Trust Centre

1. Certificeringen

Ecare heeft de volgende certificaten:

• ISO 27001:2022: Sinds 2017 is Ecare gecertificeerd volgens de ISO 27001 Norm.

  • ISO 27001:2022 Certificaat

• NEN 7510:2017: Sinds 2017 is Ecare gecertificeerd volgens de NEN7510 Norm.

  • NEN7510 2017 Certificaat
    

Voor beide certificaten geldt het toepassingsgebied: “Informatiebeveiliging gerelateerd aan ontwikkelen, leveren en onderhouden van software en het leveren en onderhouden van hardware en administratieve diensten voor zelfsturende teams in de zorg”. Dit toepassingsgebied omvat Ecare software (PUUR.), CloudIT en Shared services center.

• ISAE 3402: het type II rapport is beschikbaar en kan op aanvraag worden ingezien.

2. Privacy

Ecare hanteert verschillende maatregelen om de privacy van uw data te waarborgen en uw persoonsgegevens te beschermen.

Onze verwerking van persoonsgegevens voldoet aan de Nederlandse en Europese privacywetgeving en -richtlijnen. De Algemene Verordening Gegevensbescherming (AVG) is de basis voor ons informatiebeveiligingsbeleid.

Ecare verwerkt uw gegevens om afgesproken diensten te kunnen leveren. We gebruiken uw gegevens niet voor andere doeleinden, tenzij u daar expliciet toestemming voor geeft en dit binnen de kaders van wet- en regelgeving toegestaan is.

De AVG duidt Ecare aan als ‘verwerker’, omdat onze dienstverlening erop gericht is om persoons en daaraan gerelateerde gegevens te verwerken voor opdrachtgevers, de verwerkingsverantwoordelijken. De AVG stelt eisen aan de vorm en inhoud van afspraken met opdrachtgevers en leveranciers. Daarnaast stelt deze wet ook een aantal zelfstandige verplichtingen en beperkingen aan Ecare als verwerker. Op basis van de AVG zorgen wij ervoor dat:

• het verwerken van persoonsgegevens alleen plaatsvindt op basis van schriftelijke instructies van haar opdrachtgevers (zoals uitgewerkt in de dienstverleningsovereenkomst) of de wet.

• de gegevensverstrekking aan derden voortvloeit uit de wet of het doel van de verwerking en geschiedt met specifieke toestemming van de opdrachtgever.

• er voldoende waarborgen zijn met betrekking tot technische en organisatorische beveiliging.

• er een functionaris gegevensbescherming is aangesteld als interne toezichthouder en adviseur.

• gegevens die aan ons zijn toevertrouwd geheim worden gehouden.

• u als verwerking verantwoordelijke kan voldoen aan de meldplicht datalekken.

• bij het ontwikkelen van software het ‘privacy by design’ en ‘privacy by default’ principe wordt gehanteerd.

• er bindende verwerkers afspraken gemaakt worden met verwerking verantwoordelijken en subverwerkers.

Bovengenoemde aspecten maken deel uit van ons normenkader en informatiebeveiligingsbeleid, zodat wij dit kunnen laten toetsen op basis van ISO 27001/NEN 7510 standaarden.

De verwerking van persoonsgegevens wordt geregeld d.m.v. een verwerkersovereenkomst tussen de Verwerker (Ecare) en U (Verwerking Verantwoordelijke). Ecare maakt hiervoor gebruik van de BoZ modelverwerkersovereenkomst (zie: https://www.brancheorganisatieszorg.nl/).

2.1 Meldplicht datalekken
De meldplicht datalekken in de AVG eist dat eventuele datalekken gemeld worden aan de toezichthouder. De “Beleidsregels meldplicht datalekken” van de Nederlandse Autoriteit Persoonsgegevens geven hierover nadere informatie. Wij zullen u als verwerking verantwoordelijke tijdig, juist en volledig informeren over relevante incidenten, zodat u aan de wettelijke vereisten kunt voldoen.

Ecare registreert alle security incidenten. De registratie en afhandeling van security incidenten wordt getoetst met een audit in het kader van de ISO 27001 certificering.

2.2 Leveranciers
Een overzicht van onze subverwerkers vindt u hieronder. Als er zich een wijziging voordoet in de lijst zal dit bovenaan deze pagina worden vermeld.

• Privacy By Design: Voor alle leveranciers geldt dat wij voldoen aan het privacy by design principe. Ofwel wordt er alleen informatie naar de leverancier gestuurd die nodig is voor de beschreven verwerking. Elk jaar wordt er een DPIA uitgevoerd voor alle leveranciers met als doel het analyseren van mogelijke risico's en het minimaliseren daarvan.

3. Veilige informatie opslag

3.1 Hosting / Locatie
Ecare maakt gebruik van Microsoft Azure voor het “hosten” van PUUR. Het datacenter dat gebruikt wordt staat in Middenmeer Noord Holland met een mogelijke uitwijk naar Dublin Ierland voor het geval er regionale gebeurtenissen zijn die het datacenter in Noord Holland onbereikbaar maken.

Een overzicht van de privacy en beveiligingsmaatregelen en de compliance van Azure kunt u hier vinden:

• Compliance offerings for Microsoft 365, Azure, and other Microsoft services.

• General Data Protection Regulation - Microsoft GDPR

Ecare controleert jaarlijks of Azure nog aan onze eisen voldoet.

3.2 Monitoren van de beveiliging
De veiligheid van uw informatie wordt 24 uur per dag, 7 dagen per week, actief gemonitord. Om ook achteraf te kunnen vaststellen wat er met uw informatie is gebeurd, zorgen wij ervoor dat:

• toegang tot systemen, systeemgebruik en systeemfouten worden vastgelegd. Voor alle gebeurtenissen leggen wij altijd datum, tijdstip en de gebeurtenis vast.

• de logging 90 dagen wordt bewaard.
  

3.3 Toegang tot informatie
Ecare eist de aanwezigheid en werking van een multifactor authenticatieprocedure op alle gebruikte authenticatieprocedures. Uitzonderingen zijn alleen tijdelijk toegestaan als de levering van de zorg in gevaar komt t.g.v. een niet werkend multifactor authenticatie.

Enkel een select groep van software ingenieurs, trainers, adviseurs en supportmedewerkers heeft toegang tot productiedata. Deze toegang is nodig om de beschikbaarheid van PUUR. te kunnen garanderen.

Ecare maakt hierbij gebruik van het Just In Time (JIT) principe waarbij een ingenieur tijdelijk toegang tot productie informatie kan aanvragen. Voordeel hiervan is dat een gehackte computer of account niet meteen tot een datalek leidt en dat toegang tot productiedata door ingenieurs beter gecontroleerd kan worden.

3.4 Informatie Continuïteit
De gegevens opgeslagen in Azure worden altijd gerepliceerd om duurzaamheid en hoge beschikbaarheid te garanderen. Azure kopieert de gegevens om deze te beschermen tegen tijdelijke hardware storingen, netwerk- of stroomstoringen en zelfs enorme natuurrampen. Gegevens in Azure worden altijd drie keer gerepliceerd in de primaire regio.

Meer informatie over data redundancy in Azure:
Data redundancy - Azure Storage

SQL Database backup maakt gebruik van SQL Server-technologie om elke week volledige back-up te maken, differentiële back-ups elke 12 uur en transactielogboekback-ups elke 5-10 minuten. De back-ups worden opgeslagen in RA-GRS-opslagblobs die worden gerepliceerd naar een gekoppeld datacenter ter bescherming tegen uitval van het datacenter. De backups van de databases worden maximaal 35 dagen bewaard. Azure backups worden volledig door Azure beheerst, onze eigen ingenieurs hebben geen invloed op dit proces, dit is gedaan om de kans op een randsomeware attack te minimaliseren.

Meer informatie over database backups in Azure:
Understanding Backups for Azure SQL Database

3.5 Informatie versleuteling
We gebruiken cryptografische maatregelen (encryptie of versleuteling) om de vertrouwelijkheid van gevoelige en geheime informatie te beschermen en om de authenticiteit van gebruikers te kunnen vaststellen.

Voor het elektronisch transport maakt Ecare altijd gebruik van encryptie op basis van SSL. Informatie wordt daarnaast ook versleuteld bij opslag op externe media (offsite back-up).

3.6 Informatie bewaarbeleid
Ecare bewaart persoonsgegevens niet langer dan nodig voor het doel waarvoor de gegevens waren verzameld.

Om technische redenen is het niet mogelijk om de data van reeds opgeslagen back-ups te verwijderen.

4. Veilige software

PUUR. is beschikbaar als Software as a Service (SaaS) en draait volledig in de public cloud (Microsoft Azure). Hierbij wordt gebruikgemaakt van breed ondersteunde technologieën, open en/of industriestandaarden. De architectuur is dusdanig opgezet dat deze goed schaalbaar is en een hoge beschikbaarheid en performance kan garanderen.

Indien mogelijk maken we gebruik van Open (of industrie) standaarden zoals:

• OpenID-Connect en OAuth2 voor respectievelijk authenticatie en autorisatie;

• REST/JSON API’s;

• ZIB, HL7v3/FHIR, MED9, iWLZ, NUTS etcetera.

Voor de eindgebruikers is een stabiele internetverbinding met voldoende bandbreedte een vereiste, waarbij de toegang tot de PUUR. niet wordt beperkt in bijvoorbeeld een firewall. Een andere belangrijke vereiste is een recente versie van een moderne webbrowser. I.v.m. de veiligheid ondersteunen wij alleen de laatste versies van de browsers.

Bij het ontwikkeling van onze code houden we ons aan de volgende principes:

• Security by design;

• Privacy by design;

• Privacy by Default;

• Principle of least privilege.

4.1 Visma Application Security Program

Ecare is sinds 2021 onderdeel van Visma. Visma legt de lat m.b.t. Informatiebeveiliging hoog, gelukkig leveren ze ook de middelen nodig om deze ambitie te halen. Een onderdeel van deze informatiebeveiliging is het Visma Application Security Program (VASP).

De onderstaande programma onderdelen zijn vereist:

• Zelf beoordeling: Jaarlijks wordt elke product / team a.d.h.v. interne audit uitgevraagd over de huidige status van de beveiliging in zowel het technisch als het compliance domein. Deze audits dienen tevens als een middel om het bewustzijn t.a.v. beveiliging op een hoog niveau te houden.

• Cyber Threat Intelligence: Deze service, aangeboden door Visma, controleert dagelijks of de producten van Ecare onderdeel zijn geweest van een datalek of dat de producten worden genoemd als mogelijk doelwit. Verder wordt continu gekeken naar eventuele 0-day exploits die betrekking hebben op de producten van Ecare.

• Static Application Security Testing: M.b.v. Polaris wordt continu getest op eventuele zwakheden in de code, dit gebeurt minimaal voor elke release. De gebruikte pentesten baseren zich hierbij o.a. op de zwakheden vermeld in de OWASP en in de CWE

• Software Composition Analysis Service: M.b.v. Snyke controleren we continu op eventuele zwakheden bij geïmporteerde software onderdelen. Gevonden zwakheden worden altijd meteen opgelost door het onderdeel te upgraden of te vervangen.

• Trainingsprogramma: Onze software ingenieurs volgen een verplicht trainingsprogramma m.b.t. het schrijven van veilige code.

• Bug Bounty: Een bug bounty is een continue doorlopen pentest programma waarbij er een bedrag (bounty) wordt betaald per gevonden zwakheid (bug) in het product.

• Beveiligingsindex: Bovenstaande programmaonderdelen worden continu gemonitord op implementatie en het tijdig oplossen van kritische issues. Dit gaat d.m.v. een index score.
  

4.2 Testen en ontwikkelen

Voor het testen van informatiesystemen met persoonsgegevens gebruiken we uitsluitend fictieve persoonsgegevens. Productie data mag niet worden gebruikt buiten de beschermde omgeving en dus ook niet op een laptop terechtkomen.

Uitzonderingen hierop zijn mogelijk, zoals het inrichten van een acceptatie omgeving met productiedata. Dit is echter alleen mogelijk met een expliciete en schriftelijke toestemming van de eigenaar van de informatie. Ecare ontraad deze constructie.

Bij Ecare maken we gebruik van mobile device management (MDM) om onze werkstations continu te monitoren op dreigingen, virussen etc.

5. Visma

Ecare is sinds 2021 onderdeel van Visma wat een enorm voordeel biedt op het gebied van beveiliging en privacy.

Voor meer informatie over Visma zie: https://www.visma.com/trust-centre

6. Klokkenluidersregeling

Ecare tolereert geen enkele vorm van wangedrag of kritieke omstandigheden, zoals schendingen van wettelijke regels, interne regels, beleid of ethische normen, zoals pesten, intimidatie, discriminatie, corruptie, witwassen van geld of andere financiële fraude, en zal zich inspannen om zorgen voor een veilige, gezonde en legale omgeving in al onze bedrijfsactiviteiten en juridische eenheden.

Ecare zal alle toepasselijke wet- en regelgeving naleven en ethisch en sociaal verantwoord handelen. Overtredingen van lokale en/of EU/EER-wetgeving kunnen leiden tot disciplinaire maatregelen, waaronder beëindiging/ontslag en rapportage aan de relevante autoriteiten.

Het Visma Whistleblowing Channel is een tool die het mogelijk maakt om een vermoedelijke inbreuk op de lokale en/of EU/EER-wetgeving van zowel binnen als buiten Visma anoniem te melden. Het bevordert vertrouwelijke communicatie tussen melder en zaakbehandelaar.

Visma Whistleblowing voldoet aan de EU Klokkenluidersrichtlijn (Richtlijn (EU) 2019/1937 van het Europees Parlement en de Raad van 23 oktober 2019 betreffende de bescherming van personen die inbreuken op het Unierecht melden) en de regelgeving met betrekking tot klokkenluiders in de WEA (lokale werkomgeving en beschermingswetten).

Wilt u de volledige klokkenluidersprocedure bekijken of een melding doen?

Lees meer op: https://www.visma.com/whistleblowing

7. Responsible disclosure

Ecare vindt het belangrijk dat kwetsbaarheden in onze producten gemeld worden zodat we continu in staat zijn onze producten veiliger te maken. Hiervoor is beleid opgesteld hoe om te gaan met de kwetsbaarheden, op welke wijze u deze kenbaar kunt maken en wat u hierin van Ecare mag verwachten.

Meer informatie is te vinden op: https://www.visma.com/trust-centre/responsible-disclosure