Dienstbeschrijving risicoanalyse in de Zorg - Infraccent
Infraccent biedt zorginstellingen een handzame methode en hulpmiddelen aan voor het aanpakken van integrale informatiebeveiligingsprojecten, waarbij de inspanning minimaal is en het resultaat een praktisch implementeerbaar beveiligingsplan met bruikbare, effectieve set van beveiligingsmaatregelen is. De methode is gebaseerd op standaarden als NEN 7510, BS 7799 en is afgeleid van de Afhankelijkheids- en Kwetsbaarheidsanalyse zoals toegepast bij de Rijksoverheid (ACIB).
De volgende stappen worden doorlopen:
-
Bepalen belangrijkste primaire en secundaire bedrijfsprocessen
- Bepalen gevolgen indien bedrijfsproces faalt voor wat betreft de beschikbaarheid, vertrouwelijkheid en integriteit van de informatie (risico survey specifiek voor de zorg)
- Inventariseren van de informatiesystemen
- Vaststellen van afhankelijkheid bedrijfsproces van het informatiesysteem
- Bepalen betrouwbaarheidseisen per informatiesysteem
- Bepalen risicoklasse conform WBP (conform AV23)
- Bepalen baseline zorginstelling gebaseerd op NEN 7511 -X (welke maatregelen zijn relevant en welke maatregelen worden beargumenteerd niet uitgevoerd)
- Vaststellen welke systemen binnen de bovengenoemde baseline vallen
- Indien systemen hogere eisen stellen dan de norm kan waarmaken, dan definiëren additionele eisen middels een kwetsbaarheidsanalyse van het syteem.
In de praktijk wordt de informatie in minimale tijd vergaard (doorgaans in de vorm van 1 of meerdere workshops) en wordt in een korte tijd het traject doorlopen.
Het probleem is vaak dat als men de maatregelen heeft geïnventariseerd, men nog feitelijk niets kan. De oorzaak hiervan is dat de maatregelen nog niet concreet genoeg zijn, niet behapbaar zijn voor de doelgroep en dat bovendien ook niet duidelijk is wie verantwoordelijk is voor welke maatregel. Infraccent heeft hiervoor een methodiek ontwikkeld om maatregelen te clusteren tot logische eenheden en deze vervolgens te vertalen naar concrete activiteiten die toegewezen worden aan de verantwoordelijke personen. Ook deze stap wordt doorgaans doorlopen door het uitvoeren van workshops met de direct betrokkenen. Vervolgens hanteert Infracent een meetinstrument om de voortgang van de implementatie meetbaar te maken.
Het grote voordeel van deze methodiek is de schaalbaarheid. Het is toe te passen voor zowel kleine zorginstellingen met 1 of meerdere bedrijfsprocessen tot complexe organisaties als ziekenhuizen en psychiatrische inrichtingen.
