Document toolboxDocument toolbox

Vervallen op 14 mei 2022

Informatieclassificatiebeleid

Het informatieclassificatiebeleid beschrijft de manier waarop Stichting MedMij en de deelnemers informatie classificeren, zodat deze informatie passend kan worden behandeld vanuit het oogpunt van informatiebeveiliging. Dat betekent dat de omgang met de informatie (en de bijbehorende maatregelen rond onder meer beveiliging toegang) moet aansluiten bij het vereiste zekerheidsniveau in termen van beschikbaarheid, integriteit en vertrouwelijkheid.

Om deze aansluiting praktisch hanteerbaar te maken, hanteert MedMij een beperkt aantal classificatieniveaus en een eenvoudige wijze van het koppelen van een niveau aan informatie. Daarmee behoeft niet voor elk afzonderlijk informatie-element een afzonderlijke inschatting op de zekerheidsaspecten, noch een afzonderlijke afweging over de bijpassende informatiebeveiligingsmaatregelen gemaakt te worden.

Classificaties

In onderstaande tabel zijn de gehanteerde classificaties opgesomd. Voor de classificatie van de zekerheidsaspecten is aangesloten bij NEN7512:2015.



Classificatie van zekerheidsaspecten
MedMij-classificatieType informatieBeschikbaarheidIntegriteitVertrouwelijkheid
GezondheidGegevens waaruit direct of indirect informatie over de gezondheid van een persoon uit kan worden afgeleid.MiddenHoogZeer hoog
Operationele kernGegevens die operationeel noodzakelijk zijn voor de gegevensuitwisseling via het MedMij-netwerk.MiddenHoogLaag
Samenwerking en ontwikkelingGegevens die betrekking hebben op de communicatie van partijen over de huidige of toekomstige inhoud van het MedMij Afsprakenstelsel en de afsprakenset.LaagMiddenLaag
KwetsbaarheidNiet algemeen bekende gegevens over een (mogelijke) kwetsbaarheid bij een of meerdere deelnemers of de beheerorganisatie, al dan niet voortkomend uit de afsprakenset, waarmee een kwaadwillende partij inbreuk op de informatiebeveiliging van het MedMij-netwerk zou kunnen maken.LaagMiddenHoog

Labeling

In onderstaande tabel is aangegeven welke typen informatie of informatieproducten volgens welke MedMij-classificatie behandeld moeten worden. De informatie zelf wordt niet afzonderlijk voorzien van een 'label'; op grond van dit beleid moet deze informatie worden behandeld conform de bijbehorende classificatie.

Voor informatieproducten die niet in deze tabel voorkomen moet na analyse ofwel

  • een passende MedMij-classificatie, worden gekozen en is labeling noodzakelijk om duidelijk te maken wat de MedMij-classificatie van de informatie is; ofwel
  • wanneer geen passende MedMij-classificatie voorhanden is, een afzonderlijke behandeling plaatsvinden. De drie zekerheidsaspecten moeten worden geclassificeerd, de noodzakelijke informatiebeveiligingsmaatregelen moeten worden bepaald en het moet voor degenen die toegang hebben tot de informatie duidelijk zijn hoe die informatie behandeld moet worden. Dat kan door de informatie te voorzien van een label of andere aanduiding, dan wel door langs andere weg duidelijkheid te verschaffen over de regels rond de omgang met de betreffende informatie.
Type informatieMedMij-classificatie
Functionele logging op grond van de afspraken onder Processen en informatieGezondheid
Alle gegevens verkregen of verstrekt in het kader van een van de interacties in het kader van de use cases uit de Architectuur en technische specificatiesGezondheid
ZorgaanbiederslijstOperationele kern
WhitelistOperationele kern
OAuthclientlistOperationele kern
GegevensdienstnamenlijstOperationele kern
Inhoud van het MedMij AfsprakenstelselSamenwerking en ontwikkeling
Informatie ten behoeve van of aangaande doorontwikkelingSamenwerking en ontwikkeling
KwetsbaarhedenKwetsbaarheid
Risicoanalyse op stelselniveauKwetsbaarheid
Gegevens in het kader van forensisch onderzoek, indien deze geen persoonsgegevens bevattenKwetsbaarheid
Gegevens in het kader van forensisch onderzoek, indien deze wel persoonsgegevens bevattenGezondheid
Verklaringen van auditors over de toepassing van NEN7510 en het Normenkader informatiebeveiliging, voor zover daarin opmerkingen zijn opgenomen aangaande niet-volledige complianceKwetsbaarheid
Rapporten van penetratietestenKwetsbaarheid

Maatregelen

In onderstaande tabel is indicatief (zonder de pretentie volledig te zijn) aangegeven waar de maatregelen te vinden zijn die van toepassing zijn op informatie die is gelabeld met een bepaalde MedMij-classificatie. Deze maatregelen betreffen veelal de omgang in het kader van de uitwisseling tussen partijen. Deelnemers en de beheerorganisatie zijn daarnaast op grond van het Normenkader informatiebeveiliging (maatregel A.8.2.1 Classificatie van informatie) verplicht om ook hun interne informatiebeveiliging te laten aansluiten bij de MedMij-classificatie. Dat betekent dat zij de informatie van een interne classificatie moeten voorzien die op geen van de drie zekerheidsaspecten (betrouwbaarheid, integriteit, vertrouwelijkheid) lager is dan die van de MedMij-classificatie die verbonden is aan de informatie.

MedMij-classificatieMaatregelen
Gezondheid

Architectuur en technische specificaties: beschrijft de maatregelen om de uitwisseling van gezondheidsgegevens veilig en betrouwbaar te laten plaatsvinden.

Normenkader informatiebeveiliging: beschrijft de aanvullende maatregelen die deelnemers minimaal moeten treffen om ook in het eigen domein op veilige en betrouwbare manier met gezondheidsgegevens om te gaan.

Deelnemersovereenkomsten: beschrijft de juridische bepalingen tussen Stichting MedMij en de deelnemers gericht op de privacy en (informatie)beveiliging van gezondheidsgegevens (artikel 5).

Operationele kernArchitectuur en technische specificaties: beschrijft de maatregelen om op veilige en betrouwbare wijze om te gaan met de operationele uitwisselgegevens.

Normenkader informatiebeveiliging: beschrijft de aanvullende maatregelen die deelnemers minimaal moeten treffen om ook in het eigen domein op veilige en betrouwbare manier met de operationele uitwisselgegevens om te gaan.

Samenwerking en ontwikkeling

Change- en releasebeleid: beschrijft hoe met ontwikkelinformatie moet worden omgegaan bij de doorontwikkeling van het MedMij Afsprakenstelsel.

Samenwerkings- en escalatiebeleid: beschrijft de onderlinge samenwerking en communicatie van partijen rondom het afsprakenstelsel.

Kwetsbaarheid

Privacy- en informatiebeveiligingsbeleid: beschrijft welke maatregelen zijn ingericht om de privacy- en informatiebeveiliging van het stelsel te borgen.

Operationele processen: beschrijft met het Proces beheren technische kwetsbaarheden hoe met kwetsbaarheden wordt omgegaan.

Vervallen op 14 mei 2022