Beveiligd e-mailen voor een Zorginstelling

[tspawn]

Voor een organisatie moet ik aan de slag met een zorgmail achtige oplossing.

Mogelijkheden zijn:

Zivver
Zorgmail

en mijn eigenlijke favoriet: Azure Information Protection voor Office 365

Omdat er al een Office 365 omgeving is.

Heeft iemand ervaringen met een van de bovenstaande ?

[Imnoa]

Ik weet niet op welke termijn je het werkend moet krijgen maar je zou dit nog af kunnen wachten. Zeker ivm de al aanwezige O365 omgeving

IRM

Imnoa wijzigde deze reactie 30-01-2019 13:26 (25%)

[Jester-NL]

Hier een ervarings-topic: hoe veilig is het mail systeem van zorginstellingen?

[F_J_K]

Lees inderdaad ook bovenstaande even door voor wat ervaringen.

Je topicstart is nogal kortaf. Wat zijn de eisen, wat zijn de soorten gebruikers en gebruik? Bijvoorbeeld: Je kunt een document versleutelen etc, maar als dat betekent dat het document niet digitaal duurzaam is op te slaan dan heeft de ontvanger misschien een probleem. Ik zou graag zien dat mijn zorgdossier ook over meer dan 20 jaar leesbaar is, zonder wachtwoord te onthouden. Of het ziekenhuis dat de files ontvangt, zal ze moeten willen distribueren binnen de instelling - zonder dat er een wachtwoord mee moet. En die hebben een archiefplicht, waarbij een ondertussen vergeten password al helemaal een no-no is. Permanente versleuteling van docs zie ik daarom niet als oplossing. Maar misschien is dat niet je use case.

[tspawn]

Waar ik een beetje mee zit als Office 365(AIP) qua beveiliging hetzelfde doet als zivver en zorgmail doe ik liever die Office365 (AIP) omdat dat al aanwezig is. De zorg heeft al zoveel verschillende stukjes software.

Maar als blijkt dat het problemen creëert dan de standaard (zivver en zorgmail) dan kies ik daar liever nu voor.

[Jester-NL]

tspawn schreef op woensdag 30 januari 2019 @ 14:15:
Waar ik een beetje mee zit als Office 365(AIP) qua beveiliging hetzelfde doet als zivver en zorgmail doe ik liever die Office365 (AIP) omdat dat al aanwezig is. De zorg heeft al zoveel verschillende stukjes software.

Maar als blijkt dat het problemen creëert dan de standaard (zivver en zorgmail) dan kies ik daar liever nu voor.

Mede daarom linkte ik dus naar een bestaand (en recent) topic. Juist omdat er daar (ook) de nodige vraagtekens bij de huidige methoden worden gezet...

[utbone]

tspawn schreef op woensdag 30 januari 2019 @ 13:22:
Voor een organisatie moet ik aan de slag met een zorgmail achtige oplossing.

Mogelijkheden zijn:

Zivver
Zorgmail

en mijn eigenlijke favoriet: Azure Information Protection voor Office 365

Omdat er al een Office 365 omgeving is.

Heeft iemand ervaringen met een van de bovenstaande ?

Lijkt mij goed om eerst met leveranciers te gaan praten, je te laten inspireren, dan functionele eisen op te gaan stellen en vervolgens een RFI. Start met een gesprek met ennovation, dan wordt je al veel duidelijk.

[Bonazzo]

utbone schreef op woensdag 30 januari 2019 @ 15:56:
[...]


Lijkt mij goed om eerst met leveranciers te gaan praten, je te laten inspireren, dan functionele eisen op te gaan stellen en vervolgens een RFI. Start met een gesprek met ennovation, dan wordt je al veel duidelijk.

@tspawn De suggestie van @utbone lijkt me een goede: verdiep je in de materie, stel functionele eisen op en bekijk dan hoe alle 3 je er aan helpen voldoen.

Alle 3 'beveiligen ze de lijn'. Menselijke fouten (mail naar de verkeerde persoon) zijn echter de oorzaak van 63% van alle datalekken (zie recentste AP rapportage - https://autoriteitpersoon...jna-21000-datalekken-2018). ZIVVER komt in vergelijkingen (bijv: https://www.emerce.nl/wir...e-oplossing-veilig-mailen) naar boven als de partij die hier ook tegen helpt.

Een belangrijke andere ontwikkeling om in jouw keuze rekening mee te houden is dat de NEN bezig is met een nieuwe norm voor veilig mailen (https://www.nen.nl/NEN-Sh...lig-mailen-in-de-zorg.htm). Alle organisaties die met zorginformatie werken (dus ook gemeente, onderwijs, UWV, etc) zullen hieraan dienen te gaan voldoen. Microsoft heeft verrassend genoeg de intentieverklaring om hun relaties te gaan laten voldoen aan de norm niet ondertekend (Zorgmail en ZIVVER wel).

Andere punten om te overwegen:

• Impact op de organisatie zelf (technische inregeling, workload van ICT zowel eenmalig als continue)
• Impact en gebruiksgemak voor medewerkers
• Impact en gebruiksgemak voor ontvangers

Al met al kan ik me voorstellen dat gezien je opmerking 'Maar als blijkt dat het problemen creëert dan de standaard (zivver en zorgmail) dan kies ik daar liever nu voor' me voorstellen dat ZIVVER, gezien zij het meest voorop lopen, de beste keuze kan zijn.

Goed om sowieso de functionele wensen- en eisen meer uit te werken, om een gedegen afweging te maken.

Spoiler: werk zelf bij ZIVVER. Stuur je met plezier een inspiratiedocument toe.

Bonazzo wijzigde deze reactie 31-01-2019 08:33 (6%)
Reden: Opmaak en verheldering

[Frogmen]

Enerzijds goede ontwikkelingen al zet ik soms mijn vraagtekens bij NEN normen en de gediende belangen van zij die in de norm commissie zitten. (Als bedrijf kan je gewoon een plek kopen).
Aan de andere kant vinden we nog steeds dat een envelop beschermd door de wet en niets meer voldoende veiligheid bied. De zorgkosten lopen steeds verder op en worden steeds onbetaalbaarder.
Dan rijst bij mij vooral de vraag hoeveel incidenten met mail zijn er geweest die deze beveiliging noodzakelijk maken? (ik heb het niet over oeps verkeerd emailadres, want daar helpt deze beveiliging ook niet tegen).
Mag ik straks kiezen voor korting op mijn verzekering als ze mij gewoon mogen mailen?

[Bonazzo]

Frogmen schreef op donderdag 31 januari 2019 @ 09:00:
Enerzijds goede ontwikkelingen al zet ik soms mijn vraagtekens bij NEN normen en de gediende belangen van zij die in de norm commissie zitten. (Als bedrijf kan je gewoon een plek kopen).

Owja? Bron? Naar mijn weten is deze norm gekomen omdat er nog geen norm voor veilig mailen in de zorg was en de AP gezien de vele datalekken in de zorg (veel via mail) hier wel graag op wil gaan controleren. Dat vereist dat er een norm komt/is.

Kan me voorstellen dat er input uit de markt (zorg, leveranciers, andere belanghebbenden) wordt gevraagd en de commissie uiteindelijk zijn eigen norm definieert. Zou wat zijn anders.

Frogmen schreef op donderdag 31 januari 2019 @ 09:00:
De zorgkosten lopen steeds verder op en worden steeds onbetaalbaarder.

Door meer digitaal te doen kunnen kosten worden bespaard voor de ouderwetse envelop, dvd, stickjes etc. Kreeg vandaag persoonlijk nog een afspraakbevestiging per post. Why ?

Veilige communicatie is sneller en kan een efficiency slag teweeg brengen. De vraag is uiteraard wel in hoeverre zorgorganisaties de eigen processen daar ook op inrichten.

Frogmen schreef op donderdag 31 januari 2019 @ 09:00:
Dan rijst bij mij vooral de vraag hoeveel incidenten met mail zijn er geweest die deze beveiliging noodzakelijk maken? (ik heb het niet over oeps verkeerd emailadres, want daar helpt deze beveiliging ook niet tegen).

Grootste gedeelte van de datalekken (63%) is inderdaad door mailen naar de verkeerde persoon. Onderscheidend punt van ZIVVER is overigens juist dat ze daar wel bij helpen. Dit doen ze door suggesties en waarschuwingen aan gebruikers (vooraf) en mogelijkheid tot terugtrekken bericht en inzage in hoeverre het bericht al is geopend (achteraf).

[Frogmen]

@Bonazzo Ik spreek over Normen in het algemeen en de ontwikkelingen en belangen binnen norm commissies die ik niet altijd in lijn met elkaar vindt.
Veilige communicatie is sneller en efficiënter, sorry maar wat is er mis met gewone mail? Voor mij als client in ieder geval veel efficienter.
Om mail naar de juiste persoon te sturen is een check op een juist ingevoerd adres toch voldoende, daar is verder toch geen systeem met portals voor nodig.

Ik snap dat je voor het systeem van je broodheer bent, maar verder is het doorgeslagen.

[Bonazzo]

Frogmen schreef op donderdag 31 januari 2019 @ 14:23:
@Bonazzo Ik spreek over Normen in het algemeen en de ontwikkelingen en belangen binnen norm commissies die ik niet altijd in lijn met elkaar vindt.
Veilige communicatie is sneller en efficiënter, sorry maar wat is er mis met gewone mail? Voor mij als client in ieder geval veel efficienter.
Om mail naar de juiste persoon te sturen is een check op een juist ingevoerd adres toch voldoende, daar is verder toch geen systeem met portals voor nodig.

Ik snap dat je voor het systeem van je broodheer bent, maar verder is het doorgeslagen.

Los van mijn 'broodheer':
Bij gewone post zijn we, ondanks de lange historie van postbezorging, al niet in staat om de 'menselijke fout' (persoon die iets per abuis naar de verkeerde persoon adresseert) te voorkomen.

Mail naar de juiste persoon met 'check' is idd theoretisch afdoende. Als het allemaal zo tiptop in orde zou zijn zou ik het ook liever per gewone mail doen. Vraag me sterk af of het daar echter ooit van gaat komen. 63% van de datalekken ontstaat namelijk 'gewoon' door het mailen naar de verkeerde persoon, de 'check' waar fouten doorheen glippen. Blijkbaar is het dus iets minder 'makkelijk' om altijd het juiste te doen, als je nu doet voorkomen. Vind met dat soort cijfers het persoonlijk echt niet oké als al mijn vertrouwelijke, privacy gevoelige info per 'gewone mail' gaat. Daar kunnen we voorlopig wat mij betreft niet ver genoeg in gaan.

Kunst is dus veilige communicatie zo te maken dat die fouten worden vermeden en ontvangers zoals je zelf gewoon gebruik kunnen maken van deze veilige communicatie (kortom: gebruiksvriendelijk genoeg/gebruiksgemak moet hoog zijn).

[F_J_K]

Bonazzo schreef op donderdag 31 januari 2019 @ 14:13:
Kan me voorstellen dat er input uit de markt (zorg, leveranciers, andere belanghebbenden) wordt gevraagd en de commissie uiteindelijk zijn eigen norm definieert. Zou wat zijn anders.

offtopic:
De commissie zelf bestaat veelal -logischerwijze- voor een heel significant deel uit leveranciers. Met belangen. En mensen van instellingen (soms gedetacheerd vanuit zo'n partij met belangen, soms met eigen belang). Ook al zit iedereen er naar eer en geweten in te werken. Een NEN norm zegt niet alles. Al kan het vaak een goed handvat zijn.

En 'verplichte' NEN normen waar je voor moet betalen zijn belachelijk, maar dat terzijde.

[Mikanzana]

F_J_K schreef op donderdag 31 januari 2019 @ 17:44:
[...]
En 'verplichte' NEN normen waar je voor moet betalen zijn belachelijk, maar dat terzijde.

Huh, welke bedoel je dan? Verplichte normen zijn toch gratis? Ik heb ze niet allemaal gecontroleerd, maar ik weet dat de NEN 7510 in ieder geval gratis is.

[F_J_K]

Mikanzana schreef op vrijdag 1 februari 2019 @ 08:47:
Huh, welke bedoel je dan? Verplichte normen zijn toch gratis? Ik heb ze niet allemaal gecontroleerd, maar ik weet dat de NEN 7510 in ieder geval gratis is.

offtopic:
Het gratis zijn van 751* is eerder de uitzondering dan de regel. 2575 bijvoorbeeld (ontruiming), 2700* (infobeveiliging), 8009 (veiligheid), allemaal betaald. Geen schokkende bedragen, maar niet gratis. Er is ook discussie mogelijk van de mate van verplichtheid (en ik vind normen vaak zeker nuttig en nodig, wilde alleen wijzen op de belangen die er kunnen spelen bij bepalen van de norm), maar we dwalen al te ver af van het onderwerp dus laten we dit maar rusten of voortzetten in een eigen topic

@tspawn de voorkeur voor all-in-one kan ik heel goed begrijpen. Maar je bent nog even voorbij gegaan aan de voorliggende vraag: wat is de concrete use case, wat wil je er mee laten doen? Het hoe volgt daarna pas.

[P_de_B]

Wij (ook zorginstelling) hebben voor deze keuze gestaan en uiteindelijk gekozen voor Zivver. Belangrijkste overwegingen waren voor ons (niet in volgorde van belangrijkheid)

1. Prijs. Al onze medewerkers in het veld hebben een O365 licentie, maar daarin zit geen Information Protection. Dat los aanschaffen was duur.
2. Werking out-of-the-box. Zivver levert een uitgebreide regelset mee voor Zorginstellingen. Dit kan binnen O365 ook, maar dan moet je zelf veel doen.
3. DLP functionaliteit. Veel van onze medewerkers werken mobiel. Ook al sturen ze via de Outlook mobiele app of webmail, dan nog wordt op serverniveau gecontroleerd of een e-mail niet beveiligd verstuurd had moeten worden krijgen medewerkers de kans het alsnog te doen.
4. Ervaring voor de ontvangers. Zivver heeft een goede gebruikerservaring, juist ook voor de ontvangende partij.
5. De ontvangende partij hoeft niet aangesloten te zijn bij hetzelfde netwerk/dezelfde partij (zie bijvoorbeeld Zorgmail)
6. Gebruikersvriendelijkheid

overigens biedt Zivver, net als dacht ik O365, ook een oplossing voor verkeerde e-mailadres. De toegangscode wordt via een ander kanaal verspreid.

P_de_B wijzigde deze reactie 01-02-2019 09:13 (6%)