aannemer, het personeelslid dat in afwachting van onderzoek is geschorst. Overweeg wat “het juiste tijdsbestek” voor elk betekent — intrekking op dezelfde dag is voor een schorsing niet onderhandelbaar maar kan zachter zijn voor een routinematige interne verplaatsing. Een goed antwoord kan bewijs tonen, geen voornemen: de resultaten van de laatste audit van vertrekkers, het aantal slapende accounts dat is gevonden en gesloten, de tijd tussen iemands vertrek en het einde van zijn of haar toegang. Het is eerlijk over de gaten en noemt wie verantwoordelijk is ze te sluiten.

3. Wanneer er iets misgaat met een dossier, kunnen wij dan werkelijk reconstrueren wie wat deed — en zouden wij misbruik opmerken zonder dat een incident ons aanspoort? Audit is de maatregel die vertrouwelijkheid en veiligheid achteraf afdwingbaar maakt, maar werkt alleen als de logs volledig, beschermd en werkelijk getoetst zijn. Deze vraag scheidt twee dingen die een team vaak verwart: het vermogen reactief te onderzoeken wanneer een klacht binnenkomt en het vermogen misbruik proactief te detecteren voordat iemand klaagt. Onderzoek wat uw logs werkelijk vastleggen, of ze kunnen worden gewijzigd, hoe lang ze worden bewaard en — de moeilijkere vraag — wie ernaar kijkt wanneer er geen incident is. Overweeg de realistische dreigingen: een personeelslid dat een familielid, een collega of een publiek figuur opzoekt; een gecompromitteerd account dat dossiers op schaal exfiltreert. Een goed antwoord toont dat audit als actieve functie met alarmering van middelen is voorzien en geen slapend archief is, en kan een echt voorbeeld van misbruik noemen dat de organisatie opspoorde en waarop zij handelde. Het verbindt audit ook met billijkheid, zodat toetsingen bepaalde groepen personeel niet onevenredig treffen.

4. Wanneer een clinicus legitiem een dossier nodig heeft dat hij of zij niet routinematig mag zien, maakt ons break-glass-pad de veilige handeling dan gemakkelijk en de ongerechtvaardigde zichtbaar? Gezondheid en zorg verschillen van gewone bedrijfs-IT juist doordat de regels soms moeten wijken voor de patiënt voor u — een bewusteloze aankomst, een noodgeval over organisaties heen, een clinicus buiten kantooruren die een onbekende caseload waarneemt. Deze vraag vraagt of noodtoegang is ontworpen als expliciet, beredeneerd, gemarkeerd pad, of dat personeel stilletjes wordt gedwongen te kiezen tussen het toegangsbeleid en het welzijn van de patiënt. Onderzoek de faalwijzen aan beide uiteinden: een break-glass-route zo omslachtig dat clinici haar vermijden en in plaats daarvan inloggegevens delen, of zo wrijvingsloos en ongetoetst dat zij de routinematige weg naar binnen wordt en RBAC geheel uitholt. Bespreek wie break-glass-gebeurtenissen toetst, hoe snel en welk deel ongerechtvaardigd blijkt — een percentage bij nul kan betekenen dat de maatregel ongebruikt is in plaats van schoon. Een goed antwoord kan de exacte stappen beschrijven die een clinicus neemt, de vastlegging van de reden, de onmiddellijke markering naar de thuisorganisatie van het dossier en de toetsing achteraf die de lus sluit, en kan tonen dat noodgevallen werkelijk worden bediend en misbruik werkelijk wordt gevangen. Het is eerlijk over of volumes van break-glass een richting uitgaan die wijst op een dieper gat in autorisatie.

5. Besturen wij toegang met privileges en niet-menselijke toegang even strak als clinici — of zit daar de werkelijke blootstelling? De maatregelen die patiëntgegevens beschermen worden zelf door iemand beheerd, en beheerders, database-eigenaren, integratiemotoren en rapportageaccounts kunnen vaak elk dossier lezen of wijzigen en de waarborgen uitzetten die iedereen anders beperken. Deze vraag sleept de toegang in het licht die de discipline van minimale rechten het waarschijnlijkst overslaat: permanente beheeraccounts, inlogs voor ondersteuning op afstand van leveranciers, serviceaccounts met onbeperkte rechten en de geautomatiseerde interface die stilletjes identificeerbare vrije tekst ophaalt die hij nooit nodig had. Bespreek of beheeridentiteiten van dagelijkse accounts zijn gescheiden, of verhoging just-in-time en in tijd begrensd of permanent is en of sessies met privileges worden vastgelegd en onafhankelijk getoetst. Overweeg specifiek het niet-menselijke bestand — wie elk serviceaccount bezit, wanneer zijn inloggegevens voor het laatst zijn geroteerd en of iemand ze vandaag zou kunnen opsommen. Een goed antwoord behandelt toegang met privileges als categorie op zich met benoemde eigenaren, bewijs van just-in-time verhoging en een echte inventaris van machine-identiteiten, in plaats van aan te nemen dat de fundamenten voor clinici ook de backoffice dekken. Het is openhartig over leveranciers en over elk account dat een permanente, niet-gemonitorde loper is geworden.

6. Hoeveel van onze identiteit hangt af van partijen buiten onze controle, en zijn wij bewust over die afhankelijkheid? Moderne identiteit in gezondheid en zorg is door ontwerp gefedereerd — een gedeeld dossier vertrouwt beweringen van elke partnerorganisatie, nationale diensten als de NHS Care Identity Service en CIS2 staan in voor personeel en NHS login staat in voor burgers — wat betekent dat de sterkte van uw toegangsbeheersing slechts zo goed is als de identiteitsaanbieders waarop u vertrouwt en de normen die u binden. Deze vraag vraagt het team in kaart te brengen waar vertrouwen is gedelegeerd: welke organisaties welke gebruikers authenticeren, wat gebeurt er wanneer het joiners/movers/leavers-proces van een partner faalt en hoe een gefedereerde login wordt ingetrokken wanneer een personeelslid van een andere werkgever vertrekt. Weeg de migratie die gaande is van smartcards naar op normen gebaseerde authenticatie (CIS2 met MFA en OpenID Connect) en de spanning tussen de nationale richting overnemen en lokale werkstromen om 03.00 uur laten werken. Overweeg ook de invalshoek van weerbaarheid: als een nationale identiteitsdienst niet beschikbaar is, kunnen clinici dan nog steeds veilig bij de dossiers die zij nodig hebben, of wordt federatie een single point of failure. Een goed antwoord toont dat het team precies weet op wiens borging het vertrouwt, heeft afgesproken hoe intrekking en incidenten over organisaties heen worden afgehandeld en zijn overstap naar moderne NHS-authenticatie bewust in volgorde zet in plaats van erdoor te worden meegevoerd. Het is realistisch over de delen van het bestand die nog niet kunnen federeren en hoe ze ondertussen worden overbrugd.

In de praktijk: een voorbeeld uit gezondheid en zorg#

Het Meadowvale Integrated Care System rolt een gedeeld zorgdossier uit zodat personeel van ziekenhuis, gemeenschapszorg, geestelijke gezondheidszorg, huisarts en volwassenensociale zorg een verenigd beeld van elke persoon kan zien. Vroeg in discovery realiseert het programma zich dat het echte risico niet het bouwen van het dossier is maar het beheersen van de toegang ertoe: een enkel beeld over vijf organisaties vermenigvuldigt zowel het veiligheidsvoordeel van de juiste clinicus die de juiste informatie ziet als de schade van de verkeerde persoon die iets gevoeligs ziet.

Het team maakt toegangsbeheersing tot een eersteklas ontwerpstroom. Zij spreken een rollenmodel af uitgedrukt in klinische taal — “wijkverpleegkundige”, “goedgekeurd professional geestelijke gezondheid”, “manager verzorgingshuis” — en koppelen elke rol aan de minimale data die zij nodig heeft, waarbij dossiers van geestelijke en seksuele gezondheid onder strengere, afzonderlijk geautoriseerde toegang vallen. Authenticatie is gefedereerd: elke partnerorganisatie authenticeert haar eigen personeel via de NHS Care Identity Service of haar lokale identiteitsaanbieder met OpenID Connect, en het gedeelde dossier vertrouwt die beweringen in plaats van eigen inloggegevens uit te geven, dus er is geen nieuw wachtwoord te beheren en joiners/movers/leavers blijft bij de werkgevende organisatie waar het gezaghebbende personeelsdossier leeft.

Omdat een ambulanceverpleegkundige of een clinicus buiten kantooruren soms een dossier nodig heeft dat hij of zij niet routinematig mag zien, bouwt het team een expliciet break-glass-pad: noodtoegang wordt verleend na het invoeren van een reden, onmiddellijk gemarkeerd naar de thuisorganisatie van het dossier en binnen 48 uur getoetst. Zij richten een kleine gezamenlijke functie voor informatiebeheer en audit op die break-glass-gebeurtenissen toetst, alarmen draait voor opzoekingen van zichzelf en van gemarkeerde personen en elk kwartaal aan het ICS-bestuur rapporteert.

Zes maanden na go-live markeert een alarm een zorgcoördinator die herhaaldelijk het dossier opent van iemand zonder actieve betrokkenheid bij zijn of haar caseload. De auditfunctie onderzoekt, vindt dat de toegang persoonlijk was en niet professioneel, en de werkgevende organisatie neemt disciplinaire maatregelen. Er deed zich geen incident van patiëntveiligheid voor, de schending werd proactief gevangen en — omdat de maatregelen aantoonbaar werkten — hield het publieke vertrouwen in het gedeelde dossier stand. Het bestuur merkt op dat dezelfde auditcapaciteit nu ook dient als bewijs voor zijn inzending van de Data Security and Protection Toolkit (zie Onderwerp 1.7 — Informatiebeheer, gegevensbescherming en cyberbeveiliging).

Sectorperspectieven#

Startup#

Een klein bedrijf voor digitale gezondheid dat bijvoorbeeld een app voor monitoring op afstand bouwt heeft het voordeel van geen legacy: het kan vanaf dag één moderne authenticatie, MFA en op normen gebaseerde federatie overnemen en integreren met NHS login voor burgers en CIS2 voor clinici in plaats van een eigen identiteitssysteem uit te vinden. Het gevaar is dat snelheid de discipline voorbijrent — hard gecodeerde beheerdersinloggegevens, een gedeeld “oprichters”-supergebruikersaccount, serviceaccounts met onbeperkte toegang en geen leaverproces omdat “iedereen elkaar kent”. Minimale rechten en audit voelen als overhead bij tien mensen maar worden onherstelbare technische schuld bij honderd. De pragmatische zet is identiteit als beheerde dienst te kopen, MFA en RBAC vanaf de eerste commit af te dwingen en de eisen van DTAC (Digital Technology Assessment Criteria) te behandelen als de minimale lat voor elke NHS-inzet.

Klein bedrijf#

Een gevestigde kleine aanbieder — een huisartsenpraktijk, een gemeenschapsapotheek, een verzorgingshuis, een thuiszorgorganisatie, een kliniek met één vestiging of een kleine leverancier van gezondheidstechnologie voorbij het stadium zonder omzet — draagt dezelfde plichten voor vertrouwelijkheid en toegangsbeheer als een groot ziekenhuis maar heeft echte patiënten in de boeken, een handvol personeel en weinig of geen toegewijde IT-capaciteit om eraan te voldoen. Het praktische risico is hier niet exotisch: het is de gedeelde login aan de balie, het wachtwoord van het klinische systeem op een monitor geplakt, de waarnemer die een smartcard van een collega krijgt omdat een nieuwe registreren te lang duurt en de vertrekker wiens account nooit wordt uitgezet omdat niemand die taak bezit. Het pragmatische pad is te leunen op de identiteitsfuncties die al in de systemen zitten die zij kopen — dwing MFA en accounts per persoon af, zet de auditlogging van de leverancier aan en gebruik NHS CIS2 en NHS login in plaats van zelfgemaakte inloggegevens — en een eenvoudige routine voor joiners/movers/leavers op te schrijven die één verantwoordelijke persoon noemt, zelfs als die persoon de praktijkmanager is die het met de hand doet. Minimale rechten en intrekking op dezelfde dag voor vertrekkers doen er bij tien medewerkers even veel toe als bij tienduizend; het verschil is dat ze hier met proces en configuratie moeten worden bereikt en niet met een toegewijd identiteitsteam.

Grote onderneming#

Een groot NHS-ziekenhuis of ICS runt tientallen klinische systemen van sterk uiteenlopende leeftijd, elk met een eigen identiteitsmodel, en zijn centrale uitdaging is integratie en levenscyclus op schaal. Smartcards, SSO, werkstromen “tap in, tap out” en een betrouwbare JML-pijplijn vanuit het elektronisch personeelsdossier doen hier meer ertoe dan enige afzonderlijke slimme maatregel, omdat de faalwijzen volumefalen zijn: duizenden slapende accounts, rolexplosie en auditlogs die niemand de capaciteit heeft te toetsen. Beheer van toegang met privileges is kritiek gezien het aantal beheerders en leveranciers dat het bestand raakt. Vooruitgang komt van een identiteitsstrategie die rollen rationaliseert, over systemen heen federeert en een vaste auditfunctie van middelen voorziet — niet van puntoplossingen op elke applicatie geschroefd.

Overheid#

Een nationaal orgaan als NHS England exploiteert identiteit als gedeelde infrastructuur voor het hele stelsel: de NHS Care Identity Service en CIS2 voor personeel, NHS login voor burgers en de normen en borgingsregimes waarmee honderden organisaties elkaar vertrouwen. Zijn beslissingen bepalen de richting — de overstap van smartcards naar moderne authenticatie, de adoptie van OpenID Connect, de druk richting zero trust — en zijn verantwoording is aan het Parlement en het publiek voor zowel beveiliging als billijke toegang. De spanning is tussen centrale standaardisatie en lokale flexibiliteit: verplicht te rigide en u breekt lokale werkstromen, verplicht te los en federatie valt uiteen in inconsistentie. De lens van de overheid gaat daarom over het vaststellen van interoperabele normen (zie Onderwerp 4.3 — Interoperabiliteit en datastandaarden), het bieden van betrouwbare gedeelde diensten en het borgen van naleving zonder elk ziekenhuis te micromanagen.

Veelvoorkomende faalpatronen#

• Verweesde en slapende accounts. Vertrekkers, geroteerd personeel en oude aannemers behouden live toegang omdat JML leunt op handmatige kennisgeving. De oplossing is geautomatiseerd intrekken vanuit een gezaghebbende bron plus regelmatige controles op slapende accounts.
• Rolexplosie en privilege creep. RBAC vervalt in honderden overlappende rollen en individuen verzamelen rechten die zij niet meer gebruiken. Ga ertegenin met periodieke hercertificering en geplande rationalisatie van rollen.
• Delen van inloggegevens en gedeelde werkstations. Trage logins en onhandige smartcards drijven personeel tot het delen van kaarten en het open laten van sessies. Pak de oorzaak aan met SSO, nabijheidspassen en snel wisselen in plaats van personeel aan te sporen zich te gedragen.
• Permanente toegang met privileges. Beheerders en leveranciers houden permanente accounts met onbeperkte rechten die de maatregelen zelf kunnen uitschakelen. Ga over op just-in-time, in tijd begrensde, vastgelegde verhoging.
• Audit als decoratie. Logs worden verzameld maar nooit getoetst, zodat misbruik alleen reactief wordt gevonden. Voorzie proactieve audit van middelen met alarmering voor opzoekingen van zichzelf en van bekende personen.
• Break-glass als sluiproute. Noodtoegang bestaat maar wordt niet gemonitord, zodat zij de routinematige weg van de minste weerstand wordt. Eis een reden, markeer elk gebruik en toets achteraf.
• MFA-theater. MFA staat aan maar op zwakke, te phishen factoren, of is ontheven voor de drukste gebruikers met privileges. Geef waar het risico het hoogst is de voorkeur aan phishingbestendige factoren.

Volwassenheidsmodel#

Checklist#

• Sterkte van authenticatie en reikwijdte van autorisatie zijn voor elk klinisch systeem afzonderlijk beslist en gedocumenteerd.
• MFA wordt afgedwongen voor alle toegang op afstand en met privileges, met factoren die bij de klinische setting passen.
• Single sign-on en snel wisselen van werkstation zijn ingevoerd om inlogwrijving en het delen van inloggegevens weg te nemen.
• Rollenmodel uitgedrukt in klinische taal, gekoppeld aan minimale rechten en volgens schema gerationaliseerd.
• Joiners/movers/leavers geautomatiseerd vanuit een gezaghebbende personeelsbron, met intrekking op dezelfde dag voor vertrekkers en schorsingen.
• Periodieke hercertificering van toegang uitgevoerd door verantwoordelijke managers, met standaard intrekken van onbevestigde toegang.
• Toegang met privileges beheerd als afzonderlijke categorie: afzonderlijke identiteiten, just-in-time verhoging, vastgelegde sessies.
• Niet-menselijke en integratieaccounts geïnventariseerd, beperkt tot minimale rechten en met geroteerde inloggegevens.
• Uitgebreide, manipulatiebestendige auditlogging aanwezig, met proactieve alarmering voor opzoekingen van zichzelf, van collega’s en van bekende personen.
• Break-glass-noodtoegang ontworpen met verplichte reden, onmiddellijke markering en toetsing achteraf.
• Migratie van smartcards naar moderne NHS-authenticatie (CIS2 / OpenID Connect) gepland en in volgorde gezet.
• Een roadmap voor zero trust is afgesproken en afgestemd op de strategie voor technische architectuur.

Belangrijkste bronnen#

• NHS England — richtlijnen voor de NHS Care Identity Service en Care Identity Service 2 (CIS2)
• NHS England — Data Security and Protection Toolkit
• National Cyber Security Centre (NCSC) — Zero Trust Architecture Design Principles
• National Cyber Security Centre (NCSC) — richtlijnen over multifactorauthenticatie en identiteits-/toegangsbeheer
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — documentatie van de dienst voor identiteitsverificatie van burgers
• DTAC — Digital Technology Assessment Criteria voor gezondheid en sociale zorg
• Britse Caldicott-beginselen en de common-lawplicht tot vertrouwelijkheid

Referenties#

1. Identity management (identity and access management) — Wikipedia — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
3. Authorization — Wikipedia — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — Wikipedia — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — Wikipedia — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — Wikipedia — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — Wikipedia — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — Wikipedia — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — Wikipedia — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — Wikipedia — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — Wikipedia — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/