Omgaan met datalekken

security@zorgflow.ai is het vaste meldpunt. Een zorgaanbieder die iets vermoedt meldt daar, en wij melden vanaf daar. Het is bewust een gedeeld postvak en geen persoonlijk adres, zodat het bereikbaar blijft bij afwezigheid.

Elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens, ook zonder kwade opzet. Bijvoorbeeld: een rapportage in het verkeerde dossier, inzage zonder behandelrelatie, of verlies van een toestel met een open sessie.

De auditlog legt elke dossierinzage en handeling onwijzigbaar vast, per organisatie, per cliënt en per medewerker. Daardoor is bij een incident snel vast te stellen welke gegevens het betreft, hoeveel betrokkenen, over welke periode, en of er daadwerkelijk toegang is geweest of alleen de mogelijkheid daartoe. Beperken gaat daarbij voor onderzoeken: toegang intrekken en sessies beëindigen kan per direct.

Aard van de inbreuk, categorieën en aantallen betrokkenen en gegevens, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen, en contactgegevens voor vervolgvragen. Ook als het beeld nog niet compleet is: we melden wat bekend is en vullen aan. Een melding bevat nooit cliëntgegevens; concrete dossierinhoud gaat niet per e-mail rond.

Elk incident komt in het incidentregister, ook als het achteraf geen lek blijkt: de AVG verplicht tot registratie van alle inbreuken. Elk incident leidt tot een aanpassing, in code of in procedure.