1. Certificering en toezicht

• NEN 7510-gecertificeerd. Beter Verwijs is NEN 7510-gecertificeerd (DNV, certificaat C719325). Het certificaat geldt voor ons managementsysteem voor informatiebeveiliging.

• Jaarlijkse audits. DNV toetst ons managementsysteem elk jaar. Daarnaast voert een extern bureau jaarlijks een interne audit uit.

• Onafhankelijke pentest. Een extern testbureau test het platform elk jaar op kwetsbaarheden. Klanten krijgen op verzoek een samenvatting van de resultaten.

2. Organisatie

• Screening. Nieuwe medewerkers doorlopen vóór hun start een identiteitscontrole en een referentiecheck.

• Geheimhouding. Iedere medewerker heeft een geheimhoudingsplicht in de arbeidsovereenkomst.

• Bewustwording. Nieuwe medewerkers nemen bij hun start kennis van het beveiligingsbeleid. Het hele team volgt jaarlijks een sessie over informatiebeveiliging en privacy.

• Wachtwoordmanager. Medewerkers gebruiken een verplichte zakelijke wachtwoordmanager.

• Clean desk en clear screen. Medewerkers laten geen documenten op hun bureau liggen en vergrendelen hun scherm als ze weglopen.

3. Techniek

• Hosting in de EU. Alle data staat bij Amazon Web Services in Frankfurt (eu-central-1). We delen gegevens nooit buiten het platform en verwerken ze alleen voor het doel waarvoor u ze aan ons geeft.

• Versleuteling. Al het verkeer is versleuteld met TLS 1.3, met HSTS. De database, back-ups en opgeslagen bestanden zijn versleuteld met AES-256. De inhoud van een verwijzing, zoals notities en antwoorden op vragenlijsten, versleutelen we daarnaast per record met een eigen sleutel uit AWS KMS.

• Gescheiden omgevingen. Productie, test en de auditlog staan in aparte AWS-accounts. Testomgevingen bevatten geen echte patiëntgegevens.

• Inloggen. Medewerkers van ziekenhuizen loggen in via hun eigen organisatie (Microsoft Entra ID, Zorgplatform of Epic). Medewerkers van zorgaanbieders gebruiken tweestapsverificatie, tenzij ze via de single sign-on van hun eigen organisatie inloggen.

• Afgeschermd netwerk. Database en servers staan in afgeschermde netwerkdelen zonder directe internettoegang. Een webapplicatie-firewall met rate limiting beschermt het platform. Beheer gaat alleen via VPN.

• Rollen en rechten. Iedere gebruiker ziet alleen wat zijn rol binnen zijn eigen organisatie toestaat.

• Auditlog. Wie welke cliëntgegevens inziet of wijzigt, en elke inlogpoging, leggen we vast in een aparte AWS-omgeving waar het platform niet bij kan. We bewaren die log tien jaar.

• Infrastructuur als code. Onze infrastructuur staat volledig in code en wordt vóór elke uitrol automatisch gecontroleerd op onveilige instellingen. Elke codewijziging beoordeelt een tweede ontwikkelaar voordat hij wordt samengevoegd. Bij elke wijziging controleren we de gebruikte bibliotheken op bekende kwetsbaarheden, en elke container-image wordt gescand.

4. Continuïteit en incidenten

• Back-ups en beschikbaarheid. De database draait in meerdere availability zones, zodat uitval van één datacenter het platform niet stillegt. Elke dag maken we een versleutelde back-up, plus een doorlopend herstelpunt. Het herstel uit back-up oefenen we jaarlijks.

• Incidenten. Raakt een beveiligingsincident uw gegevens, dan informeren wij u zonder onredelijke vertraging, volgens de afspraken in uw overeenkomst.

• Kwetsbaarheid gevonden? Meld het via security@beterverwijs.nl. Binnen twee werkdagen krijgt u een bevestiging.

5. Privacy

• Verwerker. Voor zorgorganisaties zijn wij verwerker in de zin van de AVG. We leggen de afspraken vast in een verwerkersovereenkomst.

• Subverwerkers. We werken met een beperkt aantal subverwerkers, elk met een verwerkersovereenkomst.

• Privacyverklaring. Hoe wij met persoonsgegevens omgaan, staat in onze privacyverklaring.