NEN 7510 risicoanalyse: 5-stappenplan

De digitalisering van de zorg is in volle gang. Dat brengt allerlei risico’s met zich mee op het gebied van informatiebeveiliging. Niet voor niets zijn zorginstellingen, gezien de gevoelige aard van medische gegevens, een aantrekkelijk doelwit voor cybercriminelen. Ook technische fouten of fouten voortkomend uit menselijk handelen vormen een risico met grote gevolgen met het oog op de beschikbaarheid van zorg en privacy van patiënten. Hoe zorg je ervoor dat gevoelige patiëntgegevens veilig zijn? De NEN 7510 norm, de norm voor informatiebeveiliging in de zorg, biedt een kader dat zorginstellingen helpt bij het beter beveiligingen van dit soort gegevens. Een belangrijk aspect dat binnen deze norm aan bod komt is de NEN 7510 risicoanalyse. Waar bestaat die risicoanalyse NEN 7510 uit? Hoe voer je deze uit? En waarom is deze zo belangrijk? Dat en meer lees je in dit artikel.

Wanneer je met NEN 7510 aan de slag gaat, vormt de risicoanalyse een belangrijk onderdeel. Door middel van het uitvoeren van een risicoanalyse krijg je een beeld van de kwetsbaarheden en bedreigingen die invloed kunnen hebben op de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van medische gegevens. Met behulp van de NEN 7510 risicoanalyse kun je bepalen wat de belangrijkste dreigingen zijn en per dreiging maatregelen treffen om de informatie te beveiligen. De risicoanalyse NEN 7510 is een krachtig hulpmiddel bij het maken van doelgerichte keuzes met betrekking tot beveiligen van patiëntgegevens. Wanneer je de risicoanalyse correct uitvoert, verkleint dat de kans op incidenten en beperkt het eventuele schade.

Om met de NEN 7510 risicoanalyse aan de slag te kunnen is het van belang dat er aan deze twee voorwaarden is voldaan:

Nu bovengenoemde duidelijk is, kunnen we verder met de uitvoering van de NEN 7510 risicoanalyse. Hoe stel je deze op? Wat zijn de te nemen stappen? Hieronder een 5-stappenplan:

Allereerst is het van belang dat je de informatie assets binnen de organisatie gaat vaststellen. Denk aan:

Dit zijn bronnen en systemen waarin de gevoelige informatie is opgeslagen of die een rol spelen in dat proces.

Nu is het zaak om te gaan bekijken welke bedreigingen en kwetsbaarheden er zijn met het oog op bovengenoemde assets. Denk hierbij aan informatie-uitwisseling, wie heeft er toegang, hoe zijn de systemen beveiligd, zijn er back-ups ingericht, hoe worden updates gedraaid? Etc. Allemaal zaken om bij stil te staan om uiteindelijk beveiligd te zijn tegen datalekken, aanvallen van buitenaf, menselijke handelingsfouten en eventuele storing of uitval van het systeem.

Nadat de dreigingen zijn vastgesteld, dienen de risico’s te worden beoordeeld. Hoe groot is de kans dat een risico zich voordoet en wat is de impact ervan? Een handig hulpmiddel hierbij is de zogenaamde risicomatrix. Daarbij wordt een risico gewogen op basis van de kans dat het voorkomt en de gevolgen voor de organisatie bij het plaatsvinden ervan.

Om risico’s te identificeren en de bijbehorende maatregelen vast te stellen, wordt er gebruik gemaakt van bijlage A van de NEN 7510 norm. In deze bijlage A (ook wel Annex A genoemd) staan alle informatiebeveiligingsrisico’s, referentiedoelstellingen en risico’s (ook wel controls genoemd). Bij NEN 7510 is dit met een extra specificatie voor de zorg.  

Op basis van de vastgestelde risico’s en de prioritering daarvan kunnen er maatregelen getroffen worden. Dit zijn maatregelen, zowel technisch als organisatorisch van aard, in allerlei vormen, zoals:

Met behulp van de bijlage A uit de norm, kies je de beheersmaatregelen die voor jouw organisatie van toepassing zijn. Hoe je weet of een betreffende maatregel voor jouw organisatie van toepassing is? Daar kom je achter door het uitvoeren van de risicoanalyse. Het is namelijk erg belangrijk om passende maatregelen te nemen voor specifieke risico’s binnen jouw organisatie.

Nadat de maatregelen geïmplementeerd zijn, stopt de risicoanalyse niet. Een risicoanalyse is in feite een continu terugkerend proces, waarbij je steeds op zoek gaat naar verdere verbetering. Dit doe je met behulp van de PDCA-cyclus. Door de risico’s en bijbehorende maatregelen periodiek te evalueren kun je bijsturen en andere/betere maatregelen treffen. Ook kunnen er dan eventuele nieuwe risico’s geïdentificeerd worden waarop je kunt acteren.

Wie is er binnen je organisatie verantwoordelijk voor het uitvoeren van een NEN 7510 risicoanalyse? Dat kun je uiteraard naar eigen wens en mogelijkheden invullen. Hieronder een gangbaar voorbeeld:

Heb je hulp of ondersteuning nodig bij implementatie of onderhoud van de NEN 7510 norm? Of wil je specifiek hulp bij het uitvoeren van de risicoanalyse NEN 7510? Neem dan gerust contact met ons op. Onze adviseurs informatiebeveiliging kennen de norm en te nemen stappen op hun duimpje en helpen je graag verder!