Medische Apparatuur Beveiliging

Maatregel Beschrijving

Beveiliging van netwerk-verbonden medische apparatuur (IoMT - Internet of Medical Things) tegen cyberdreigingen, met behoud van de functionele integriteit en beschikbaarheid voor patiëntzorg.

Specifieke Uitdagingen

YipYip B.V. ontwikkelt digitale producten (web- en mobiele applicaties) voor zorginstellingen. Hoewel YipYip geen fysieke medische apparatuur beheert, bouwen wij software die in de zorgketen wordt ingezet en die persoonlijke gezondheidsinformatie verwerkt. De uitdagingen zijn daarom primair software-gericht:

• Patiëntveiligheid moet als projectrisico worden geborgd in elk zorgproject
• Persoonlijke gezondheidsinformatie vereist extra bescherming (NEN 7510 / AVG)
• Certificeringseisen voor software als medisch hulpmiddel (MDR waar van toepassing)
• Complexe integraties met EPD-systemen en andere zorgsystemen
• Hoge beschikbaarheidseisen voor zorgkritische applicaties

Implementatie

YipYip Checklist Development Zorgapplicaties

Onderstaande checklist is verplicht voor alle developers bij YipYip die werken aan projecten met persoonlijke gezondheidsinformatie. De DevOps Lead is verantwoordelijk voor naleving en controle.

#	Onderwerp	Vereiste	Toelichting
1	Patientveiligheid	Borg als projectrisico bij ieder project met persoonlijke gezondheidsinformatie	Patientveiligheid wordt als expliciet risico opgenomen in het projectplan en meegenomen in risk assessments bij kick-off en gedurende het hele project
2	Labelen	Gebruikers wijzen op vertrouwelijkheid van gezondheidsinformatie bij opstarten/inloggen; prints vanuit applicatie gelabeld	De applicatie toont bij het opstarten of inloggen een melding over de vertrouwelijke aard van de gegevens. Alle prints/exports bevatten een classificatielabel
3	Logging	Event logs van gebruikersactiviteiten, uitzonderingen en IB-gebeurtenissen; auditverslagen beveiligd tegen manipulatie	Alle gebruikersacties op gezondheidsinformatie worden gelogd (wie, wat, wanneer). Logs zijn onmuteerbaar opgeslagen en beschermd tegen ongeautoriseerde wijziging. Zie ook NEN7510-Z2
4	Testgegevens	Alleen fake data voor testen	Er worden uitsluitend synthetische of geanonimiseerde testgegevens gebruikt. Echte patientgegevens worden nooit in test-, acceptatie- of ontwikkelomgevingen gebruikt
5	Two Factor Authentication	Iedere applicatie voorzien van 2FA	Alle zorgapplicaties implementeren twee-factor authenticatie voor gebruikers die toegang hebben tot gezondheidsinformatie
6	Encryptie	Alle back-ups geencrypt opgeslagen	Back-ups van gezondheidsinformatie worden versleuteld opgeslagen (AES-256 of vergelijkbaar). Data in transit via TLS 1.2+
7	Registratieproces	Formeel registratieproces met identiteitsvaststelling	Gebruikers worden geregistreerd via een formeel proces waarbij de identiteit wordt vastgesteld voordat toegang tot gezondheidsinformatie wordt verleend
8	Zorgontvangers identificeren	Unieke identificatie client via achternaam, geboortedatum en BSN	Zorgontvangers worden uniek geidentificeerd op basis van minimaal achternaam, geboortedatum en BSN conform NEN 7510
9	Koppelen registraties	Technische mogelijkheid om dubbele registraties samen te voegen	De applicatie biedt functionaliteit om dubbele patientregistraties te detecteren en samen te voegen, met volledige audittrail
10	Validatie output	Persoonsidentificatie-informatie om zorgverleners te helpen bevestigen dat records overeenkomen met client	Output van de applicatie bevat voldoende identificerende gegevens zodat zorgverleners kunnen bevestigen dat de getoonde informatie bij de juiste patient hoort

Toepassing in het Ontwikkelproces

De checklist wordt als volgt geborgd in het YipYip ontwikkelproces:

1. Project kick-off: De DevOps Lead beoordeelt welke checklistpunten van toepassing zijn op het project en documenteert dit in de projectdocumentatie
2. Sprint planning: Relevante checklistpunten worden als acceptatiecriteria opgenomen bij user stories
3. Code review: Reviewers controleren naleving van de checklist bij pull requests
4. Definition of Done: Alle van toepassing zijnde checklistpunten zijn geimplementeerd en geverifieerd
5. Oplevering: De DevOps Lead tekent af dat de checklist is nagelopen

Inventarisatie

Alle door YipYip ontwikkelde zorgapplicaties worden geregistreerd met aanvullende informatie:

Veld	Beschrijving
Applicatie ID	Unieke identificatie
Project/Klant	Zorginstellling waarvoor ontwikkeld
Type	Web app, mobiele app, API, etc.
Gezondheidsinformatie	Welke typen verwerkt
Checklist status	Welke checklistpunten van toepassing en afgevinkt
Risicoclassificatie	Kritikaliteit voor zorg
Laatste security review	Datum laatste beoordeling

Netwerk Segmentatie

Voor hosting-omgevingen van zorgapplicaties geldt netwerksegmentatie:

┌────────────────────────────────────────┐
│          PRODUCTIE ZORGOMGEVING         │
├────────────────────────────────────────┤
│  ┌──────────┐    ┌──────────────────┐  │
│  │ Applicatie│    │  Database        │  │
│  │ Servers  │◄──►│  (encrypted)     │  │
│  │          │    │                  │  │
│  └──────────┘    └──────────────────┘  │
│       │                                 │
│  WAF + Firewall met strikte regels     │
│       │                                 │
│  ┌──────────┐                          │
│  │ Internet │                          │
│  │ (TLS 1.2+)│                         │
│  └──────────┘                          │
└────────────────────────────────────────┘

Beveiligingsmaatregelen

Maatregel	Implementatie
Netwerk segmentatie	Gescheiden omgevingen voor zorg- en niet-zorgapplicaties
Toegangscontrole	Role-based access control (RBAC) met 2FA
Monitoring	Applicatie- en infrastructuur monitoring
Patching	Geautomatiseerd dependency management, maandelijkse updates
Authenticatie	2FA verplicht voor alle zorgapplicaties
Encryptie	Data at rest (AES-256) en in transit (TLS 1.2+)
Logging	Onmuteerbare audit logs van alle toegang tot gezondheidsinformatie

Vulnerability Management

• Geautomatiseerde dependency scanning (Dependabot / Snyk)
• OWASP Top 10 controles in code reviews
• Periodieke penetratietests voor zorgapplicaties
• Responsible disclosure procedure

Leveranciersbeheer

Aspect	Vereiste
Cloud hosting	NEN 7510-gecertificeerd of aantoonbaar compliant
SaaS-componenten	Verwerkersovereenkomst en beveiligingsbijlage
Incidentrespons	Gezamenlijke procedure met klant en hosting-partij
End-of-life	Migratieplan en data-verwijdering

Incident Response

Specifieke procedure voor incidenten met zorgapplicaties:

1. Patientveiligheid eerst - beoordeel of er risico is voor zorgontvangers
2. Isolatie indien nodig - applicatie offline als patientveiligheid in gevaar is
3. Klant (zorginstelling) notificatie - direct bij mogelijke impact op gezondheidsinformatie
4. IGJ melding indien patientimpact
5. AP melding bij datalek met persoonsgegevens binnen 72 uur

Bewijs

Type	Beschrijving	Locatie
Inventaris	Zorgapplicatie register	registers/assets.yaml
Checklist	Ingevulde development checklists per project	Jira / projectdocumentatie
Logs	Audit logs zorgapplicaties	Applicatie logging platform
Reviews	Security review rapporten	evidence/

Opmerkingen

YipYip is een digital product agency (~15 medewerkers, Rotterdam) die software ontwikkelt voor zorginstellingen. De focus van deze control ligt daarom op de beveiliging van de door YipYip ontwikkelde zorgapplicaties, niet op fysieke medische apparatuur. De 10-punts checklist (OUD 09.04.a) is de kern van onze borging van patientveiligheid in het ontwikkelproces.

---

Laatst gereviewed: 2026-01-28