Zorgcheck Aura hanteert een informatiebeveiligingsbeleid dat voldoet aan de eisen van NEN 7510 voor informatiebeveiliging in de zorg. Het beleid is gericht op de bescherming van vertrouwelijke patiëntgegevens en medische informatie.

Kernpunten: Het beleid voorziet in (a) continue risicobeoordeling, (b) technische en organisatorische maatregelen (zoals TLS-versleuteling, zero retention bij verwerkers, en sessie-timeout), (c) toegangsbeheer en authenticatie, (d) bewustwording van gebruikers, en (e) periodieke beoordeling en bijstelling. Geen audio, transcriptie of medische verslagen worden opgeslagen. Verwerking vindt in-memory plaats en data wordt direct na gebruik vernietigd.

Het beleid wordt minimaal jaarlijks beoordeeld en aangepast bij wijzigingen in wet- en regelgeving of bij ernstige beveiligingsincidenten.

Bij vermoedens van een beveiligingsincident (zoals ongeautoriseerde toegang, datalek of technische storing) is het volgende protocol van toepassing.

1. Melding: Incidenten worden gemeld bij de verantwoordelijke (IT-manager of security contact). Noteer tijdstip, aard van het incident en betrokken systemen. Geen patiëntgegevens in de melding.

2. Beoordeling: Bepaal de ernst (laag/middel/hoog). Bij mogelijke inbreuk op persoonsgegevens: direct beoordelen of melding aan de Autoriteit Persoonsgegevens en betrokkenen noodzakelijk is (AVG art. 33–34).

3. Maatregelen: Isolatie van betrokken systemen indien nodig, analyse van oorzaak, en herstel van beschikbaarheid en integriteit. Documenteer genomen stappen.

4. Afronding: Evalueer het incident en pas procedures aan om herhaling te voorkomen. Bewaar alleen administratieve documentatie (geen patiëntdata).