Informatiebeveiliging en privacybescherming UMCG

• Informatiebeveiliging en privacybescherming Informatiebeveiliging ISO 27001:2013: a7, 8, 9, 11, 15, 17, 18 Privacybescherming Wbp art 9, 10, 13, 16, 21, 27, 28 33, 34, 76, 77, 78 EPV art 5, 6, 9, 11, 14, 22, 26, 28, 30, 31, 37, 40, 41, 42, 43, 44, 52, 81, 83 WGBO art 7; Archiefwet art 5, 7; Wet BIG art 88

• Uitgevoerd op

  Date

• Afdeling:

• Auditees:

• Door: Jolanda Huisman, Roelf Kleve

7. Veilig personeel

• A.7.1.1 Staat de screening van nieuwe medewerkers in verhouding tot de gevoeligheid van de te verwerken informatie?

  Yes

  No

  N/A

• A.7.1.2* Staan eisen t.a.v. Informatiebeveiliging in de arbeidsovereenkomst?

  Yes

  No

  N/A

• A.11.2.9* Wordt het clean desk clear screen beleid nageleefd?

  Yes

  No

  N/A

• A.7.3.1 Worden voor vertrek afspraken gemaakt over informatiebeveiligingseisen voor de periode na ontslag?

  Yes

  No

  N/A

• A.8.1.4 Is het geregeld en geborgd, dat medewerkers voor vertrek ziekenhuiseigendommen inleveren?

  Yes

  No

  N/A

• A.9.2.6 Is geborgd dat bij vertrek de toegangsrechten geblokkeerd worden?

  Yes

  No

  N/A

8.0 Overzicht en inzicht middelen

• A.8.1.1 Heeft de afdeling een overzicht van informatiebestanden, info verwerkende apparatuur en faciliteiten met vermelding van de eigenaar?

  Yes

  No

  N/A

• A.8.1.3* Heeft de afdeling regels opgesteld over het gebruik van informatiebestanden, info verwerkende apparatuur en faciliteiten?

  Yes

  No

  N/A

• A.8.3.3* Zijn regels opgesteld over het gebruik van verwijderbare media (bijv. USB sticks, mobiele harde schijven, bijv. I.r.t. Medische apparatuur)?

  Yes

  No

  N/A

Toegang

• A.9.2.1 Heeft de afdeling een registratie en een uitschrijvingsprocedure m.b.t. toegangsrechten?

  Yes

  No

  N/A

• A.9.2.5 Wordt jaarlijks gecontroleerd of de verstrekte bevoegdheden nog nodig zijn?

  Yes

  No

  N/A

• A.11.1.3* Is de toegang tot kantoren, ruimten en faciliteiten beveiligd tegen onbevoegdheden?

  Yes

  No

  N/A

Overeenkomsten met derden

• 15.0 Heeft de afdeling overeenkomsten met derden die informatie voor de afdeling bewerken?

  Yes

  No

  N/A

• A.15.2.2 Worden veranderingen in dienstverlening van leveranciers beoordeeld op hun impact?

  Yes

  No

  N/A

• 15.2.2 Kunt u een voorbeeld laten zien van wat gedaan is naar aanleiding van veranderde dienstverlening?

  Yes

  No

  N/A

• A.15.2.1 Worden leveranciers jaarlijks beoordeeld?

  Yes

  No

  N/A

Continuïteit

• A.17.1.1* Is de continuïteit en de veiligheid van de informatie in geval van een crisis vastgelegd in een noodplan?

  Yes

  No

  N/A

• A.17.1.3* Is het noodplan op het gebied van informatiebeveiliging en continuïteit (Noodprocedures, gebruik nood PC voor Epic) geoefend en geactualiseerd?

  Yes

  No

  N/A

Naleving

• Is/zijn er op de afdeling kwaliteitsrondes gelopen m.b.t. Informatiebeveiliging en privacybescherming of eerdere interne audits uitgevoerd?

  Yes

  No

  N/A

• Wat is er gedaan met de bevindingen van de veiligheidsronde/interne audit?

• 1.0* Zijn alle bewerkingen van persoonsgegevens (verzamelen, bewaren, gebruik, wijziging, etc.) waar de afdeling verantwoordelijk voor is bekend?

  Yes

  No

  N/A

• 1.1* Welke informatiesystemen worden hierbij gebruikt?

  Yes

  No

  N/A

• 1.2* Wat is de risicoklasse van deze bewerkingen? (Laag, midden, hoog)

  Yes

  No

  N/A

• 2.2 Worden gegevens gebruikt voor onderzoek?

  Yes

  No

  N/A

• 2.2.b Is geborgd dat de gegevens alleen gebruikt worden voor het doel waarvoor toestemming is gegeven?

  Yes

  No

  N/A

• 2.3* zijn de bewerkingen echt noodzakelijk voor het bereiken van doelstellingen?

  Yes

  No

  N/A

• 3.0* Is het afgelopen jaar gecontroleerd of de informatie niet langer wordt bewaard dan nodig of in W&R toegestaan?

  Yes

  No

  N/A

• 4.0 Is vastgesteld dat de bewerking gebaseerd is op minimaal één van de rechtsgronden?

  Yes

  No

  N/A

• 4.1* Worden medische gegevens alleen bewerkt door personen met een geheimhoudingsplicht?

  Yes

  No

  N/A

• 4.2 Als toestemming nodig is is die verkregen, vastgelegd en zijn daarvoor procedures ingericht?

  Yes

  No

  N/A

• 5.0* Zijn procedures/maatregelen getroffen om de kwaliteit van de invoer van gegevens te waarborgen?

  Yes

  No

  N/A

• 5.1* worden persoonsgegevens regelmatig gecontroleerd op actualiteit/juistheid en bijgewerkt?

  Yes

  No

  N/A

• 6.0* Worden betrokkenen geïnformeerd over de verwerkingen en hun rechten?

  Yes

  No

  N/A

• 6.1* Zijn procedures ingericht voor betrokkenen om gebruik te maken van hun rechten incl. het verkrijgen of doorsturen van informatie?

  Yes

  No

  N/A

• 8.0 Zijn er contracten gesloten die betrekking hebben op persoonsgegevens?

  Yes

  No

  N/A

• 8.1 Is daarin vastgelegd wat derden met de informatie mogen en moeten doen?

  Yes

  No

  N/A

• 8.2 Zijn deze overeenkomsten actueel?

  Yes

  No

  N/A

• 9.0 Worden gegevens doorgegeven/zijn ze toegankelijk voor bedrijven/instanties buiten de EU?

  Yes

  No

  N/A

• 9.1 Is de bescherming gewaarborgd, passend bij de risicoklasse?

  Yes

  No

  N/A

• 10.0* Wordt het bewust rekening houden met privacy levend gehouden bij de medewerkers?

  Yes

  No

  N/A

• 10.1* Maken privacyaspecten van het werk aantoonbaar deel uit van de introductie en/of inwerktraject?

  Yes

  No

  N/A

• 10.2* Zijn de medewerkers geïnformeerd over wat datalekken zijn en hoe ze die moeten melden?

  Yes

  No

  N/A

• 10.3* Is het privacykader (DocPortal) bekend bij medewerkers?

  Yes

  No

  N/A