Flex werkplek 3 gebruikers

[aap411vm]

Voor een kleine onderneming ben ik nu opzoek naar de mogelijkheden tot het flexplek werken.

Er zitten hier eigenlijk twee eisen aan;
- Fileserver (overal bereikbaar)
- Deling van agenda's.

Nu klinkt dit niet zo spanned en kan ik dit oplossen met Office 365 of dropbox. Echter het grote probleem zit hem in de data. Het gaat hier namelijk om patient gegevens. Volgens mij mag volgens de wet deze data niet in het buitenland bevinden en zijn er eisen verbonden aan ecrypted logins.

Heeft iemand hier ervaring mee? Voor 3 gebruikers een server + exchange neer zetten met VPN lijkt wat overkill..

[Trommelrem]

Dan zou ik Dropbox er al direct uitgooien. Zelfs met secure wachtwoorden is dat niet secure genoeg. Als je met dergelijke oplossingen wilt werken, dan kun je beter SpiderOak overwegen.

Bij Office 365 wordt je data in lokale datacentra opgeslagen. Office 365 kun je overigens prima combineren met een goedkope Small Business Essentials server.

[Noxious]

Is het niet handiger dat deze gebruikers via RDP gaan werken op bijv. een SBS server (of als het een grotere omgeving is, gewoon een TS server of Citrix oid?).

[ralpje]

RDP op een SBS kan niet, dan moet je naar een full-blown TS server en dat lijkt me wat overkill voor drie gebruikers.
Office 365 icm sharepoint een optie?

[Trommelrem]

RDP kan prima in een SBS omgeving, zelfs met SBS Essentials. Je hebt er alleen wel een extra server en Standard licentie voor nodig. Maar Citrix of RDP lijkt me erg overdreven en erg kostbaar in een omgeving met 3 flexwerkers. Office 365 en SharePoint is wellicht een zeer goede en goed betaalbare oplossing. Wat is het budget?

[ Voor 13% gewijzigd door Trommelrem op 09-03-2012 11:26 ]

[Question Mark]

aap411vm schreef op vrijdag 09 maart 2012 @ 10:32:
Volgens mij mag volgens de wet deze data niet in het buitenland bevinden en zijn er eisen verbonden aan ecrypted logins.

Ik denk dat stap 1 dan wordt om de exacte eisen even te achterhalen, dan pas kan naar een oplossing gezocht worden.

[Jazzy]

Begins eens met het concreet maken van je eisen. Ik gok dat je wilt kijken naar NEN7510, maar waarschijnlijk heeft jullie organisatie die al vertaald naar concrete richtlijnen. Pas als je die eisen duidelijk hebt, kun je kijken of een bepaalde oplossing geschikt is.

Edit: Wat hij hierboven zegt dus.

[ Voor 6% gewijzigd door Jazzy op 09-03-2012 11:29 ]

[Wish]

Patiëntgegevens. Die moet je dan ook nog eens 15 jaar bewaren.... Lijkt me geen dropbox dingetje?
Voor dit soort gegevens bestaan stringente eisen die o.a. de WBP aan je stelt als bewerker van die gegevens.

Alvast wat leesvoer:
http://www.ntvt.nl/userfiles/image/artikel/pdf/162-164.pdf

http://www.google.nl/url?...uo5UoDQipcn3Lcxpm564ql5DA

http://www.knmp.nl/downlo...ding-beveiliging-nen-7510

Ik weet niet zeker of het "verboden" is om de gegevens te hosten bij een Amerikaanse aanbieder (het land van het hoofdkantoor is leidend, niet de geografische locatie van de data zelf in relatie tot de Patriot Act). Is het verboden, dan mag dus Office 365 niet

[Noxious]

Hence de 'of als het een grotere omgeving is' in mijn post mensen

[ralpje]

Trommelrem schreef op vrijdag 09 maart 2012 @ 11:25:
RDP kan prima in een SBS omgeving, zelfs met SBS Essentials. Je hebt er alleen wel een extra server en Standard licentie voor nodig. Maar Citrix of RDP lijkt me erg overdreven en erg kostbaar in een omgeving met 3 flexwerkers. Office 365 en SharePoint is wellicht een zeer goede en goed betaalbare oplossing. Wat is het budget?

Dat zeg ik, RDP op een SBS kan niet. Je hebt daar een TS voor nodig. De serverlicentie is wellicht in een SBS essentials goedkoper, maar je moet wel nog steeds je RDP-cals (of hoe heten die dingen tegenwoordig ook alweer) en je office CALS (open license) aanschaffen.

[St@m]

ralpje schreef op vrijdag 09 maart 2012 @ 11:39:
[...]


Dat zeg ik, RDP op een SBS kan niet. Je hebt daar een TS voor nodig. De serverlicentie is wellicht in een SBS essentials goedkoper, maar je moet wel nog steeds je RDP-cals (of hoe heten die dingen tegenwoordig ook alweer) en je office CALS (open license) aanschaffen.

Thinstuff... kan wel, het wordt niet ondersteund, dat is wat anders
Volgens mij weet je overigens niet wat er met je data gebeurd als die op de MS servers staan in het geval met Office 365, misschien komt die data wel in Amerika terecht. Patriot act enz.. ik zou met daar in ieder geval niet aan wagen.

[ Voor 20% gewijzigd door St@m op 09-03-2012 11:44 ]

[Jazzy]

Wish schreef op vrijdag 09 maart 2012 @ 11:38:
Ik weet niet zeker of het "verboden" is om de gegevens te hosten bij een Amerikaanse aanbieder (het land van het hoofdkantoor is leidend, niet de geografische locatie van de data zelf in relatie tot de Patriot Act). Is het verboden, dan mag dus Office 365 niet

Als de data het land niet uit mag dan valt Office 365 toch al af, een kopie staat in Ierland en onder bepaalde omstandigheden van de data verplaatst worden naar de US of China.

[BadpunK]

Jazzy schreef op vrijdag 09 maart 2012 @ 11:45:
[...]
Als de data het land niet uit mag dan valt Office 365 toch al af, een kopie staat in Ierland en onder bepaalde omstandigheden van de data verplaatst worden naar de US of China.

..medische gegevens mag enkel niet verspreid worden als dit op (een) persoon(sniveau) te herleiden is..

[mitsumark]

Dus patienten een nummer geven en alleen lokaal linken aan persoonsgegevens?

[BadpunK]

mitsumark schreef op vrijdag 09 maart 2012 @ 12:50:
Dus patienten een nummer geven en alleen lokaal linken aan persoonsgegevens?

geanonimiseerd mag namelijk wel.. datamasking is ook een optie, maar zal in dit geval minder relevant/toepasbaar zijn.

[aap411vm]

Super om zoveel reacties te zien! Toch iets lastiger als gedacht om de juiste eisen boven water te krijgen. Volgende punten staan in de Privacywetgeving en omgaan met patiëntengegevens.

- de gegevensverwerking geheel geëncrypteerd (versleuteld) moet zijn. Dus zowel het afzonderlijk opgeslagen
elektronische medische dossier van de arts, als het (eventuele) elektronisch uitwisselen van gegevens met
anderen (zoals andere zorgverleners)

- ˆ identificatie en verificatie adequaat geregeld zijn;
- ˆ er sprake is van een strikte autorisatie, dus alleen degenen die daartoe bevoegd zijn, hebben toegang tot de
patiëntgegevens

Dus niks over het in het buitenland hosten van de gegevens.

Kwam toch een interessant artikel tegen van microsoft 365 en patientgegevens.. Wellicht toch een optie aangezien ze voldoen aan de HIPPAA vereisten.

[Jazzy]

Even een paar vragen voor de context, werk je voor een zorginstelling? Ben je ingehuurd door een zorginstelling? Wie is je opdrachtgever en wie bepaalt het beleid? Als er geen beleid is, wordt van jou verwacht dat je het op gaat stellen?

[aap411vm]

Er is nog geen beleid. Het zit eigenlijk alsvolgt; Ik ben ingehuurd door een Cardioloog die naast zijn huidige werkgever een eigen praktijk is begonnen in verschillende keuringen (rijbewijskeuring, duikkeuring, hart revalidatie, etc). Er wordt een ruimte gehuurd binnen een ander revalidatie centrum.

De data die hier wordt verzameld moet elders worden weggezet aangezien hier alleen maar keuringen / metingen plaats vinden en er maar 1 keer in de week iemand aanwezig is.

Ziekenhuizen zullen de patiënten doorverwijzen naar de revalidatie. Of patiënten komen zelf voor een keuring of doorverwijzing van hun arts.

Dus ik bepaal het beleid en moet het dan ook opstellen

[Verwijderd]

Bedoel je niet dat jij als techneut als adviseur dient en dat de opdrachtgever daar vervolgens een beleid op maakt?

Het lijkt me in dit geval dan toch meer dan 'even' een werkomgeving neerzetten oor een kleine praktijk. Zijn er niet toch andere mogelijkheden dan 'in de cloud' gaan?

[BadpunK]

aap411vm schreef op vrijdag 09 maart 2012 @ 13:30:
Er is nog geen beleid. Het zit eigenlijk alsvolgt; Ik ben ingehuurd door een Cardioloog die naast zijn huidige werkgever een eigen praktijk is begonnen in verschillende keuringen (rijbewijskeuring, duikkeuring, hart revalidatie, etc). Er wordt een ruimte gehuurd binnen een ander revalidatie centrum.

De data die hier wordt verzameld moet elders worden weggezet aangezien hier alleen maar keuringen / metingen plaats vinden en er maar 1 keer in de week iemand aanwezig is.

Ziekenhuizen zullen de patiënten doorverwijzen naar de revalidatie. Of patiënten komen zelf voor een keuring of doorverwijzing van hun arts.

Dus ik bepaal het beleid en moet het dan ook opstellen

enkele tips:

* let op de duur van bewaringstermijn; naar mijn weten standaard 15 jaar het kan oplopen tot 40 jaar als er sprake is van asbest e.d. stoffen
* zet data door over een secure lijn (sftp mogelijk een optie)
* breng inzichtelijk wie waar toegang tot heeft en laat mensen een geheimhouding verklaring tekenen
* hanteer een clean desk policy (geen papieren e.d. laten slingeren iedereen kan als het ware binnen komen lopen en wat meenemen)
* wees voorbereid dat er audits gaan plaats vinden en denk goed na over security

[Wish]

aap411vm schreef op vrijdag 09 maart 2012 @ 13:30:
Er is nog geen beleid. ...
Dus ik bepaal het beleid en moet het dan ook opstellen

Moaw. Volgens mij is er beleid ten aanzien van patiëntgegevens opgesteld door o.a. de overheid (waarvan WBP bijvoorbeeld een uitvloeisel is). Daar heb je als instelling aan te voldoen. Het zelf opstellen van beleid is prima, maar alleen binnen de wettelijke kaders natuurlijk. En daar lijken wij Tweakers nu nog geen eenduidig antwoord op te kunnen geven.
Wat alle regels en richtlijnen zijn, kan ik je niet direct een antwoord op geven. Maar mensen en organisaties die bijvoorbeeld met EDP's werken, wel. De KNMP kan je daar wellicht meer concreet antwoord op geven.

Patientgegevens hebben een van de hoogste classificaties van bescherming - dat weet ik dan wel weer. Maar aan welke voorwaarden er minimaal aan moet worden voldaan, is misschien meer een vraag aan de instantie die bijvoorbeeld WBP dicteert?

Verder is er veel informatie te vinden blijkbaar op de meer specialistische themasites.
Enneh, als je toch tijd over hebt: http://www.zorg-en-ict.nl/nl-NL/Bezoeker.aspx

Oh, wellicht ook nog leesvoer:
http://www.mitopics.nl/we...l-klaar-voor-het-epd-1650

In een onlangs gepubliceerd artikel “Patiëntgegevens: veilig opgeslagen en toch beschikbaar?” in het blad ICT in de Zorg leggen de auteurs uit hoe u maatregelen kunt nemen om de risico’s te verkleinen en hoe u om kunt gaan met de Wbp.

[ Voor 13% gewijzigd door Wish op 09-03-2012 13:41 ]

[BadpunK]

Verwijderd schreef op vrijdag 09 maart 2012 @ 13:40:
Bedoel je niet dat jij als techneut als adviseur dient en dat de opdrachtgever daar vervolgens een beleid op maakt?

Het lijkt me in dit geval dan toch meer dan 'even' een werkomgeving neerzetten oor een kleine praktijk. Zijn er niet toch andere mogelijkheden dan 'in de cloud' gaan?

hierbij kunnen andere mensen mogelijk de data inzien. dit is verboden bij de wet. je mag dergelijke gevoelige gegevens niet op een dergelijke manier onderbrengen.

[Vesper64]

Ik zou een kijken naar wat de NEN 7510, 7511 en de 7512 voorschrijven ten behoeve van de beveiliging van patiëntgegevens en de omgang daarvan. Je kan er donder op tegen zeggen dat de omgeving die jij op wil richten hier aan moet voldoen.

Daarbij zou ik de omgeving ook zo bouwen dat je makkelijk kan uitbreiden. Just in case .

[ Voor 47% gewijzigd door Vesper64 op 09-03-2012 13:54 . Reden: Typo: persoonsgegevens -> patientgegevens ]

[Verwijderd]

@BadPunk: dat zeg ik..
Met office 365 (of google docs of varianten hierop) ga je de cloud in. Ik vraag vervolgens of er dan niet een andere oplossing is.

[ Voor 13% gewijzigd door Verwijderd op 09-03-2012 13:45 ]

[BadpunK]

Verwijderd schreef op vrijdag 09 maart 2012 @ 13:44:
@BadPunk: dat zeg ik..
Met office 365 ga je de cloud in. Ik vraag vervolgens of er dan niet een andere oplossing is.

excuus, las te snel en interpreteerde het anders (namelijk het tegenover gestelde)..

[Verwijderd]

De oplossing zou dan zijn om toch een lokale server met groupware + remote toegang te gaan gebruiken. En omdat het om slechts 3 personen gaat is er qua specs niet zoveel aan de hand. Je kan dan voor een lichte server kiezen omdat de belasting zeer beperkt zal zijn.
Wel zal er gekeken moeten worden naar backup, omdat hosted backup dan ook waarschijnlijk afvalt.

[Jazzy]

aap411vm schreef op vrijdag 09 maart 2012 @ 13:30:
Dus ik bepaal het beleid en moet het dan ook opstellen

Ik zie de humor er niet zo van in. Je hebt geen idee wat je aan het doen bent, zowel technisch als fucntioneel tast je compleet in het duister. Zelfs voor een globale oplossing moet je al aankloppen bij een community.

Waar is eigen onderzoek gebleven? Waarom vraag je niet aan je opdrachtgever aan welke eisen de oplossing moet voldoen? Waarom gebruik je je eigen kennis en ervaring niet om een passende oplossing te vinden? Wat je je meerwaarde eigenlijk, waarom doet de specialist het niet gewoon zelf?

Sorry dat ik zo kritisch ben maar ik erger me hier een beetje aan.

[aap411vm]

Ik zat al te denken inderdaad dat een eigen server de veiligste oplossing is. Zodat je er zeker van bent waar het staat. En hoe het beveiligd is. Maar locale server zal toch naar een datacentrum moeten i.v.m. bandbreedte. Er moeten ook video's beschikbaar gesteld worden (echo's).

Maar die HIPPAA die office 365 zegt te hebben is amerikaanse beveiligsnorm voor de gezondheidszorg. Toch maar even informatie inwinnen bij een audit specialist op medisch gebied.

[BadpunK]

Jazzy schreef op vrijdag 09 maart 2012 @ 13:52:
[...]
Ik zie de humor er niet zo van in. Je hebt geen idee wat je aan het doen bent, zowel technisch als fucntioneel tast je compleet in het duister. Zelfs voor een globale oplossing moet je al aankloppen bij een community.

Waar is eigen onderzoek gebleven? Waarom vraag je niet aan je opdrachtgever aan welke eisen de oplossing moet voldoen? Waarom gebruik je je eigen kennis en ervaring niet om een passende oplossing te vinden? Wat je je meerwaarde eigenlijk, waarom doet de specialist het niet gewoon zelf?

Sorry dat ik zo kritisch ben maar ik erger me hier een beetje aan.

Het is moeilijkere materie, dan men beseft. Ik weet hier toevallig aardig wat vanaf aangezien ik hier dagelijks mee van doen heb. Overigens ben ik benieuwd wat de TS voor achtergrond heeft. Anders sluit ik bij de bovenstaande reactie aan.

[BadpunK]

aap411vm schreef op vrijdag 09 maart 2012 @ 13:55:
IMaar die HIPPAA die office 365 zegt te hebben is amerikaanse beveiligsnorm voor de gezondheidszorg. Toch maar even informatie inwinnen bij een audit specialist op medisch gebied.

..Amerikaanse wetgeving != Europese wetgeving..

[aap411vm]

Om maar even terug te komen op bovenstaande opmerkingen. Dit is inderdaad complexe materie. Om even mijn achtergrond te verduidelijken; Volgende diploma;s MBO Netwerkbeheer, HBO Media Technology. Ik ben breed opgeleid en weet van alles wat af. specialisatie in CrossMedia

Daarnaast twee kleinere netwerken (SBS + Exchange) neergezet waarvan 1 ook een medisch bedrijf (~20 werkplekken). Echter ze ontvangen daar geen patiënten en hadden enkel data in huis zonder patient namen. Data blijft altijd intern en kan enkel worden benaderd d.m.v. VPN. Het beleid was daar niet erg uitgebreid qua IT maar wel goed gekeurd voor de ISO en FDE certificering. (Dus ja ik weet dat dit de beste en veiligste oplossing is. Maar de vraag of het qua kosten ook anders kan is een tweede) SBS + exchange => 2000 euro.

Ook weet ik dat Amerikaanse wetgeving geen europese wetgeving is. Over het algemeen is de Amerikaanse wetgeving 10 keer strenger dan de europese wetgeving.

Mijn post hier is dus met de vraag of meer mensen met dit bijltje hebben gehakt en wat hun advies is. Zo te lezen is BadPunk aardig op de hoogte.

Workflow in centra is alsvolgt: Alle data blijft daar en gaat mee op eigen laptop / mobiel echo apparaat. Vanuit (huis) moet deze data naar centraal punt worden opgeslagen zodat collega's er ook bij kunnen. (cloud of server)

Procesmatig gezien is server in datacentrum hetzelfde als een cloud + je weet fysiek waar je files staan.

[Jazzy]

Maar dan even samenvatten wat je nu weet:

Je eisen zijn:
- bestandsdeling voor o.a. grote bestanden
- gedeelde agenda's

Als je inmiddels meer feiten hebt, vul het rijtje dan eens of verzamel ze. Zet daar vervolgens een oplossing naast die je overweegt en kijk of de eisen daarop aansluiten. Zo simpel is het, dat kun je echt zelf.

Wat niet werkt is een paar stappen overslaan en opeens beginnen over bandbreedte of cloud. Dan krijg je alleen maar discussie die nergens op gebasseerd is.

[TribalDragon]

Is het niet iets om 2x een NAS in te zetten. En hier je eigen Cloud op te zetten (bijv. Qnap) en deze te Rsyncen. Data versleutelen op de harde schijf (web interface, piece of cake). Deze NAS kan tegenwoordig ook als VPN server (PPTP VPN/OpenVPN) ingezet worden en je zo toegang geven tot je data.

[ Voor 24% gewijzigd door TribalDragon op 09-03-2012 14:31 ]

[BadpunK]

aap411vm schreef op vrijdag 09 maart 2012 @ 14:14:
Workflow in centra is alsvolgt: Alle data blijft daar en gaat mee op eigen laptop / mobiel echo apparaat. Vanuit (huis) moet deze data naar centraal punt worden opgeslagen zodat collega's er ook bij kunnen. (cloud of server)

Procesmatig gezien is server in datacentrum hetzelfde als een cloud + je weet fysiek waar je files staan.

<-- zorg ervoor dat de laptops goed beveiligd en geëncrypteerd zijn.

vanuit mijn rol bij een grote arbodienst heb ik vaak met privacy- en wetgeving te maken gehad. hierdoor heb ik door de jaren heen het een en ander wel meegekregen over medische gegevens, dossiers e.d. ik wil wel een keer met je sparren als je ideeën / oplossingen hebt.

[Verwijderd]

Bij twijfel over de juiste plek maar richting Serversoftware en Windows Servers

[Verwijderd]

Verwijderd schreef op zaterdag 10 maart 2012 @ 11:31:
Bij twijfel over de juiste plek maar richting Serversoftware en Windows Servers

Dat TS op dit moment Windows SBS gebruikt wil niet zeggen dat de toekomstige oplossing ook Windows SBS zou moeten zijn..

[alt-92]

Khildin,
Je zou ook de benaming van dit subforum eens goed kunnen lezen en het soort vragen wat hier gesteld wordt in acht nemen.

[ Voor 4% gewijzigd door alt-92 op 10-03-2012 13:45 ]

[Jazzy]

Dat misverstand hebben we al jaren, ondanks de kleine aanpassingen die een keer aan de naam is gedaan. Net zoals mensen bij PNS ook alleen maar het woord Server zien staan en even missen dat er ook nog Professional bij staat.

Ik zou wel benieuwd zijn wat de TS uiteindelijk gedaan heeft met de adviezen. Of niet.

[aap411vm]

Ten eerste wat is TS een verwarrend woord.. Terminal Server?

Omdat de beveiliging toch erg sterk moet zijn. Wordt het waarschijnlijk een SBS server met exchange. Dit oogt voorlopig de doelen van Filesharing & shared agenda's. Omdat het maar 3 gebruikers zijn zal deze op 10mbit up voorlopig goed moeten draaien bij de eigenaar op kantoor.

NAS van Qnap vond ik ook een interessante oplossing maar daarmee heb ik het probleem nog niet opgelost van de shared agenda's.. Google met eigen domein zou een optie zijn.. Maar ook daar zullen gegevens van de patienten te vinden zijn.

Backup moet ik nog even over nadenken. In ieder geval uitpandig en goed beveiligd.

@badPunk: Nog tips met betrekking van encrypted data? software? hardware wellicht?

[Schnor]

je kan toch gewoon een NAS in jet netwerk gooien, maak hier wel een tape back-up van die je lang genoeg bewaart.

met deze nas maakt het niet uit of je lokaal of via TS(met drive mapping) werkt.

dit soort data zou ik niet zomaar buiten de deur zetten, zeker niet in dropbox

[Question Mark]

aap411vm schreef op maandag 12 maart 2012 @ 13:37:
Omdat de beveiliging toch erg sterk moet zijn. Wordt het waarschijnlijk een SBS server met exchange. Dit oogt voorlopig de doelen van Filesharing & shared agenda's. Omdat het maar 3 gebruikers zijn zal deze op 10mbit up voorlopig goed moeten draaien bij de eigenaar op kantoor.

En wat ga je doen met de werkplekken waar de privacy-gevoelige data op bewerkt gaat worden?

Ik heb eerlijk gezegd nog steeds het idee dat je nog niet goed alle randvoorwaarden in kaart hebt waar je oplossing nu aan moet voldoen. Hoe ga je je backup inregelen? Moet deze ook encrypted worden, zijn er specifieke eisen aan het fysieke transport van deze data? (lees offsite brengen).

[Jazzy]

aap411vm schreef op maandag 12 maart 2012 @ 13:37:
Ten eerste wat is TS een verwarrend woord.. Terminal Server?

Dat heet RDS tegenwoordig.

Ik heb nog niet helemaal duidelijk wat je nu wilt. Als die SBS server bij de eigenaar op kantoor komt te staan, waarom zet je hem dan niet op de locatie zelf of desnoods in een datacenter?

[aap411vm]

In een datacenter zou ook een optie zijn hoor. Maar vanwege het weinige gebruik is op kantoor ook een goede optie. Maar "de locatie" is een plek waar enkel de cardio-test worden afgenomen. Er wordt gewoon een ruimte gehuurd daar voor een dagdeel. Voor de rest zitten de twee andere elders in het land.

Die randvoorwaarden zijn erg lastig om boven water te krijgen. Afspraak met opdrachtgever moet hier duidelijkheid over geven.

[merauder]

Een optie die je ook zou kunnen overwegen is Windows Multipoint server. Wat je dan krijgt is dat je 1 server hebt, waarbij je hardwarewise zou kunnen kiezen voor een Werkstation++ en deze aanvult met Zero Clients, oftewel thinclients die je dmv USB rechtstreeks aan de server koppelt.

Dan heb je wel een TS achtige oplossing, zonder dat je aan een flinke investering zit.