Ziekenhuizen hebben logs nodig die een toezichthouder daadwerkelijk kan vertrouwen
Een ziekenhuis kan meestal een toegang log verstrekken wanneer daarom wordt gevraagd. Veel minder ziekenhuizen kunnen een moeilijkere vraag beantwoorden: had iemand met beheerdersrechten stilletjes dat log kunnen bewerken voordat het werd verstrekt? Als het antwoord ja is, zelfs in theorie, is het log geen bewijs. Het is een document dat iemand met de juiste inloggegevens had kunnen schrijven om alles te zeggen wat ze wilden over wie een patiëntendossier heeft geraadpleegd.
Dit artikel onderzoekt wat een audittrail daadwerkelijk betrouwbaar maakt als bewijs voor een ziekenhuis, en waar de logging van de meeste zorgsystemen stilletjes niet aan die eis voldoet.
Samenvatting voor het management
Het nut van een audittrail voor een toezichthouder of interne onderzoeker hangt volledig af van het vertrouwen in de integriteit ervan, en dat vertrouwen kan niet alleen op beleid gebaseerd zijn. Als beheerders technisch gezien toegang hebben tot de onderliggende logopslag en deze kunnen bewerken, is het feit dat beleid dit verbiedt niet hetzelfde als dat het onmogelijk is. Voor compliance-leiders is de praktische norm architectonisch: kan een individu, inclusief een systeembeheerder, daadwerkelijk het logbestand aanpassen.
Belangrijkste punten
- Een log dat een beheerder kan bewerken of verwijderen is geen bewijs, ongeacht hoe gedetailleerd het is.
- Toegang tot de onderliggende logopslag moet architectonisch beperkt zijn, niet alleen door beleid.
- Scheiding van taken is net zo belangrijk als toegangsbeperking. Degene die een patiëntendossier raadpleegt en degene die het log van die toegang bekijkt, mogen niet dezelfde rol zijn.
- Volledigheid en directheid maken deel uit van betrouwbaarheid, niet iets losstaands.
- Toezichthouders vragen steeds vaker hoe een log wordt beschermd, niet alleen wat erin staat.
Waarom “We hebben gedetailleerde logs” het verkeerde uitgangspunt is voor ziekenhuizen
De meeste gesprekken over auditlogging gaan over dekking. Dekking is belangrijk, maar beantwoordt niet de juiste eerste vraag.
Detail zonder integriteit is slechts een goed geschreven verhaal
Een log met veel details over wie een patiëntendossier heeft geraadpleegd, is alleen zo betrouwbaar als de garantie dat niemand het achteraf heeft aangepast.
De vraag die echt telt: wie had dit kunnen wijzigen
De juiste eerste vraag is niet wat een log registreert, maar wie technisch in staat is het te wijzigen nadat het is geschreven.
Wat logintegriteit architectonisch maakt in plaats van procedureel
Een beleid dat stelt dat beheerders geen logs mogen bewerken, vertrouwt erop dat beheerders zich eraan houden. Een architectonische maatregel neemt de technische mogelijkheid om anders te handelen weg.
Geen blijvende toegang tot de onderliggende logopslag
De sterkste vorm van deze maatregel is dat noch de IT-beheerders van het ziekenhuis, noch de platformleverancier normale toegang hebben tot het besturingssysteem of de database waarin logs worden opgeslagen.
Uitzonderingen moeten echt uitzondering zijn, geen achterdeur
Wat een verdedigbare uitzondering onderscheidt van een achterdeur is of die toegang tijdelijk is, dubbele autorisatie vereist en ook volledig wordt gelogd.
Scheiding van taken als tweede, onafhankelijke waarborg
Als dezelfde rol die een patiëntendossier kan raadplegen ook de rol is die het log van die toegang kan beoordelen, is er sprake van een inherent belangenconflict.
Degene die handelt, mag niet degene zijn die controleert
Echte scheiding van taken betekent dat compliance-, audit- en beleidsfuncties aan andere rollen worden toegewezen dan operationeel beheer.
De norm bouwen voordat een toezichthouder erom vraagt
De praktische test is om eerlijk te vragen wie technisch het auditlog van het ziekenhuis kan wijzigen, en of de rollen die handelen en de rollen die controleren daadwerkelijk gescheiden zijn.
Hoe een Data Control Plane bewijsintegriteit in de architectuur verankert
Het Kiteworks Data Control Plane draait op een geharde architectuur waarbij noch Kiteworks, noch de IT-beheerders van het ziekenhuis normale toegang hebben tot het onderliggende besturingssysteem of de database, inclusief de opslag van het auditlog; elke ondersteunende toegang is tijdelijk, vereist dubbele autorisatie en wordt zelf volledig gelogd. Specifieke Compliance- en Auditor-rollen scheiden operationeel beheer van auditfuncties, en elke actie via elk kanaal wordt volledig en direct vastgelegd in een manipulatiebestendig, onbeperkt auditlog dat rechtstreeks in SIEM-tools wordt gevoed.
Ziekenhuizen die willen testen of hun huidige audittrail bestand is tegen de vraag “had een beheerder dit kunnen bewerken”, kunnen een demo op maat aanvragen.
Veelgestelde vragen
Een log dat een beheerder kan bewerken of verwijderen is geen bewijs, ongeacht hoe gedetailleerd het is, omdat iemand met de juiste inloggegevens het had kunnen aanpassen om alles te zeggen wat ze wilden over wie een patiëntendossier heeft geraadpleegd.
Vertrouwen hangt af van architectonische maatregelen die bewerken van logs voorkomen, zoals geen blijvende toegang tot de onderliggende opslag voor IT-beheerders of leveranciers, in plaats van alleen te vertrouwen op beleid.
Scheiding van taken zorgt ervoor dat degene die een patiëntendossier raadpleegt niet dezelfde rol is die het log van die toegang kan beoordelen of aanpassen, waardoor belangenconflicten worden voorkomen.
Volledigheid en directheid maken deel uit van betrouwbaarheid omdat toezichthouders steeds vaker vragen hoe een log wordt beschermd en in realtime wordt vastgelegd, niet alleen wat erin staat, om te bevestigen dat het achteraf niet kan worden gemanipuleerd.