Norm

Rationale	Persoonlijke gezondheidsgegevens moeten versleuteld worden opgeslagen. Dit heeft als doel dat de vertrouwelijkheid en integriteit van de gezondheidsgegevens gewaarborgd is, ook indien: · Een onbevoegd persoon toegang krijgt tot de datadrager (het hardware medium) · Een onbevoegd persoon toegang verkrijgt tot de logische dataopslag (de database of het gegevensbestand)
Implementatie	Opgeslagen persoonlijke gezondheidsgegevens MOETEN beschermd worden door middel van encryptie. Hiervoor wordt verwezen naar de aanbevelingen die gelden voor 'near term protection' en 'long-term protection' in de aanbevelingen, zie https://www.keylength.com/.
Toelichting	Deze maatregel mag uitgesloten worden indien DVA onder zijn verantwoording geen persoonlijke gezondheidsgegevens opslaat. Een overzicht van publicaties is te vinden op https://www.keylength.com/ Er kan gebruik gemaakt worden van de ECRYPT-CSA aanbevelingen, NIST of BSI aanbevelingen Deze norm betreft alle opgeslagen persoonlijke gezondsheidsgegevens, inclusief logfiles, backups en/of archieven.
NEN 7510:2017	A.10.1.1 Beleid inzake het gebruik van cryptografische beheersmaatregelen
NEN 7510:2011	A.12.3.1 Beleid voor het gebruik van cryptografische beheersmaatregelen

Beoordeling

Auditmethode

Stel op basis van de architectuurdiagrammen vast of er wordt voldaan aan de aanbevelingen die gelden voor 'near term protection' en 'long-term protection’ volgens de door deelnemer gekozen invulling van encryptie standaarden en sleutels bijvoorbeeld ECRYPT-CSA,NIST of BSI (zie https://www.keylength.com/). De deelnemer zal moeten aangeven welke encryptiestandaarden en sleutellengtes etc er gekozen zijn voor de opslag van gezondheidsgegevens.
Stel op basis van een steekproef vast of aanbevelingen ook daadwerkelijk geïmplementeerd zijn.

Verificatie

DVP = Dienstverlener persoon, DVA = Dienstverlener aanbieder, BO = Beheerorganisatie