Begrippenlijst

Het vaststellen dat iemand daadwerkelijk is wie hij zegt te zijn, bijvoorbeeld met een wachtwoord, pas of vingerafdruk.

Het toekennen van rechten die bepalen welke gegevens en functies een gebruiker mag benaderen. Zorgt ervoor dat medewerkers alleen bij de informatie kunnen die ze voor hun werk nodig hebben.

De Europese privacywet die regelt hoe organisaties persoonsgegevens mogen verwerken. In de zorg gelden extra eisen omdat gezondheidsgegevens bijzondere persoonsgegevens zijn.

Een concrete actie of voorziening om een dreiging of kwetsbaarheid te beperken. Variërend van technisch (een firewall) tot organisatorisch (een toegangsprocedure) tot mensgericht (bewustwordingstraining).

Het risico zoals het zou zijn als je nog helemaal geen maatregelen had genomen. Het startpunt van de risicoanalyse, voordat je beheersmaatregelen meerekent.

Het plan beschrijft hoe jouw organisatie doorgaat met (kritische) zorgprocessen als systemen uitvallen, bijvoorbeeld door een ransomware-aanval. Cruciaal in de zorg: patiëntveiligheid stopt niet omdat de systemen plat liggen.

De eindverantwoordelijke voor informatiebeveiliging binnen een organisatie. Stelt beleid op, bewaakt risico's en adviseert de directie over passende maatregelen.

Een inbreuk op de beveiliging waarbij persoonsgegevens verloren gaan of in verkeerde handen komen. Ernstige datalekken moeten worden gemeld bij de Autoriteit Persoonsgegevens en soms bij de betrokkenen zelf.

Een verplichte risicoanalyse die je uitvoert voordat je start met een verwerking van persoonsgegevens die een hoog privacyrisico met zich meebrengt, bijvoorbeeld de invoering van een nieuw cliëntvolgsysteem.

Iets dat schade kán veroorzaken aan jouw informatie of processen, bijvoorbeeld een cybercrimineel, een menselijke fout, of een stroomstoring. Een dreiging is nog geen risico; pas in combinatie met een kwetsbaarheid ontstaat er echt gevaar.

Het versleutelen van data zodat deze onleesbaar is voor iedereen zonder de juiste sleutel. Belangrijk zowel voor data "in rust" (opgeslagen) als "onderweg" (bijvoorbeeld tussen een zorgapp en de server).

De onafhankelijke toezichthouder binnen je organisatie op het gebied van privacy, wettelijk verplicht voor de meeste zorginstellingen. Houdt toezicht op naleving van de AVG en is vaak ook het aanspreekpunt voor de Autoriteit Persoonsgegevens.

Het geheel aan beleid, processen en verantwoordelijkheden waarmee een organisatie structureel grip houdt op informatiebeveiliging. Geen los document, maar een doorlopende manier van werken. Vergelijkbaar met een kwaliteitsmanagementsysteem, maar dan voor security.

De internationale norm voor informatiebeveiliging waarop de NEN 7510 is gebaseerd. Wie NEN 7510 goed op orde heeft, voldoet grotendeels ook aan ISO 27001.

Een zwakke plek waardoor een dreiging daadwerkelijk schade kán aanrichten. Denk aan een systeem zonder de laatste beveiligingsupdate, of medewerkers die niet weten hoe ze phishing herkennen.

De wettelijke verplichting om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, en in sommige gevallen ook aan de betrokkenen zelf. Geldt ook als het lek per ongeluk ontstond, bijvoorbeeld een verkeerd verstuurde e-mail met patiëntgegevens.

Inloggen met meer dan alleen een wachtwoord, bijvoorbeeld ook een code via een app. Een van de meest effectieve en relatief simpele maatregelen tegen ongeautoriseerde toegang.

De Nederlandse norm voor informatiebeveiliging specifiek voor de zorg. Denk aan ISO 27001, maar dan toegespitst op zorgprocessen zoals het cliëntdossier en medische apparatuur. Voor veel zorginstellingen een wettelijke of contractuele verplichting.

Een Europese richtlijn die eisen stelt aan cybersecurity en risicobeheer bij organisaties die als "essentieel" of "belangrijk" worden gezien waaronder delen van de zorgsector. NIS2 verplicht onder meer tot risicomanagement, incidentmelding en toezicht door de bestuurder zelf.

Het gestructureerd en tijdig installeren van beveiligingsupdates op systemen en software. Klinkt saai, maar een groot deel van de succesvolle aanvallen maakt gebruik van kwetsbaarheden waarvoor al lang een patch beschikbaar was.

Een gecontroleerde, geautoriseerde poging om in te breken in je systemen, uitgevoerd door specialisten, om kwetsbaarheden te ontdekken voordat een kwaadwillende dat doet.

Nepberichten (meestal e-mail) die zich voordoen als betrouwbaar, met als doel dat je inloggegevens deelt of op een schadelijke link klikt. Nog altijd de meest gebruikte manier waarop aanvallers een organisatie binnenkomen.

Het bewerken van persoonsgegevens zodat ze niet meer direct tot een persoon herleidbaar zijn zonder aanvullende informatie. Vermindert de risico's bij verwerking en onderzoek.

Kwaadaardige software die bestanden of hele systemen versleutelt, waarna criminelen losgeld eisen om de data weer vrij te geven. Een van de grootste dreigingen voor zorginstellingen, omdat uitval van systemen direct de zorgverlening raakt.

Het risico dat overblijft nadat je maatregelen hebt genomen. Nooit nul, de vraag is steeds of het restrisico acceptabel is voor jouw organisatie.

De grens die je organisatie vooraf bepaalt: welk restrisico vinden we wel of niet acceptabel? Zonder dit kader blijft "voldoende beveiligd" een onderbuikgevoel in plaats van een onderbouwde keuze.

Een gestructureerde beoordeling van dreigingen en kwetsbaarheden, waarmee wordt bepaald welke beveiligingsmaatregelen nodig en proportioneel zijn.

Het manipuleren van mensen (in plaats van systemen) om toegang te krijgen tot informatie. Bijvoorbeeld iemand die zich telefonisch voordoet als IT-support. Techniek kun je beveiligen, mensen moet je trainen.

Een verplichte overeenkomst tussen jouw organisatie en een leverancier die namens jou persoonsgegevens verwerkt (denk aan een softwareleverancier van het cliëntdossier). Hierin leg je vast wie waarvoor verantwoordelijk is.

Een overzicht van alle verwerkingen van persoonsgegevens binnen je organisatie: welke gegevens, met welk doel, wie heeft toegang, hoe lang bewaar je ze. Wettelijk verplicht en de basis voor grip op je AVG-verplichtingen.

Een kwetsbaarheid in software die nog onbekend is bij de leverancier, waardoor er nog geen patch (reparatie) beschikbaar is. Aanvallers die deze als eerste vinden, hebben tijdelijk vrij spel.