Bijlage D Adviesrapport__infrastructuur_Stichting_Dataplatform_MH

Stichting Dataplatform Midden Holland Adviesrapport technische inrichting Dataplatform

Managementsamenvatting In het visiedocument ‘Gedeelde zorg on Midden-Holland’ is als activiteit benoemd het ‘opzetten van een Data Infrastructuur’ (pagina 8). In dit document voorziet Scamander de bestuurders van het programma Gedeelde Zorg van advies met betrekking tot de technische inrichting van het regionale Dataplatform en de minimale juridische en organisatorische vereisten. Het beheren van het Dataplatform valt onder de verantwoordelijkheid van de Stichting Dataplatform Midden-Holland (Hierna: de Stichting). Er wordt een Dataplatform opgezet waar de partners (deelnemers) binnen de regio hun data op kunnen plaatsen. De data van de deelnemers wordt verzameld en gecombineerd. Daarna wordt de data geanalyseerd. Alle geanalyseerde resultaten, niet herleidbaar tot een individu, op basis van gecombineerde data worden gedeeld met de deelnemers. Hierbij wordt rekening gehouden met privacy en security. Alleen na toestemming van de data-eigenaar worden gegevens beschikbaar gesteld. Door een gemeenschappelijk Dataplatform te gaan gebruiken wordt het mogelijk om data eenmalig vast te leggen en meervoudig te gebruiken. Het combineren van data tussen de deelnemers is dan sneller en eenvoudiger mogelijk. De inrichting en werking van het Dataplatform wordt voor de deelnemers verzorgd. De deelnemers bieden hun eigen data(sets) aan, deze worden binnen het Dataplatform ingeladen.

En aan de andere kant kan men - na toestemming van de data-eigenaar - de data gebruiken in de analyse omgeving. In de analyse omgeving wordt een autorisatiestructuur ingericht, zodat de toegang tot de data en rapportages gecontroleerd kan worden. Gebaseerd op het feit dat de Stichting binnen de regio de partij is waar deelnemers op aangesloten zijn, zullen zij verantwoordelijk zijn voor het beheer van de data en de analyses. Dit is rand voorwaardelijk. Voor de infrastructuur is het advies om het opzetten en beheren van de infrastructuur uit te besteden aan een leverancier (bij voorkeur GHZ ICT), met daarbij de technische, organisatorische en juridische voorwaarden in acht genomen. Er wordt (nog) geen gebruik gemaakt van een cloud oplossing.

Versiebeheer Auteur: Frank Roose Eigenaar: Scamander Versie: 1.0 Datum: 1 juli 2020 Omschrijving: Adviesrapport technische inrichting Dataplatform

Versie 1.0

Datum 02-07-2020

Status Concept

Auteur Frank Roose

Opmerkingen

Referenties Document Def Visiedocument GZMH.pdf

Status Def

Auteur Lia Donkers (TNMH) Adviseur: Marc Bruijnzeels (Jan van Es instituut)

Datum 05.09.2017

Afkortingen en begrippenlijst Afkorting / Begrip TTP PVM CMT DRM

Betekenis / Omschrijving Third Trusted Party, verantwoordelijk voor de versleuteling en verzending van de data van de deelnemers. Privacy Verzend Module. Door de TTP geleverde verzend-software, voor de verzending van data van deelnemers. Centrale Module TTP. Door de TTP geleverde pseudonimisatie-software. Doel- en Retour Module. Door de TTP geleverde ontvangstsoftware.

Copyright Niets uit deze uitgave mag worden verveelvoudigd, opgeslagen in een geautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen of enig andere manier, zonder voorafgaande schriftelijke toestemming. Vertrouwelijkheid Deze uitgave bevat vertrouwelijke informatie en dient als dusdanig te worden behandeld door de ontvanger.

Inhoudsopgave Managementsamenvatting ......................................................................................................................................................... 1 Versiebeheer.............................................................................................................................................................................. 3 Referenties................................................................................................................................................................................... 3 Afkortingen en begrippenlijst ............................................................................................................................................... 3 1.

Inleiding ................................................................................................................................................................................... 5

2. Randvoorwaarden ................................................................................................................................................................... 6 2.1. Algemeen ........................................................................................................................................................................... 6 2.2. Technische inrichting datastroom................................................................................................................................. 6 2.3. Technische vereisten dataplatform ............................................................................................................................ 7 2.3. Privacy, veiligheid en organisatorische vereisten ................................................................................................. 8 2.2.1. Beleid ................................................................................................................................................................................ 8 2.2.2. Organisatie ..................................................................................................................................................................... 8 2.2.3.

Ontwikkeling en Onderhoud...................................................................................................................................... 9 2.2.4. Beheer............................................................................................................................................................................... 9 2.2.5. Bewustwording ............................................................................................................................................................ 10 2.2.6. Toegangsbeveiliging................................................................................................................................................. 10 2.2.7. Logging en Controle ................................................................................................................................................. 11 2.2.8. Continuïteit.................................................................................................................................................................... 11 2.2.9. Data ............................................................................................................................................................................... 11

1. Inleiding Naar aanleiding van de vorderingen binnen het programma Gedeelde Zorg heeft Scamander dit adviesrapport samengesteld om de bestuurders van het programma Gedeelde Zorg te voorzien van een beschrijving van de infrastructuur rondom het Dataplatform, met de minimale technische, juridische en organisatorische vereisten. Het Dataplatform wordt opgezet in het belang van het programma Gedeelde Zorg. In het visiedocument ‘Gedeelde zorg on Midden-Holland’ is als activiteit benoemd het opzetten van een Data Infrastructuur (pagina 8). Het beheren van het Dataplatform valt onder de verantwoordelijkheid van het Stichting. In dit document wordt de mogelijkheid van een Dataplatform bij de GHZ ICT infrastructuur behandeld. We naderen het punt dat de verschillende deelnemers van het programma Gedeelde Zorg hun data gaan leveren om een integraal beeld van de populatiegezondheid te vormen. Door een gemeenschappelijk Dataplatform te gaan gebruiken wordt het mogelijk om data eenmalig vast te leggen en meervoudig te gebruiken. Het combineren van data tussen de deelnemers is dan sneller en eenvoudiger mogelijk. Hierbij wordt rekening gehouden met privacy en security. Alleen na toestemming van de data-eigenaar worden gegevens beschikbaar gesteld. De inrichting en werking van het Dataplatform wordt voor de deelnemers verzorgd.

2. Randvoorwaarden 2.1. Algemeen Volgens de wet- en regelgeving (ten aanzien van concurrentie en machtsblokvorming) is het niet veroorloofd dat één partij in de regio de data verzamelt van andere partijen en hier (al is dit in de beeldvorming) analyses op uitvoert. Ongeacht de gekozen variant van het Dataplatform, moeten er afspraken gemaakt worden omtrent het inkijken en gebruiken van de data. Om te voorkomen dat een monopolie- of een machtspositie wordt gecreëerd bij een van de deelnemers, wordt data (in eerste instantie) strikt gescheiden gehouden. De data van de verschillende deelnemers wordt gescheiden aangeleverd. Alleen medewerkers van of ingehuurde krachten in opdracht van de Stichting mogen bewerkingen en analyses uitvoeren op (combinatie van) datasets. Het Dataplatform bij het GHZ is een omgeving waar de regionale data wordt opgevangen. De data kan beschikbaar worden gesteld aan de aanleverende partijen onder de strikte voorwaarde dat zij alleen toegang hebben tot hun ‘eigen’ aangeleverde data. De rol van GHZ is tweeledig. Ten eerste als aanleverende partij en ten tweede als de facilitator van het Dataplatform. Onder geen beding mag het GHZ analyses uitvoeren op de combinatie van de aangeleverde data. De analyses zullen worden uitgevoerd door de Stichting Dataplatform MiddenHolland.

De resultaten van de analyses zullen beschikbaar worden gesteld aan alle aanleverende partijen.

2.2. Technische inrichting verwerking data Voor het onderzoek zullen de benodigde gegevens op een centraal dataplatform gedeeld worden. Voordat de gegevens hier terecht komen zijn ze bij een van de deelnemende partijen ingevoerd in een bronsysteem. Vanuit dit bronsysteem wordt lokaal een exportbestand gegenereerd met daarin de voor het onderzoek relevante gegevens. Het bestand wordt verwerkt met de door de Third Trusted Party (TTP) aan de informatiebron beschikbaar gestelde versleutel- en verzendsoftware, de Privacy Verzend Module (PVM). Daarbij wordt het aangeboden bestand lokaal voor de eerste maal bewerkt met de door de TTP beschikbaar gestelde software. Hierna volgt transport via een beveiligde internetverbinding naar de TTP. De TTP voert met behulp van centrale pseudonimisatie software, de Centrale Module TTP (CMT), een tweede bewerking uit op de ontvangen gegevens waarbij een voor de ontvanger specifiek wachtwoord wordt gebruikt. Na verwerking wordt het gepseudonimiseerde bestand vrijgegeven en kan het worden opgehaald door de Doel Receive Module (DRM) in het dataplatform. Op het dataplatform worden de gegevens opgeslagen en gestructureerd in een datawarehouse, maar zullen de originele waarden niet worden gewijzigd. Wel zullen hier controles plaatsvinden om vast te stellen of de afgesproken gegevens volgens de GLO aangeleverd zijn.

Mochten er uit deze controles of uit de verdere analyses tijdens het onderzoek onvolkomenheden ontdekt worden in de gegevens, dan zal dit teruggekoppeld worden aan de deelnemende partijen via de betreffende contactpersoon die vastgelegd is in de GLO. Afspraken over welke kwaliteit noodzakelijk is voor het onderzoek worden opgenomen in de GLO. Het is de verantwoordelijkheid van de deelnemende partij die de gegevens aanlevert dat de kwaliteit op orde is.

Hieronder is een schematische weergave gemaakt van de datastroom en een visualisatie van het aanbevolen dataplatform.

Figuur 1: Aanbevolen globale infrastructuur

2.3. Technische vereisten dataplatform Hieronder een opsomming van de minimale technische vereisten van het Dataplatform. 1. Beschermde en beveiligde connectiviteit van en naar het Dataplatform door de TTP 2. Een server: a. Geschikt voor de installatie van de Ontvangstmodule (DMR) van de TTP b. Installatie van SQL Server: een database met voldoende capaciteit voor het opslaan van de gegevens van de deelnemers 3. Een afgesloten ruimte met minimaal één werkstation (PC): o Hardware: ▪ Minimaal dual core met minimaal 16 GB RAM. ▪ Harddisk minimaal 256 GB. o Software: ▪ Windows 10 ▪ SQL Server Management Studio 2017 ▪ Power BI Desktop ▪ Python

2.3. Privacy, veiligheid en organisatorische vereisten In deze paragraaf staan de beveiligingsmaatregelen die van toepassing zijn op de door de leverancier, te weten GHZ ICT-afdeling (hierna: Leverancier), geleverde dienst. Voor de geleverde dienst is Leverancier gehouden minimaal deze maatregelen getroffen te hebben. Afwijkingen worden schriftelijk kenbaar gemaakt aan de Stichting, met een toelichting en beschrijving van getroffen compenserende maatregelen. Onderstaande vereisten zijn opgesteld op basis van de waarborgen die genoemd worden in het wetsvoorstel Wet Gegevensverwerking door Samenwerkingsverbanden1 en de beveiligingseisen die het Groene Hart Ziekenhuis aan de leveranciers oplegt.

2.2.1. Beleid •

Leverancier beschikt over een, door het management van Leverancier formeel goedgekeurd, beveiligingsbeleid dat is ingericht conform de NEN7510 of dat voorzien is van een crossreference om een vergelijking met de NEN7510 mogelijk te maken.

•

In de dienstenbeschrijving van Leverancier staat op hoofdlijnen de beveiliging van de diensten beschreven.

2.2.2. Organisatie •

Leverancier beschikt over een reguliere beveiligingsorganisatie waarin naast duidelijke participatie van het hoogste management, een functionaris is benoemd die verantwoordelijk is voor het opstellen, de implementatie, het onderhoud en de naleving van het beveiligings- en privacybeleid.

•

Medewerkers die werkzaamheden voor Leverancier verrichten zijn op de hoogte van beleid en voorschriften op het gebied van beveiliging, zodat deze conform kunnen handelen en verantwoordelijk gesteld kunnen worden voor afwijkingen. Beleid en voorschriften zijn vertaald naar afspraken, procedures en werkinstructies die zijn uitgedragen in de organisatie. Deze medewerkers hebben, voor het uitvoeren van de werkzaamheden, een geheimhoudingsovereenkomst met hun werkgever getekend.

1

De Stichting valt weliswaar niet onder een van de samenwerkingsverbanden genoemd in dit wetsvoorstel, maar geeft wel een

goed fundament.

2.2.3. Ontwikkeling en Onderhoud •

Leverancier maakt gebruik van een bekende systeemontwikkelingsmethode (zoals bijv. OpenSAMM, GAMP of ISO 13485), waarmee risicoanalyses, maatregelenselectie en toetsing integraal onderdeel van het ontwikkelproces worden.

•

Bij de ontwikkeling van webapplicaties wordt rekening gehouden met (de top-10 van) de Open Web Application Security Project (OWASP) security risico's.

•

Het systeem wordt regelmatig door derden ge-audit en/of gecertificeerd. Indien het 'right to audit' is overeengekomen, worden onderzoeksresultaten (Third Party Mededeling / ISAE3402) jaarlijks aan de Stichting beschikbaar gesteld.

•

Voor de in-productie name van een systeem wordt met een vulnerability-scan getest of de software van een systeem kwetsbaarheden bevat.

•

Voor de in-productie name van een systeem wordt een penetratietest uitgevoerd en wordt het testrapport met de resultaten beschikbaar gesteld aan de Stichting.

•

Voor de in-productie name van een systeem dient de Stichting de aangeboden oplossing formeel te accepteren op basis van testresultaten van de door Leverancier en de Stichting uitgevoerde testen.

2.2.4. Beheer •

Leverancier maakt gebruik van een formeel proces voor wijzigingsbeheer voor het doorvoeren van aanpassingen aan het systeem.

•

Alle koppelingen, die naar dit netwerk van de Leverancier verbinden, zijn versleuteld.

•

Servers en systemen zijn van internet afgeschermd door een FireWall en voorzien van een IDS / IPS.

•

Alle beveiligingsincidenten die betrekking hebben op de Stichting worden volgens een vastgestelde procedure, die gebaseerd is op het incidentbeheer, door Leverancier geregistreerd en binnen 24 uur gerapporteerd aan de Stichting.

•

In deze incidentprocedure staan voor de afhandeling van ernstige beveiligings- en privacy incidenten (calamiteiten) contactpersonen bij zowel de Stichting als ook de Leverancier genoemd.

•

Acties naar aanleiding van calamiteiten ten aanzien van de dienstverlening worden door Leverancier in overleg met de Stichting uitgevoerd of achteraf verantwoord.

2.2.5. Bewustwording •

Leverancier besteedt aantoonbaar aandacht aan de bewustwording in het kader van de beveiliging van de diensten voor de Stichting; bijvoorbeeld via instructies of opleidingen.

2.2.6. Toegangsbeveiliging •

De gegevens van de Stichting zijn opgeslagen in een dedicated omgeving c.q. database.

•

Ontwikkel-, test-, acceptatie- en productiesystemen staan in gescheiden omgevingen.

•

Voor ontwikkeling, testen en acceptatie wordt gebruik gemaakt van specifieke gegevensset; bijv. een geanonimiseerde kopie van productiegegevens.

•

Leverancier is gehouden de toegang tot verzamelde informatie, die eigendom is van de Stichting, voor de levering van de overeengekomen dienst te limiteren tot geautoriseerde gebruikers. Leverancier zal op verzoek de betreffende autorisatiematrix overleggen aan de Stichting. Deze autorisatiematrix voldoet aan de vereisten van zorgvuldigheid en evenredigheid. Geautoriseerd worden slechts personen die zijn aangewezen ten behoeve van de inzet voor de Stichting en die zijn belast met het onderhoud of de ondersteuning van de systemen.

•

Medewerkers van Leverancier die, voor het uitvoeren van beheerwerkzaamheden, toegang hebben tot informatie, software en ander bedrijfsmiddelen zijn enkel geautoriseerd volgens het need-to-have principe.

•

Voor alle medewerkers wordt een profiel samengesteld dat autorisaties tot informatie, software en andere bedrijfsmiddelen beperkt tot hetgeen noodzakelijk is voor het uitoefenen van de aan de medewerker toegewezen taken.

•

Het openbaar maken van te beheren informatie door Leverancier gebeurt enkel na goedkeuring vooraf van of in opdracht van de Stichting. Er dient vooraf vastgelegd te worden hoe Leverancier zich verantwoordt over het openbaar maken van informatie.

•

Autorisaties worden door Leverancier slechts toegekend of ingetrokken op basis van de procedures van autorisatiebeheer die door de Stichting worden opgesteld en vastgesteld.

•

Op Leverancier rust de verplichting om informatie, software en andere bedrijfsmiddelen van de Stichting aan de Stichting terug te geven, dan wel te vernietigen. Voor de artikelen die uit roulatie worden genomen is door/ten behoeve van Leverancier vastgelegd hoe en op welk moment de controleerbare overdracht, teruggave of vernietiging van informatie, software en andere bedrijfsmiddelen plaats zal vinden.

•

Leverancier rapporteert, conform overeengekomen afspraken, aan de Stichting over de uitvoering van autorisatiebeheer en met name over de door Leverancier geconstateerde afwijkingen.

•

Voor het uitvoeren van beheertaken worden per beheertaak specifieke autorisatieprofielen gedefinieerd.

•

Enkel bij escalaties is het mogelijk om het standaard userID met alle systeemrechten, via een speciale procedure, ter beschikking te krijgen.

2.2.7. Logging en Controle •

Ieder gebruik van een account wordt gelogd.

•

Alle aanpassingen in het gebruikers- en autorisatiebeheer worden gelogd.

•

Loggegevens zijn niet te wijzigingen of te verwijderen.

•

Loggings (de informatie) ten behoeve van informatiesystemen van de Stichting zijn eigendom van de Stichting.

•

Leverancier biedt de Stichting inzicht in de gebruikte loggings en het gebruik ervan; i.c. uitgevoerde analyses van loggings in het kader van de overeengekomen dienstverlening.

•

De vastgelegde gegevens worden uitsluitend gebruikt voor de controle van de rechtmatigheid van de gegevensverwerking, voor interne controles, ter waarborging van de integriteit en de beveiliging van de persoonsgegevens en voor gerechtelijke procedures.

2.2.8. Continuïteit •

Leverancier dient de continuïteit van de overeengekomen diensten bij verstoringen en/of calamiteiten te waarborgen volgens de gemaakte afspraken in de Overeenkomst.

•

Alle gegevens van de Stichting worden zeker gesteld via een Backup.

•

Bij volledige onbeschikbaarheid van het systeem moet toegang tot de informatie verzekerd zijn via een noodvoorziening.

2.2.9. Data •

Mocht gedurende de geautomatiseerde gegevensanalyse blijken dat persoonsgegevens onjuist zijn, dan wordt een melding gedaan aan de organisatie waarvan de persoonsgegevens afkomstig zijn, opdat in haar gegevensbestanden kan worden gecontroleerd of de persoonsgegevens juist zijn geregistreerd en na validatie de gegevens kunnen worden gecorrigeerd.

•

De Leverancier treft passende organisatorische maatregelen om te waarborgen dat per geval de gegevens enkel voor het vooraf vastgestelde doel worden verwerkt. (uit 1.8 punt 5)