Skip to content

Hoe veilig zijn verzuimsystemen?

Leestijd 5 minuten

Home > Blog > Verzuimsystemen > Hoe veilig zijn verzuimsystemen?

Bent u klaar voor de Verzuimpolitie?

Naar aanleiding van de nieuwste onthullingen in Zembla, heeft VerzuimSystemen.nl de aanbieders van de belangrijkste verzuimregiesystemen gevraagd wat zij zoal aan maatregelen treffen om aantoonbaar veilig en CBP-proof te zijn.

Dit artikel werd eerder gepubliceerd op BG magazine

HR Navigator volgt de markt voor gespecialiseerde verzuimsoftware al jaren op de voet. Meestal gaat dat over wat het systeem allemaal kan, met welke bestaande systemen en partijen gekoppeld kan worden en welke managementinformatie het kan leveren.

Zeker sinds Zembla’s Verzuimpolitie deel I en II is in toenemende mate aandacht voor veiligheid en privacy. Dat vinden wij een positieve ontwikkeling, want er wil tegenwoordig nog wel eens wat data op straat belanden of in verkeerde handen komen.

Verzuimsysteem

Keuzestress? Vergelijk gratis de beste verzuimsystemen

Jij vertelt wat je zoekt, wij regelen de rest

De beste aanbieders al voor je geselecteerd

Enige onafhankelijke vergelijkingssite

Persoonlijk advies van dé experts

Meer dan 11.000 klanten

Snel 3 offertes van de beste aanbieders

Vergelijk gratis de beste verzuimsystemen

Maatregelen

Het is overduidelijk niet de bedoeling dat de werkgever op de stoel van de bedrijfsarts gaat zitten en dat de verzekeraar zich niet netjes houdt aan de privacyregels. Zeker als het gaat om persoonlijke, gevoelige gegevens rond ziekte en arbeidsongeschiktheid zijn dat onacceptabele zaken.

In deze directe reactie op de nieuwste onthullingen in Zembla, hebben wij de aanbieders van de belangrijkste verzuimpakketten gevraagd wat zij zoal aan maatregelen treffen om aantoonbaar veilig en CBP-proof te zijn.

Uit de antwoorden op de twee kernvragen in dit snelle onderzoek blijkt dat zij gelukkig niet stilzitten. Kosten noch moeite worden bespaard om excessen – zoals vorig jaar aangetoond in Zembla – te voorkomen.

Vraag 1: welke maatregelen heeft u genomen in het kader van bescherming van privacy van de werknemers en beveiliging van medische gegevens?

De aanbieders onderscheiden drie soorten maatregelen:

  • fysiek
  • technisch
  • procedureel

Onder de fysieke maatregelen zien wij dat alle aanbieders gebruik maken van zeer professionele hostingproviders, die op hun beurt alle benodigde veiligheidscertificaten hebben. Sommige aanbieders bieden fysieke toegangstokens aan voor de inlog in hun systeem.

Technische maatregelen:

  1. Dubbele opslag van gegevens op verschillende locaties.
  2. Intrusion detection en prevention systemen, die zowel binnen de systemen als op hostingniveau worden toegepast.
  3. Middels autorisatiebeheer voor verschillende rollen toegang geven tot medische gegevens is voorzien van dubbele controles, waardoor het ‘per ongeluk’ toegang geven tot het medisch dossier vrijwel onmogelijk wordt gemaakt.
  4. (Medische) gegevens die in de database worden opgeslagen, worden encrypted, waardoor – bij een eventueel falen van andere beveiligingsmaatregelen – misbruik van de data ook erg lastig tot onmogelijk wordt gemaakt.
  5. Jaarlijkse penetratietesten op bekende hackmanieren (zoals o.a. beschreven in de OWASP top 10).

Marcel Kok van Dotweb: “Er is al onnoemelijk veel onderzoek verricht naar alle aspecten van informatiebeveiliging in de zorg. Veel van deze best practices zijn naadloos toe te passen in de automatisering en bijbehorende beveiliging van verzuimmanagementsystemen, denk hierbij aan beveiligingsaspecten bij informatiesystemen uit de eerstelijnszorg of de ziekenhuizen.

Procedurele maatregelen:

  1. Een aantal aanbieders is inmiddels ISO 27001 gecertificeerd.
  2. Bij het uitbrengen van een nieuwe release worden zowel op functioneel niveau als op beveiligingsniveau uitgebreid getest.
  3. In toenemende mate is een BIG registratie check onderdeel van de procedure om een bedrijfsarts te autoriseren.

Deze maatregelen duiden op professionele systemen die privacy en veiligheid hoog in het vaandel dragen.

Diederik Benders over de werkwijze bij Empirion: “Het grootste risico voor informatiebeveili¬ging is namelijk niet dat bij het inrichten de beveiliging niet goed is opgezet, maar dat deze niet meegaat met de stand van de techniek.

Vraag 2 – Hoe begeleiden de aanbieders van verzuimsystemen hun klanten om ook in de praktijk daadwerkelijk CBP-proof te werken?

Al is het systeem, de hosting en toegang tot het systeem nog zo goed geregeld, de gebruiker zelf blijft de zwakke schakel in het geheel. Probleemanalyses worden geregeld door de bedrijfsarts via de mail verstuurd en leidinggevenden registreren soms informatie buiten het systeem om.

Wij hebben over deze dubieuze rol van de gebruiker eerder geschreven in het artikel “Veiligheid en privacy een illusie. Omdat we denken dat de aanbieders ook een rol en verantwoordelijkheid hebben in het bewust maken en houden van hun klanten, hebben wij hen gevraagd hoe zij dat in de praktijk brengen.

  • Bij de inrichting van de software worden de richtlijnen van het CBP gehanteerd. Enkele voorbeelden daarvan zijn: instelbare beveiligingsopties met betrekking tot het wachtwoordbeleid, toegang middels een instelbare IP-ranges, additionele tokens voor toegang tot medische gegevens en contractuele borging op de rol van de aanbieder als (sub)bewerker van de data.
  • Zowel de adviseurs als servicedesks wijzen gebruikers actief op de aandachtspunten. Ook als het vermoeden bestaat dat men niet conform CBP-regels werkt, geven aanbieders hier proactief signalen op af.
  • Aanbieders werken nauw samen met de information security officers (of soortgelijke functionarissen) bij klanten om ze van de juiste informatie te voorzien voor hun interne risico-analyses en beoordelingen.

Ook hier blijken de aanbieders hun rol serieus te nemen. In het systeem wordt de gebruiker geregeld gewezen op privacygevoelige activiteiten. Sander te Wierik van I-signaal verwijst naar hun “prescan op medische termen” Deze module signaleert dat een gebruiker een medische term in een tekstveld invoert, terwijl dat veld hiervoor niet is bedoeld. De tekst kan dan niet worden opgeslagen. De gebruiker moet de medische term(en) dan eerst verwijderen.

Aanbieders van verzuimsystemen bieden workshops aan met als onderwerp “Bewustwording van veiligheid en privacy”. Jammer genoeg nemen klanten dit soort workshops nog maar mondjesmaat af. Wellicht dat de vraag om dit soort informatie na de laatste uitzending van Zembla wel toeneemt.

Keurmerk Veilig HR-Systeem

HR Navigator heeft samen met Lloyd’s Register en ICT-auditor Kualitatem een nieuw keurmerk ontwikkeld voor veiligheid en privacy van HR systemen. Daarmee is een meetlat gelegd waar verzuimsystemen zich aan kunnen meten.

Het unieke van dit keurmerk “Veilig HR-Systeem” is dat het naast de procedurele en beleidsmatige zaken, ook de veiligheid van het softwaresysteem via de meest uitgebreide ICT-audits toetst. Voor meer informatie omtrent dit keurmerk gaat u naar www.hrnavigator.nl

Zembla heeft veel losgemaakt. Sinds de verschillende uitzendingen van de Verzuimpolitie is er gelukkig veel gebeurd bij de aanbieders van verzuimmanagementsystemen. Er is erg veel tijd, energie en geld gestoken in het professionaliseren van de systemen. Nu is het aan de gebruikers om ook in de dagelijkse praktijk professioneel om te gaan met deze tools.

Nog ergens hulp bij nodig?

DirectContactKlein
Marco, Bob, Mirco en Merve

Direct advies: 085 - 049 1540

 ma - vrij: 9.00 tot 17.00 uur

Klantbeoordelingen

Elke week gratis de beste HR-Tips

Ontvang gratis de beste HR-tips waarmee je je werk 2 x sneller en 5 x slimmer kunt doen.

  • Dit veld is bedoeld voor validatiedoeleinden en moet niet worden gewijzigd.

Elke week de gratis beste HR-tips?

Elke dag 11.000 HR professionals blij maken. Dat is waar HR Navigator voor staat. We willen jou inspireren en helpen om je werk als HR professional  slimmer en beter te doen.

Elke week gratis de beste HR-tips?

Elke dag 11.000 HR professionals blij maken. Dat is waar HR Navigator voor staat. We willen jou inspireren en helpen om je werk als HR professional  slimmer en beter te doen.

✓ Handige tips waarmee je je werk 5 x sneller kunt doen
✓ Best practises van de afgelopen 10 jaar
✓ Handige video's over alles wat met personeel te maken heeft
✓ Onmisbare informatie en actuele ontwikkelingen op het gebied van HR
✓ Als eerste toegang tot onze workshops. Gratis of met forse korting.

Meld je aan voor onze wekelijkse tip en ontvang:

HRM-tertainment

Voor een beetje

in je HR

HRM-tertainment
HRM-tertainment
HRM-tertainment
HRM-tertainment

60 powertips die elke HR-professional moet kennen

Meld je aan voor de dagelijkse powertip

Powertips

Alles wat je moet weten over het selecteren van een arbodienst

Ontvang de gratis inkoopgids arbodienstverlening

arbodienst inkoopgids