Back-ups in de huisartsenpraktijk: zo weet u of herstel echt werkt

Waarom is een back-up in de huisartsenpraktijk zo belangrijk?

Valt een server uit, wordt een bestand per ongeluk gewist of slaat ransomware toe? Dan is een back-up uw vangnet. Zonder werkende back-up bent u gegevens kwijt die u nodig heeft voor de zorg. Denk aan protocollen, verwijsbrieven, roosters en de mailbox van de praktijk.

Een aanval met ransomware richt zich vaak ook op de back-ups zelf. Staat de back-up op hetzelfde netwerk, dan kan die net zo goed versleuteld raken. Dan heeft u op het moment dat het erop aankomt niets.

Raakt u door een storing of aanval patiëntgegevens kwijt, dan kan dat een datalek zijn. Zo'n datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens.

Wat staat er eigenlijk in uw back-up?

Het HIS draait bij de meeste praktijken bij de leverancier. Die maakt ook de back-ups van de dossiers. Vraag na hoe vaak dat gebeurt en hoe snel de leverancier gegevens kan terugzetten.

Daarnaast heeft u gegevens die alleen in uw eigen omgeving staan:

• Bestanden op de server of in de cloud, zoals protocollen en werkinstructies.
• De mailboxen van de praktijk en van de medewerkers.
• Instellingen van werkplekken, printers en het netwerk.
• Gegevens van andere systemen, zoals de telefonie of een eigen database.

Werkt u met Microsoft 365? Dan is een aparte back-up van mail en bestanden verstandig. Microsoft bewaart verwijderde gegevens maar een beperkte tijd.

Welke soorten back-up zijn er?

Niet elke back-up is hetzelfde. Voor een praktijk zijn er grofweg drie soorten, en meestal heeft u ze alle drie nodig.

• Een back-up van bestanden. Hiermee zet u een los document of een map terug, bijvoorbeeld na een vergissing.
• Een back-up van complete systemen. Hiermee zet u een hele server of werkplek in één keer terug, inclusief programma's en instellingen.
• Een back-up van clouddiensten. Mail, agenda's en bestanden in de cloud vragen een eigen back-up, los van de dienst zelf.

Bewaar ook meerdere versies. Ransomware wordt soms pas na dagen ontdekt. Heeft u alleen de back-up van gisteren, dan is die misschien al besmet. Bewaar daarom bijvoorbeeld 30 dagen aan dagelijkse versies, en daarnaast een aantal oudere.

Wat is de 3-2-1-regel?

De 3-2-1-regel is een veelgebruikte vuistregel voor back-ups. U bent dan niet afhankelijk van één plek of één apparaat.

• 3 kopieën van uw gegevens: het origineel en twee back-ups.
• 2 soorten opslag, bijvoorbeeld een server en opslag in de cloud.
• 1 kopie buiten de praktijk, liefst los van het netwerk, zodat ransomware er niet bij kan.

Sommige back-upoplossingen maken een kopie die niemand kan wijzigen of verwijderen, ook een aanvaller niet. Ook dat beschermt tegen ransomware.

Hoe weet u of herstel echt werkt?

Een back-up die nooit is teruggezet, geeft schijnzekerheid. Pas als u een keer heeft hersteld, weet u dat het werkt en hoe lang het duurt.

1. Laat elke dag controleren of de back-up is gelukt, met een melding als dat niet zo is.
2. Laat regelmatig een bestand of een mailbox terugzetten als test.
3. Oefen minstens één keer per jaar het herstel van een complete werkplek of server.
4. Leg vast hoe lang herstel duurt, zodat u weet wat u kunt verwachten.

Hoe lang mag de praktijk stilliggen?

Bepaal vooraf hoe lang u zonder bepaalde systemen kunt. Het spreekuur kan vaak een paar uur door met een papieren lijst, maar geen hele week.

Die keuze bepaalt hoe vaak u een back-up maakt en hoe snel herstel moet gaan. Bespreek dit met uw ICT-partner en leg het vast in uw plan voor als het misgaat. Lees ook wat u doet als het HIS uitvalt.

Wie is verantwoordelijk voor de back-up?

U als praktijk blijft verantwoordelijk voor de gegevens, ook als een ICT-partner of leverancier de back-up maakt. Leg daarom vast wat u heeft afgesproken. Dat voorkomt dat iedereen denkt dat een ander het regelt.

• Van welke systemen wordt een back-up gemaakt, en hoe vaak?
• Waar staan de kopieën, en staat er één los van het netwerk?
• Hoe lang worden de back-ups bewaard?
• Hoe snel kan er worden hersteld, en wie doet dat?
• Hoe hoort u het als een back-up mislukt?

Met een ICT-partner die uw gegevens beheert, sluit u ook een verwerkersovereenkomst. Daarin staat onder meer hoe de partner met uw gegevens en back-ups omgaat.

Wat vraagt NEN 7510 over back-ups?

NEN 7510 vraagt dat gegevens beschikbaar blijven. Daarvoor maakt u back-ups en test u of ze terug te zetten zijn. U moet ook kunnen laten zien dat u dat doet.

Een logboek van geslaagde back-ups en hersteltests helpt daarbij. Bij een audit of een vraag van de inspectie heeft u het dan direct bij de hand.

Wat doet u als u een back-up nodig heeft?

1. Bel direct uw ICT-partner, en werk niet verder op een systeem dat getroffen is.
2. Bepaal samen naar welk moment u terug wilt: de laatste goede versie, van voor de storing of aanval.
3. Laat eerst herstellen wat u het hardst nodig heeft voor het spreekuur.
4. Controleer na het herstel of de gegevens compleet zijn en of alles weer werkt.
5. Ga na of er een datalek is, en meld dat zo nodig.

Spreek deze stappen vooraf af. Op het moment zelf is er weinig tijd om na te denken.

Checklist: back-ups in uw huisartsenpraktijk

• U weet welke gegevens in welke back-up staan.
• De back-up volgt de 3-2-1-regel.
• Eén kopie staat los van het netwerk of kan niet worden gewijzigd.
• U krijgt een melding als een back-up mislukt.
• Het terugzetten wordt regelmatig getest.
• U weet hoe lang herstel duurt.
• De afspraken met de HIS-leverancier over back-up en herstel liggen vast.

Hoe Westers helpt

Westers regelt al ruim 20 jaar de ICT van huisartsenpraktijken, apotheken en GGZ. We maken en controleren back-ups van uw omgeving en bewaken uw systemen 24/7. Herstel en onderhoud doen we zoveel mogelijk buiten openingstijden.

Lees meer over ICT-beheer en ondersteuning of over beveiliging met MijnVeiligePraktijk. Of bel ons op 088 - 87 20 200.