MedMij houdt tweefactorauthenticatie bij inloggen in PGO verplicht

Het bestuur van Stichting MedMij heeft de afgelopen maanden goed gekeken of het wenselijk is dat een PGO met MedMij-label alleen toegankelijk kan zijn met tweefactorauthenticatie. Het antwoord is: Ja, het bestuur van stichting MedMij vindt het noodzakelijk dat de gegevens die in een PGO worden bewaard goed beveiligd zijn. En daarom moeten PGO’s met MedMij-label per 30 april 2022 voorzien zijn van een inlog met tweefactorauthenticatie.

MedMij stelt eisen aan de veiligheid van inloggen in een MedMij PGO. Een van de eisen die over de gehele applicatie geldt die als PGO met MedMij-label wordt aangeboden is het gebruik van tweefactorauthenticatie. Dit wordt op een indirecte (omdat we NEN7510 vereisen) en recent via een directe (aanvullend normenkader vanaf 1.5.0) wijze vereist. MedMij-deelnemers hebben aangegeven dat ze verwachten dat deze eis vanwege de negatieve impact op het gebruiksgemak gebruikers kost. Daarom hebben zij gevraagd deze eis te heroverwegen voor het deel van de PGO dat functionaliteit buiten de MedMij gegevensuitwisseling gaat.

De bepaling over inloggen met tweefactorauthenticatie staat in het normenkader van release 1.5.0 van het MedMij Afsprakenstelel. Deze release werd in oktober 2021 gepubliceerd en is per 30 april 2022 verplicht.

MedMij heeft de afgelopen maanden de bepaling over tweefactorauthenticatie nog eens goed onder de loep genomen. Onder andere na gesprekken met het ministerie van VWS en partijen uit het veld is het bestuur van Stichting MedMij tot de conclusie gekomen dat binnen dezelfde PGO-applicatie een knip zetten tussen MedMij-functionaliteit en overige functionaliteit zowel onwenselijk is vanuit de veiligheid die het MedMij-label (wat de volledige applicatie draagt) als vanuit gebruiksgemak (tijdens het gebruik geconfronteerd worden met het moeten instellen van tweefactorauthenticatie vormt een groot afbreuk risico). Daar komt bij dat de NEN 7510 feitelijk geen ruimte biedt om een splitsing te maken en de stand der techniek dit ook verwacht, zie NCSC Handreiking Cybersecurity maatregelen. Er is wat MedMij betreft dus geen verschil tussen gezondheidsgegevens ophalen bij een zorgaanbieder en het bewaren daarvan in een PGO door een persoon.

MedMij heeft groot begrip voor de gevolgen die PGO-ontwikkelaars ondervinden. Ook MedMij vindt gebruiksgemak van PGO’s enorm belangrijk en zal zich dan ook maximaal inspannen PGO’s zo min mogelijk beperkingen op dat vlak op te leggen. Maar als het gaat om veiligheid en privacy, kan MedMij alleen kiezen voor een optimaal beschermde en veilige PGO.

Helpen
MedMij ziet ook dat er veel verschillende manieren van tweefactorauthenticatie zijn en dat het MedMij Afsprakenstelsel ruimte biedt om oplossingen in te zetten die goed scoren qua gebruiksvriendelijkheid, maar die momenteel nog niet gebruikt worden in PGO’s.

MedMij wil deelnemers graag helpen bij de verkenning van deze mogelijkheden. Daarom bieden we een workshop aan waarin we - samen met experts van buiten onze organisatie –  leveranciers op weg helpen met het kiezen van de best mogelijke optie van tweefactorauthenticatie. Meer informatie hierover volgt binnenkort.