Wachtwoordbeleid in de zorg dat uw team volhoudt

Waarom is een wachtwoordbeleid in de zorg nodig?

In uw HIS, AIS of EPD staan medische gegevens. Wie het wachtwoord van een medewerker in handen krijgt, kan daar vaak bij. Een zwak of hergebruikt wachtwoord is daarom een makkelijke ingang voor een aanvaller.

NEN 7510 vraagt dat u de toegang tot patiëntgegevens beheert. Vaste afspraken over wachtwoorden zijn daar een basis voor. Lees meer in onze uitleg over NEN 7510.

Wat maakt een wachtwoord sterk?

De voorlichtingssite Veilig Internetten adviseert een uniek wachtwoord van minimaal 12 tekens. Een wachtzin is daarvoor de makkelijkste vorm: een paar woorden achter elkaar, die u goed kunt onthouden.

• Lang: een wachtzin is langer en makkelijker te onthouden dan een kort, ingewikkeld wachtwoord.
• Uniek: gebruik een wachtwoord nergens anders. Lekt het uit bij een webwinkel, dan blijft uw HIS veilig.
• Persoonlijk: deel geen account met collega's, ook niet aan de balie.

Hoe zorgt u dat het team het volhoudt?

Een beleid dat te streng is, wordt omzeild. Dan hangen er briefjes aan het scherm of delen collega's een account. Maak de veilige manier daarom ook de makkelijkste.

• Geef iedereen een wachtwoordmanager. Dan hoeft een medewerker maar één wachtwoord te onthouden.
• Zorg dat werkplekken aan de balie en in de spreekkamer snel van gebruiker kunnen wisselen.
• Laat het scherm automatisch vergrendelen als een werkplek een paar minuten niet wordt gebruikt.
• Leg uit waarom het nodig is. Een team dat het risico begrijpt, houdt zich beter aan de afspraken.

Waarom inloggen in twee stappen?

Een wachtwoord alleen is niet genoeg. Met tweestapsverificatie heeft een aanvaller naast het wachtwoord ook de telefoon of pas van de medewerker nodig. Het NCSC raadt in zijn factsheet aan om tweestapsverificatie overal te gebruiken waar dat kan.

Ook tweestapsverificatie is niet waterdicht. Bij de phishingcampagne waar Z-CERT voor waarschuwde, vulden medewerkers zelf een code in op een valse pagina. Lees daarom ook hoe u met phishing omgaat.

Is een wachtwoordmanager veilig?

Een wachtwoordmanager bewaart al uw wachtwoorden achter één hoofdwachtwoord. Volgens Veilig Internetten hoeft u dan maar één wachtwoord te onthouden. De wachtwoordmanager kan ook lange, unieke wachtwoorden voor u maken.

Kies een wachtwoordmanager die geschikt is voor organisaties. Dan kunt u accounts beheren en toegang intrekken als iemand vertrekt. Beveilig de wachtwoordmanager zelf met een sterke wachtzin en tweestapsverificatie.

Hoe gaat u om met gedeelde werkplekken en mailboxen?

Aan de balie wisselen collega's vaak van werkplek. Juist daar is de verleiding groot om één account te delen. Dat maakt het onmogelijk om te zien wie welk dossier heeft geopend.

Geef daarom iedereen een eigen account, ook op een gedeelde werkplek. Voor een gedeelde mailbox, zoals de praktijkmail, geeft u medewerkers toegang vanuit hun eigen account. Dan is er geen gedeeld wachtwoord nodig, en u kunt toegang per persoon intrekken.

Wanneer wijzigt u een wachtwoord?

Wijzig een wachtwoord direct als u vermoedt dat het is uitgelekt. Denk aan een klik op een phishingmail of een melding van een datalek bij een dienst die u gebruikt. Meld het ook bij uw ICT-partner, zodat die kan nagaan of er misbruik is gemaakt.

Sluit de accounts van medewerkers die vertrekken op hun laatste werkdag. Vergeten accounts van oud-medewerkers zijn een bekend risico.

Wat legt u vast in het wachtwoordbeleid?

Schrijf de afspraken kort en concreet op, zodat iedereen ze kan nalezen. Deze punten horen er in elk geval in:

• Iedereen heeft een eigen account, ook invallers en stagiairs.
• Wachtwoorden zijn uniek en minimaal 12 tekens lang.
• Tweestapsverificatie staat aan voor e-mail, Microsoft 365 en toegang op afstand.
• Er is een wachtwoordmanager voor het hele team.
• Accounts van vertrokken medewerkers worden dezelfde dag gesloten.
• Bij een vermoeden van een lek wijzigt u het wachtwoord direct en meldt u het.

Welke accounts beveiligt u als eerste?

U hoeft niet alles tegelijk te regelen. Begin met de accounts die de meeste schade kunnen doen als ze in verkeerde handen komen.

• E-mail: wie uw mailbox heeft, kan vaak ook wachtwoorden van andere diensten opnieuw instellen.
• Microsoft 365: daar staan uw bestanden, agenda's en vaak ook gedeelde mappen.
• Toegang op afstand: alles wat u van buiten de praktijk kunt bereiken.
• Het zorgsysteem: uw HIS, AIS of EPD met de dossiers van patiënten.
• Beheeraccounts: de accounts waarmee instellingen en gebruikers worden beheerd.

Zet op deze accounts als eerste tweestapsverificatie aan. Daarna volgen de overige diensten die uw team gebruikt.

Hoe voert u het beleid in?

1. Begin bij de praktijkhouder en de praktijkmanager. Als zij het goede voorbeeld geven, volgt het team.
2. Leg in een teamoverleg uit waarom het nodig is, met een herkenbaar voorbeeld zoals een phishingmail.
3. Help iedereen bij het instellen van de wachtwoordmanager en tweestapsverificatie. Plan daar tijd voor.
4. Controleer na een maand of alles werkt, en vraag waar collega's tegenaan lopen.

Een beleid dat samen met het team is ingevoerd, wordt beter nageleefd dan een regel die van bovenaf komt.

Checklist: is uw wachtwoordbeleid in de zorg op orde?

• Niemand deelt een account, ook niet aan de balie.
• Er hangen geen wachtwoorden op briefjes bij de werkplek.
• Schermen vergrendelen automatisch.
• Tweestapsverificatie staat overal aan waar het kan.
• Het team weet wat het doet na een klik op een verdachte link.

Hoe Westers helpt

Westers regelt al ruim 20 jaar de ICT van huisartsen, apotheken en GGZ. Westers ondersteunt meer dan 800 klanten in de zorg. Met MijnVeiligePraktijk richten we tweestapsverificatie, accountbeheer en bewustwording voor uw team in.

We bewaken uw systemen 24/7. Bel 088 - 87 20 200 als u wilt weten hoe uw praktijk ervoor staat.