Vandaag interviewen we Daan Brinkhuis, die verantwoordelijk is voor de informatiebeveiliging bij zorggroep ’s Heeren Loo. Hoe werkt ’s Heeren Loo aan informatieveiligheid?

Hoe zorgen jullie ervoor dat iedereen bij ’s Heeren Loo basiskennis heeft over informatiebeveiliging en privacy?
Toen er in 2018 een nieuwe AVG-wetgeving kwam, hebben we alle medewerkers geïnformeerd over privacy en beveiliging. We hebben onder andere de leermiddelen van Digivaardig in de zorg gebruikt, met extra aandacht voor de leermiddelen over privacy. Als je nu bij ons in dienst komt krijg je een korte versie van ons informatiebeveiligingsbeleid aangeboden. Daar staan de basisdingen die iedereen moet weten. Verder krijg je een uitleg over het signaleren en melden van datalekken. Voor managers hebben we extra leermiddelen.

Als organisatie is het onze taak om onze medewerkers goed te informeren. Bij ’s Heeren Loo hebben we per regio 1 of twee digicoaches die digitaal minder vaardige medewerkers kunnen helpen. Wanneer het nodig is delen de digicoaches leermiddelen over privacy, van ons of die van Digivaardig in de zorg. Wij hebben als informatieveiligheidsprofessionals contact met de digicoaches, 1-op-1 of als groep. Zo houden we hen extra op de hoogte en leren we zelf ook wat er op dat moment speelt in de organisatie. Elke week is het DigiTipDonderdag. Dan publiceren we een tip over digitaal werken op ons intranet. Deze tips gaan vaak over informatiebeveiliging.

Gedraagt iedereen die die basiskennis heeft zich dan ook op de juiste manier? Zo niet, waarom niet?
Ik heb gemerkt dat als mensen zich digitaal onveilig gedragen, dat meestal komt omdat ze niet weten wat veilig gedrag is, of omdat het omslachtig is om het veilige gedrag uit te voeren. Daarom is het belangrijk dat we mensen informeren en dat we het gebruikers makkelijker maken. Zo vinden we 2-staps-verificatie belangrijk als je inlogt. Vroeger moesten medewerkers dan naar een apart kastje toe dat je een code gaf om in te loggen. Nu hebben we ingesteld dat mensen dat via hun mobiel kunnen doen. Jammer genoeg zien we nog steeds dat mensen een code van hun mobiel overtypen op de computer. Het is nu ook mogelijk om in te stellen dat je alleen maar op ‘goedkeuren’ hoeft te drukken op je mobiel, het kan dus nog makkelijker. Er blijft altijd werk aan de winkel voor ons.

Wat voor onveilig gedrag zie je het meest?
Wat vooral gebeurt, is dat mensen hun scherm niet vergrendelen, of fouten maken met email of papieren post. Ook wachtwoorden onderling delen kwam veel voor: een praktijkondersteuner kreeg dan bijvoorbeeld de inloggegevens van een collega die meer rechten had in een programma. Dat speelde vooral toen iedereen voor elke applicatie een apart wachtwoord had. Omdat nu het wachtwoord voor je hele account geldt, delen mensen dit gelukkig minder snel.

Komen medewerkers zelf wel eens naar jou of andere informatieveiligheidscollega’s toe?
Jazeker en alle vragen en meldingen zijn welkom. Een datalek melden is niet leuk, maar we bedanken altijd de mensen die iets melden. Als we merken dat een vraag vaker komt, dan delen we die als digitip of geven we die mee aan de servicedesk. We krijgen trouwens vaak vragen van medewerkers die minder digitaal vaardig zijn. Zij vinden dat het bij goede zorg hoort dat je netjes met gegevens over je cliënt omgaat.

Veel mensen vinden informatieveiligheid een taai onderwerp. Hoe probeer je het toch interessant te maken?
Allereerst door praktijkvoorbeelden te geven. Je leest in het nieuws regelmatig over organisaties waar een datalek is ontstaan, bijvoorbeeld toen iemand per ongeluk op de achterkant van een medicatieoverzicht een boodschappenlijstje had gemaakt en dat in een winkelwagentje had laten liggen. We gebruiken deze voorbeelden om te laten zien dat iets overal kan gebeuren, ook bij ons. Daarnaast proberen we een brug te maken naar het privéleven van mensen. Een sterk wachtwoord is bijvoorbeeld niet alleen belangrijk voor je werkaccount, maar ook als je online winkelt. Zo krijgen mensen hopelijk meer affiniteit met het onderwerp. Als laatste is positiviteit heel belangrijk. Als we een phishingoefening doen, dan focus ik me op de mensen die het goed hebben gedaan. We hebben weleens mensen spontaan een taart gestuurd na goede resultaten. Dat is de formule die voor mij werkt om het onderwerp leuker te maken: actualiteit, positiviteit en privé toepasbaar.

Waarom vind je meewerken aan Digivaardig in de zorg belangrijk?
Toen ik bij ’s Heeren Loo kwam werken waren we net begonnen met het platform Digivaardig in de zorg. We wilden kennis delen met andere zorgorganisaties, daar worden we allemaal beter van. Ik heb toen geholpen met het maken van de leermiddelen over beveiliging en privacy. ECP heeft daarna Digivaardig in de zorg verder opgepakt. Nog steeds doe ik een aantal redactietaken. De digitips waar ik het eerder over had delen we met Digivaardig in de zorg. En andersom gebruiken we soms een nieuwsbericht als digitip.

Digivaardigheden zijn nooit klaar. Er komen altijd nieuwe dingen bij: programma’s krijgen updates, innovaties hebben vrijwel altijd een bijbehorende app enzovoorts. Daarom is het belangrijk dat we hieraan blijven werken. Wij binnen ’s Heeren Loo, jullie als lezer en gezamenlijk via Digivaardig in de zorg!