Norm

Rationale	Deze maatregel borgt dat authenticatie van personen en autorisatie tot hun persoonlijke gegevens betrouwbaar plaatsvindt.
Implementatie	Authenticatie van personen (eindgebruikers) MOET plaatsvinden op basis van minimaal twee factoren. Na succesvolle authenticatie krijgen personen alleen toegang tot hun eigen persoonlijke gezondheidsgegevens.
NEN 7510:2017	A.9.4.1 Beperking toegang tot informatie
NEN 7510:2011	A.11.5.2 Gebruikersindentificatie en -authenticatie

Beoordeling

Auditmethode

Stel vast dat (minimaal) twee-factorauthenticatie van personen technisch afgedwongen wordt
Stel vast dat voldoende maatregelen zijn ingericht die waarborgen dat na succesvolle authenticatie de personen alleen toegang krijgen tot hun eigen persoonlijke gezondheidsgegevens. Ondersteunende evidence omvat bijvoorbeeld gedocumenteerde use-cases of het uitvoeren van een ‘walk through’ vanuit het perspectief van de eindgebruiker

Ten aanzien van de in het eerste punt bedoelde twee factoren gelden de volgende twee richtlijnen.

Ten eerste moeten de factoren uit verschillende van de volgende categorieën gebruikt worden.

drie categorieën van zogenoemde "authenticatiefactoren": factoren waarvan is bevestigd dat deze gebonden zijn aan een persoon.
- op bezit gebaseerde authenticatiefactoren: authenticatiefactoren waarvan de betrokkene moet aantonen dat deze in zijn bezit is;
- op kennis gebaseerde authenticatiefactoren: authenticatiefactoren waarvan de betrokkene moet aantonen dat hij ervan kennis draagt;
- inherente authenticatiefactoren: authenticatiefactoren die op een fysiek kenmerk van een natuurlijke persoon is gebaseerd en waarbij de betrokkene moet aantonen dat hij dat fysieke kenmerk bezit;
dynamische authenticatie: een elektronisch proces, dat met gebruikmaking van cryptografie of een andere techniek de middelen biedt om op verzoek een elektronisch bewijs op te maken dat de betrokkene de controle heeft over of in het bezit is van de identificatiegegevens, en dat verandert telkens als authenticatie plaatsvindt tussen de betrokkene en het systeem dat diens identiteit verifieert;

Twee factoren

Bijvoorbeeld, wanneer er tijdens het inloggen zowel een TouchID als een FaceID gebruikt wordt, dan is er geen sprake van two-factor, omdat het beide inherente authenticatiefactoren zijn.

Ten tweede moet het gebruik van beide factoren tijdens het inloggen achter elkaar plaatsvinden en in het inlog-proces onlosmakelijk aan elkaar verbonden zijn.

Twee factoren

Bijvoorbeeld, wanneer FaceID gebruikt wordt om met de iCloud password manager een wachtwoord in te voeren is er geen sprake van twee-factorauthenticatie, omdat het wachtwoord ook handmatig ingevoerd kan worden.

Deze tabel toont voorbeelden van veelgebruikte authenticatiefactoren.

categorie	factor	beschrijving
bezit	kaart of pas	Bij de authenticatie is een fysieke, losse kaart betrokken bijvoorbeeld een bankkaart.
	SMS	Als onderdeel van de authenticatie wordt een dynamische SMS-code gecontroleerd. De SMS-code is voldoende lang en steeds een andere.
	push notifications	Als onderdeel van de authenticatie wordt er een melding ontvangen op de telefoon. De gebruiker bevestigt de melding.
	keychain	Deze controle is niet zichtbaar voor de gebruiker. Op de mobiele telefoon wordt een secure enclave of keychain gebruikt om bezit van de telefoon aan te tonen.
kennis	pincode	Als onderdeel van de authenticatie wordt een pincode ingevoerd. Een pincode is altijd verbonden aan een kaart of een app(licatie). Na een beperkt aantal foutpogingen wordt de kaart of app geblokkeerd.
kennis	wachtwoord	Als onderdeel van de authenticatie wordt een wachtwoord ingevoerd. Voor de eisen aan het wachtwoord, de levensduur en het toegestane aantal foutpogingen is wachtwoordbeleid aanwezig.
inherent	vingerafdruk	Als onderdeel van de authenticatie wordt een vingerafdruk gecontroleerd, zoals TouchID.
	gezichtsherkenning	Als onderdeel van de authenticatie wordt het gezicht gecontroleerd, zoals FaceID.
	irisscan	Als onderdeel van de authenticatie wordt het oog gecontroleerd.

Verificatie

Welke documenten (incl. versienummers) zijn ingezien.

Rollen

DVP
DVZA
BO

_{DVP = Dienstverlener persoon, DVZA = Dienstverlener zorgaanbieder, BO = Beheerorganisatie}

Browser not supported