Authenticatie en encryptie in het kader van GDPR

03/05/2018

encryptie_4.png

 

Authenticatie en encryptie zijn twee maatregelen die te maken hebben met beveiligen van gegevens bij de toegang en het verwerken en bewaren ervan.
Gezien dat we met gevoelige gegevens omgaan, is het belangrijk om deze gegevens goed te beschermen. Authenticatie en encryptie zijn twee van deze maatregelen die ervoor zorgen dat gegevens beschermd worden voor onbevoegden.

Kort gezegd: authenticatie heeft meer te maken met de toegang tot gegevens, encryptie heeft dan meer te maken met het kunnen lezen van de gegevens.

 

 

 

1. Authenticatie

Wanneer we persoonsgegevens of zelfs gevoelige gegevens van personen bijhouden of bewerken, dienen deze gegevens voldoende beschermd te worden.
Authenticatie is een proces dat je doorloopt om toegang te krijgen, bijvoorbeeld via jouw verpleegkundige software, tot de gegevens van jouw patiënten.

Met andere woorden: authenticatie is een proces waarbij nagegaan wordt of iemand, een computer of een applicatie daadwerkelijk is wie hij beweert te zijn ('on the internet nobody knows you're a dog).
Authenticatie gebeurt in drie stappen: de eerste stap is 'identificatie', de tweede stap is 'toegangscontrole' en de derde en laatste stap is 'autorisatie'.

 

Manieren om je identiteit te bewijzen zijn bijvoorbeeld via een login, een identiteitskaart, maar kan ook een vingerafdruk zijn.
Het kenbaar maken van jouw identiteit aan een applicatie is nog niet voldoende om toegang te krijgen. Je moet dan vaak nog eens een paswoord ingeven, een pincode,...
Wanneer je identiteit bewezen is en het opgegeven wachtwoord correct is, dan wordt er nagegaan tot wat je toegang hebt (autorisatie).

Als dit allemaal in orde is, dan pas kan je aan de slag in jouw applicatie.
Bron: https://nl.wikipedia.org/wiki/Authenticatie

 

2. Authentieke bronnen

Om toegang te krijgen tot bepaalde gegevens, denk maar aan het medicatieschema via Vitalink (hetgeen voor thuisverpleegkundigen nog niet helemaal operationeel is), uw gegevens bij het RIZIV via MyRIZIV, wordt gebruik gemaakt van authentieke bronnen.

Onder «authentieke bron» verstaat men een verzameling gegevens die in het bezit zijn van een instelling die krachtens een rechtshandeling is aangeduid om in te staan voor het beheer ervan, en die bewijskracht hebben in een specifiek bevoegdheidsgebied.

Aan het beheer van een authentieke bron zijn rechten en plichten gebonden:

  • het waarborgen van de volledigheid, nauwkeurigheid en regelmatige actualisering van de gegevens;
  • het rechtzetten van verkeerde gegevens, in voorkomend geval na controle;
  • het beschikbaar stellen van de gegevens aan andere instellingen die deze om een gewettigde reden nodig hebben, met inachtneming van de bescherming van de persoonsgegevens.

Zo is bijvoorbeeld CoBRHA (Common Base Registry for HealthCare Actor), de authentieke bron van het eHealth-platform, samengesteld uit verschillende gevalideerde gegevensbanken zoals het kadaster van de zorgverleners of het bestand van de zorgverleners, waarvoor respectievelijk de FOD Volksgezondheid en het RIZIV verantwoordelijk zijn.

Via deze database kunnen 3 vragen worden beantwoord met betrekking tot een actor in de gezondheidszorg:

  • Wie is hij? Deze actor kan een beroepsbeoefenaar in de gezondheidszorg zijn (arts, verpleegkundige, ...) of een gezondheidszorginstelling (ziekenhuis, rusthuis, ...)
  • Wat mag hij doen? Voor een gezondheidszorginstelling gaat het om de erkende activiteiten van deze instelling (algemeen ziekenhuis, intensive care, SMUR/MUG, ...). Voor een beroepsbeoefenaar gaat het om de beroepserkenningen en erkende specialisaties van deze persoon (diploma, RIZIV-nr., ...).
  • Wat zijn zijn verantwoordelijkheden? Dit komt overeen met de rollen van de actoren in de gezondheidszorg, eventueel ten aanzien van een andere actor in de gezondheidszorg (hoofdarts in een ziekenhuis, ...).

Om toegang te krijgen tot bepaalde gegevens of toepassingen moet gebruik gemaakt worden van de authentieke bronnen, net om enkel die personen toegang te verlenen die gemachtigd zijn. Zo zal de toegang tot bijvoorbeeld het medicatieschema van een patiënt anders zijn voor een verpleegkundige dan voor een arts of een apotheker. Het spreekt voor zich dat een verpleegkundige het medicatieschema van de patiënt mag lezen, maar dat hij geen medicatie mag voorschrijven... .

Bron: https://www.ehealth.fgov.be/ehealthplatform/nl/authentieke-bronnen

 

3. Wat is encryptie?

Encryptie staat voor het coderen (versleutelen) van gegevens op basis van een bepaald algoritme (een bepaalde bewerking). Deze versleutelde gegevens kunnen nadien weer gedecrypteerd (ontcijferd of gedecodeerd) worden zodat men de originele informatie weer terugkrijgt. Dit proces wordt decryptie genoemd.

                                                                         

Een van de bedoelingen van encryptie is dat gegevens veilig uitgewisseld kunnen worden tussen personen of systemen (derden) over een onveilig communicatiekanaal (bijvoorbeeld over internet, maar ook gegevens op een USB-stick of op de harde schijf van jouw laptop,...). De versleuteling zorgt er dan voor dat deze derden de gegevens niet kunnen lezen. Dit gebeurt meestal door het gebruik van sleutels. Wat precies een sleutel vormt verschilt per algoritme (bewerking), maar meestal is een sleutel een reeks van tientallen of honderden cijfers en letters. Het doel van het encryptische algoritme is ervoor te zorgen dat alleen de personen met de juiste sleutel de versleutelde gegevens weer kunnen ontcijferen. 

                                                                         
 

Bij de meeste encryptografische algoritmen is het in principe wel mogelijk om zonder de juiste sleutels de versleutelde gegevens te decoderen, maar dit decoderen kost dan zo veel rekenwerk en tijd dat het praktisch onmogelijk is. Het decoderen van gegevens zonder de juiste sleutel kan op de snelste computers van nu miljarden jaren rekentijd kosten, door alle mogelijke sleutels uit te proberen, totdat er een sleutel wordt gevonden die werkt. Als de sleutel een groot genoeg getal is, zijn zelfs de snelste computers niet in staat om alle mogelijke sleutels in afzienbare tijd uit te proberen. Aangezien computers door de jaren heen steeds sneller worden, is het wel nodig in de loop van de tijd grotere getallen als sleutel te gebruiken.

Er bestaan twee soorten encryptiemethoden: symmetrische en asymmetrische.

Symmetrische encryptie:

Bij symmetrische encryptie gebruiken zender en ontvanger dezelfde sleutel. Die sleutel moet van tevoren uitgewisseld worden via een veilig kanaal (waarbij zender en ontvanger elkaars identiteit kunnen controleren en onderschepping van de sleutel door derden niet mogelijk is - dus gewoon via e-mail versturen is geen goed idee).

Asymetrische encryptie:

Bij asymetrische encryptie, ook wel public key encryption genoemd, hebben zender en ontvanger elk een eigen set van twee sleutels, waarvan er één publiek is en één niet.
Berichten die met een publieke sleutel worden versleuteld, kunnen alleen met de geheime sleutel worden ontcijferd. Met andere woorden: onbevoegden kunnen het bericht niet lezen.



De publieke sleutel mag aan iedereen bekend zijn en kan dus uitgewisseld worden over een onveilig kanaal zoals internet. Om een bericht te coderen en digitaal te ondertekenen, heeft de zender zijn eigen geheime sleutel nodig én de publieke sleutel van de ontvanger. Om het ontvangen bericht te decoderen en te verifiëren of de handtekening wel van de zender is, heeft de ontvanger zijn eigen geheime sleutel nodig én de publieke sleutel van de zender.

Het grote voordeel van asymmetrische cryptografie is dat uitwisseling van de benodigde sleutels kan plaatsvinden via een onveilig kanaal. Afluisteren van de uitgewisselde informatie - inclusief publieke sleutels - vormt geen enkel probleem. Een onderscheppingsrisico bestaat wel: wanneer zender en ontvanger nalaten te controleren of de gebruikte publieke sleutel inderdaad hoort bij de (beoogde) ander is het voor een derde mogelijk om zich voor te doen als één van de twee partijen. Iedereen kan immers zeggen: "mijn naam is zus-en-zo en hier is mijn publieke sleutel, stuur me nu uw gegevens maar". Zender en ontvanger dienen dus langs een betrouwbaar kanaal elkaars identiteit vast te stellen en publieke sleutels te bevestigen.
Een nadeel van asymmetrische cryptografie is dat grote sleutellengtes nodig zijn (bijvoorbeeld 4096 bytes), waardoor coderen en decoderen veel rekenkracht vergt. De sleutels moeten groot zijn, omdat het anders mogelijk wordt met een snelle computer de geheime sleutel te vinden.
Vaak wordt een combinatie van asymmetrische en symmetrische cryptografie gebruikt: eerst wordt door middel van asymmetrische cryptografie een geheim tussen zender en ontvanger uitgewisseld, die de sleutel vormt voor de snellere symmetrische cryptografie van grote blokken data.
Bij de versleuteling van e-mail wordt wel asymmetrische cryptografie toegepast, door PGP, GPG of S/MIME.

Voor het verzenden van emails werkt Cario aan een platform, zodat verpleegkundigen onder mekaar, maar ook naar andere zorgverstrekkers op een beveiligde wijze met mekaar kunnen communiceren.

Bron: https://nl.wikipedia.org/wiki/Encryptie

 

4. Hoe kan ik mijn USB-stick beveiligen?

Een USB-stick wordt gemakkelijk verloren.
Het kan voorkomen dat een USB-stick informatie bevat die je het liefst niet deelt met onbevoegden. Denk aan een verslag van een patiëntenoverleg, …
Om te voorkomen dat de informatie die op je USB-stick staat te grabbel wordt gegooid, beveilig je best deze stick, zodat niemand toegang heeft tot de gegevens die op deze stick staan.
Er bestaan verschillende versleutel-methoden. De een nogal onpraktisch, bijvoorbeeld de encryptie-methode van Windows-verkenner, de andere is ronduit duur: bijvoorbeeld deze van Symantec kost meer dan 180 dollar per installatie…

Er bestaat ook gebruiksvriendelijke en gratis tot goedkope software.
USB Safeguard is zo’n software!
Deze software heeft een gratis versie en een betalende versie van een kleine 20 euro.
De gratis versie werkt perfect!

Hoe ga je tewerk om deze tool te gebruiken?

1. Ga naar de website: http://www.usbsafeguard.com
2. Kopieer op een lege USB-stick! Het bestand USBSafeguard80Free.exe
3. Dubbelklik op het bestand USBSafeguard80Free.exe
4. Vul een sterk paswoord in (zie bijdrage over paswoorden) en bevestig dit paswoord
5. Sleep de bestanden op je USB-stick
6. Klaar!


Wanneer je nu jouw USB-stick verliest, kan niemand hiermee iets aanvangen!
Dezelfde techniek kan toegepast worden op de harde schijf van je laptop. Bij het toepassen van deze technieken is het raadzaam om er zeer voorzichtig mee om te gaan.

 

5. Encryptie en GDPR

Verplicht de GDPR-wetgeving encryptie?

Het woord encryptie komt slechts vier keer voor in de 88 pagina's tellende tekst van de GDPR:

  • Teneinde de veiligheid te waarborgen en te voorkomen dat de verwerking inbreuk maakt op deze verordening, dient de verwerkingsverantwoordelijke of de verwerker de aan de verwerking inherente risico’s te beoordelen en maatregelen, zoals versleuteling, te treffen om die risico’s te beperken. (pagina 16)
  • het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. (pagina 37)
  • maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten: a) de pseudonimisering en versleuteling van persoonsgegevens;
  • de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling (pagina 53)

De woorden “zoals”, “waaronder” en “waar passend” laten duidelijk zien dat de GDPR-wetgeving nergens versleuteling verplicht, maar het louter als mogelijkheid ziet. Het geeft wél aan dat encryptie een goede optie is en dus de moeite om over na te denken.

Hetgeen de GDPR-wet wel verplicht is dat je nadenkt over hoe je met data omgaat. Je moet elke oplossing aftoetsen aan de technische en economische haalbaarheid.
Draai de situatie om: stel je voor dat je een datalek krijgt en iemand stelt de vraag: “Waarom heb je geen encryptie toegepast?”. Als je dan een aanvaardbaar antwoord hebt, is er niets aan de hand volgens de wetgeving.

Zorgt encryptie ervoor dat ik datalekken niet moet melden?

In de GDPR-wet staat dat je het data subject, de persoon over wiens data het gaat, zelf moet inlichten als er een reëel gevaar bestaat dat zijn data gelekt is en er kans is dat de data aan hem te linken is. Als de data versleuteld of gepseudonimiseerd is, is dat dus niet nodig.
Dit wil echter niet zeggen dat je je hierdoor ontslaat van je plicht om een datalek te melden bij de Gegevensbeschermingsautoritiet (GBA: vandaag is dit de privacycommissie).
Komt bij dat je best toch eens nadenkt over eventuele reputatieschade als het datalek toch nog bekend raakt en blijkt dat jij het niet gemeld hebt. Encryptie maakt dat je sterker staat: “Ja, er was een datalek maar de gegevens zijn onbruikbaar” is de beste verklaring die je kan geven op zulk moment.

Bron: https://www.nucleus.be/blog/privacy/5-mythes-gdpr-encryptie-ontkracht

 

6. Tot slot

Authenticatie en encryptie zijn twee belangrijke maatregelen die mede instaan voor de beveiliging van gegevens.

Het zijn twee maatregelen waar men grondig moet over nadenken en een antwoord moet hebben waarom we ze wel of niet gebruiken.

We citeren in dit kader de privacycommissie:
GDPR: Nieuwe wind, geen orkaan:

"De nieuwe Europese privacywet - de “Algemene Verordening Gegevensbescherming” - die op 25 mei 2018 van toepassing wordt, is een opportuniteit voor bedrijven om zich te bezinnen over hoe ze vandaag gegevens bijhouden, hoe ze die gebruiken en hoe het staat met de bescherming ervan.
Waar nodig, moet het huidige gegevensbeschermingsbeleid worden aangepast om te voldoen aan de nieuwe wetgeving. Het is dus voor bedrijven en organisaties een zinvolle oefening om hun datamanagement te optimaliseren."

                                                                                   

Maak een afspraak

Vul je gegevens in en wij nemen met u contact op. Zo kunnen we opzoek gaan naar een geschikt moment  om af te spreken om al je vragen te beantwoorden.

Contacteer ons