Deze maatregel borgt dat relevante security gebeurtenissen in systemen van de deelnemers en de beheerorganisatie (zoals het verlenen van toestemming aan aanbieder door de persoon, het inzien of wijzigen van een PGO of het wijzigen aan loggen van gebruikers aan hun PGO) ten minste 12 maanden inzichtelijk blijven.
Implementatie
Logging MOET plaatsvinden zoals gespecificeerd in het afsprakenstelsel (zie Functies en gegevens, Core onder Logging)
Daarnaast MOETEN de volgende acties ten minste 12 maanden onweerlegbaar en controleerbaar worden gelogd:Â
De actie waarbij de persoon via de DVP bij de DVA gegevens wil opvragen
De acties waarbij de persoon toestemming geeft voor de uitwisseling conform de specificaties in het afsprakenstelsel (indien uitgevoerd onder verantwoordelijkheid van de DVA)
Stel vast hoe de onweerlegbaarheid en controleerbaarheid van de logs over personen is ingericht. Stel vast dat deze altijd minimaal 12 maanden beschikbaar blijven.
Verificatie
Evidence m.b.t. de logbestanden.
Evidence m.b.t. aansluiting.
Nieuwe tekst
Rationale
Deze maatregel borgt dat relevante security gebeurtenissen in systemen van de deelnemers en de beheerorganisatie gelogd worden. Voorbeelden zijn het verlenen van toestemming aan aanbieder door de persoon of het inzien of wijzigen van een PGO.
Implementatie
Toegangslog
Deelnemers richten logbestanden in zoals beschreven in de AVG en NEN 7513:2018 en zorgen voor een wettelijke bewaartermijn van vijf jaar. De volgende acties moeten ten minste onweerlegbaar en controleerbaar worden gelogd.
De acties waarbij de persoon gegevens wil verzamelen of delen.
De acties waarbij de persoon toestemming geeft voor uitwisseling conform de specificaties in het afsprakenstelsel.
Vanuit het afsprakenstelsel moeten Deelnemers gebeurtenissen vastleggen ten behoeve van ketenmonitoring en -logging (Zie de Verantwoordelijkheden, core onder logging en de Logging interface). De bewaartermijn van de logbestanden is ten minste 24 maanden en niet meer dan 36 maanden. De maximum bewaartermijn voor de loggegevens voor ketenlog is lager omdat deze niet gegevens over inzage en/of bewerkingen van het medisch dossier betreffen.De minimale en maximale bewaartermijnen van deze logbestanden passen binnen de uitersten die daartoe zijn bepaald door NEN7513:2018 (paragraaf 8.5).
De maximum bewaartermijn van 36 maanden is niet van toepassing op aggregaten en algemene tellingen. Deze aggregaten en algemene tellingen mogen niet zijn voorzien van herleidbare gegevens zoals trace-id en session-id.
Uitzondering
In het geval van een klacht of een juridische procedure mag een Deelnemer een uitzondering maken op de bewaartermijnen. Dan mogen de relevant geachte logregels en de relevante geachte rapportages tot maximaal 10 jaar na het ontstaan van de loggegevens worden bewaard. Praktische aanpak is om een export te maken van de relevante logregels en deze informatie vast te leggen in een register dat specifiek is gewijd voor uitzonderingen. Door deze afzonderlijke procedure voor het verlengd bewaren van logregels kunnen organisaties voldoen bij klachten, terwijl de reguliere bewaartermijnen van loggegevens worden gehandhaafd.
NEN 7510-1:2017
A.12.4.1 Gebeurtenissen registreren
NEN 7510:2011
A.10.10.1 Aanmaken audit-logbestanden
A.10.10.2 Controle van systeemgebruik
Beoordeling
Auditmethode
Stel vast of de logbestanden voor toegangslog en ketenlog voldoen aan de voorwaarden zoals gesteld in de implementatie.
