Tweestapsverificatie in de zorg: zo regelt u het voor uw team

Wat is tweestapsverificatie?

Bij tweestapsverificatie logt u in met twee dingen. Iets wat u weet, zoals een wachtwoord, en iets wat u heeft, zoals uw telefoon of een beveiligingssleutel. Een gestolen wachtwoord alleen is dan niet genoeg om in te loggen.

U kent het misschien als tweefactorauthenticatie of multifactorauthenticatie (MFA). Het idee is hetzelfde.

Waarom is tweestapsverificatie in de zorg zo belangrijk?

In uw mail en bestanden staan gegevens van patiënten. Een overgenomen mailbox geeft een aanvaller toegang tot die gegevens, en tot al uw contacten in de zorg. Lees hoe zo'n aanval verliep in de phishingcampagne waar Z-CERT voor waarschuwde.

NEN 7510 vraagt dat u de toegang tot patiëntgegevens goed beveiligt. Persoonlijke accounts met tweestapsverificatie horen daar bij.

Welke vormen zijn er?

• Een code per sms. Beter dan alleen een wachtwoord, maar de zwakste vorm. Een sms kan worden onderschept of omgeleid.
• Een authenticator-app. De app op de telefoon geeft een code of vraagt om een bevestiging. Voor de meeste praktijken is dit de praktische standaard.
• Een beveiligingssleutel of passkey. Een fysieke sleutel, of een passkey op het apparaat. Deze vormen zijn bestand tegen phishing, omdat ze alleen werken op de echte website.

Wat is een passkey?

Een passkey vervangt het wachtwoord door een sleutel die op uw telefoon of computer staat. U ontgrendelt die met uw vingerafdruk, gezicht of pincode. De passkey hoort bij één website, dus op een nepsite werkt hij niet. Steeds meer diensten ondersteunen passkeys, ook Microsoft.

Is tweestapsverificatie genoeg?

Nee. In de phishingcampagne waar Z-CERT voor waarschuwde, vulde een medewerker een code in op een Microsoft-pagina. Daarmee kreeg de aanvaller toegang tot de mailbox, ook met tweestapsverificatie aan.

Tweestapsverificatie blijft wel nodig. Het houdt inbraken met alleen een gestolen wachtwoord tegen. Combineer het met andere maatregelen:

• Vul nooit een code in die u niet zelf heeft aangevraagd.
• Laat inloggen met zo'n code uitzetten waar uw praktijk het niet nodig heeft.
• Laat inlogpogingen vanaf onbekende apparaten of vreemde landen blokkeren of melden.
• Gebruik waar het kan een passkey of beveiligingssleutel.
• Train uw team in het herkennen van phishing.

Is er toch ingebroken in een mailbox met patiëntgegevens? Dan meldt u dat binnen 72 uur bij de Autoriteit Persoonsgegevens.

Welke systemen beveiligt u als eerste?

Begin waar een inbraak de meeste schade doet. Voor de meeste praktijken is dat deze volgorde:

1. Mail en Microsoft 365, omdat een overgenomen mailbox direct toegang geeft tot gegevens en contacten.
2. Toegang op afstand, zoals thuiswerken op de praktijkomgeving.
3. Cloudopslag en gedeelde mappen met documenten van de praktijk.
4. Portalen van leveranciers, zoals beheeromgevingen en webportalen.

Het HIS draait meestal bij de leverancier. Vraag na hoe de leverancier het inloggen beveiligt, en of tweestapsverificatie daar aan kan.

Hoe herkent u een verdacht inlogverzoek?

Met tweestapsverificatie ziet u soms een verzoek om in te loggen dat u niet zelf heeft gedaan. Dat is een signaal dat iemand uw wachtwoord heeft.

• U krijgt een melding of code terwijl u niet aan het inloggen bent.
• Een mail vraagt u om een code in te vullen, of een link te openen om in te loggen.
• U krijgt veel meldingen achter elkaar, in de hoop dat u er één bevestigt.

Bevestig zo'n verzoek nooit. Wijzig uw wachtwoord en meld het direct bij uw ICT-partner.

Hoe voert u het in zonder dat uw team vastloopt?

1. Begin met de accounts met de meeste rechten: beheerders, de praktijkhouder en de praktijkmanager.
2. Zet het daarna aan voor mail, Microsoft 365 en toegang op afstand.
3. Spreek af welke telefoon of sleutel iedereen gebruikt, ook wie geen zakelijke telefoon heeft.
4. Regel wat er gebeurt als iemand zijn telefoon kwijt is of een nieuwe krijgt.
5. Leg in een kort teamoverleg uit waarom. Wie snapt waarom, werkt makkelijker mee.

Wat als een medewerker geen zakelijke telefoon heeft?

Dat komt veel voor. Niet iedereen wil een app van de praktijk op de eigen telefoon. Een beveiligingssleutel aan de sleutelbos is dan een goed alternatief. Die werkt zonder telefoon en zonder app.

Spreek ook af wat er gebeurt als iemand de sleutel vergeet of kwijtraakt. Een reservesleutel of een tijdelijke code van de beheerder voorkomt dat iemand de hele dag niet kan werken.

Hoe vaak moet iemand de tweede stap doen?

Dat kunt u instellen. Op een beheerde computer in de praktijk hoeft het vaak niet bij elke inlog. Logt iemand in vanaf een nieuw apparaat of van buiten de praktijk, dan wordt de tweede stap wel gevraagd.

Zo blijft het werkbaar aan de balie en in de spreekkamer, zonder dat de beveiliging wegvalt waar het risico het grootst is. Laat uw ICT-partner meedenken over de juiste balans.

Gebruikt de balie een gedeelde computer? Laat dan toch iedereen met een eigen account werken. Dan weet u wie wat heeft gedaan, en hoeft niemand een wachtwoord te delen.

Checklist: tweestapsverificatie in uw zorgpraktijk

• Tweestapsverificatie staat aan voor alle accounts met beheerrechten.
• Het staat aan voor mail, Microsoft 365 en toegang op afstand.
• Niemand gebruikt nog sms als enige tweede stap.
• Inloggen met een code is uitgezet waar het niet nodig is.
• Er is een vaste werkwijze voor een kwijtgeraakte telefoon of sleutel.
• Uw team weet dat het nooit zomaar een code invult.

Hoe Westers helpt

Westers is zelf NEN 7510- en ISO 27001-gecertificeerd en regelt al ruim 20 jaar de ICT van zorgpraktijken. We richten tweestapsverificatie in voor uw hele team en bewaken uw omgeving 24/7.

Met MijnVeiligePraktijk regelen we beveiliging, monitoring en bewustwording voor uw team. Of bel ons op 088 - 87 20 200.