Mailverkeer in de zorg kan al snel veiliger

Zorgverleners die e-mailen lopen de kans dat ze privacygevoelige medische gegevens in handen spelen van onbevoegden. Directies van zorginstellingen moeten stilstaan bij de risico’s van het mailverkeer van hun zorgverleners. Dat vindt Jan Jongenelen, projectmanager van Nictiz die samen met architect Maarten Ligtvoet de mailrisico’s en oplossingen voor veilige mail in kaart heeft gebracht.

Met een paar simpele maatregelen kunnen instellingen of zelfstandige zorgverleners al snel hun mailverkeer beveiligen. Die zijn volgens de auteurs bijvoorbeeld: zorg voor certificaten op de eigen mailservers, dwing e-mailtransport met beveiligde verbinding af en contracteer die providers die geen commercieel gebruikmaken van de mailinhoud.

Risico-inventarisatie

Jongenelen: “E-mail is niet het meest veilige medium om gevoelige medische informatie te delen. Toch wordt e-mail daar voor gebruikt. De beveiliging kan met een paar simpele maatregelen al snel op een hoger niveau worden gebracht. Ziekenhuisdirecties zouden voor mailverkeer een risico-inventarisatie-analyse moeten maken. Ze moeten weten welke risico’s er zijn, welke ze kunnen en willen afdekken.”

Veilige mailoplossingen

Jongenelen en Ligtvoet hebben in hun verkenning Veilig omgaan met e-mail in de zorg vier soorten veilige mailoplossingen met elkaar vergeleken. Deze zijn gebaseerd op oplossingen op een besloten mailomgeving, een federatie van vertrouwde infrastructuren, Identity Based Encryption en PGP/UZI pas.

De risico’s zijn reëel, schetsen de auteurs. Zo kunnen bedrijven die (gratis) mailproducten en -diensten aanbieden informatie in de mailwisseling gebruiken voor commerciële doeleinden. Inlichtingendiensten van overheden hebben de macht om data uit mailservers via gerechtelijke bevelen op te eisen. Criminelen kunnen zich voor iemand anders uitgeven om via mail informatie te ontfutselen (identiteitsfraude), gegevens onbruikbaar maken en organisaties afpersen. Dan zijn er nog nieuwsgierige mensen die informatie ‘meelezen’, fouten van medewerkers zelf en hacktivisten en/of journalisten die omwille van privacybescherming lekken opsporen en erover publiceren.