Logging patiëntdossiers
GedeeltelijkDevOps Lead
Maatregel Beschrijving
Section titled “Maatregel Beschrijving”YipYip bouwt audit logging in zorgapplicaties die toegang geven tot gezondheidsinformatie, zodat de klant (zorginstelling) kan aantonen wie wanneer welk dossier heeft ingezien of gewijzigd. De checklist OUD 09.04.a (zie Z4) bevat dit als punt 3; die checklist is nog niet geactualiseerd en geïmplementeerd.
Wat we bouwen
Section titled “Wat we bouwen”Standaard gelogde events
Section titled “Standaard gelogde events”| Gebeurtenis | Gelogde attributen |
|---|---|
| Inloggen / uitloggen | Gebruiker-ID, tijdstip, IP-adres, resultaat |
| Inzien gezondheidsinformatie | Gebruiker-ID, tijdstip, record-ID, pagina/sectie |
| Aanmaken of wijzigen record | Gebruiker-ID, tijdstip, record-ID, gewijzigde velden (voor/na) |
| Exporteren / downloaden | Gebruiker-ID, tijdstip, type export, omvang |
| Verwijderen record | Gebruiker-ID, tijdstip, record-ID, soft/hard delete |
| Foutieve toegangspogingen | Gebruiker-ID of IP, tijdstip, reden afwijzing |
| Wachtwoordreset / MFA-wijziging | Gebruiker-ID, tijdstip, initiator |
Technische implementatie
Section titled “Technische implementatie”- Applicatielogging: gestructureerde logs (JSON) vanuit de Elixir/Phoenix-backend met een uniek event-ID per regel.
- Opslag: GCP Cloud Logging. Draait een oplossing in de cloudomgeving van de klant, dan geldt de logvoorziening van de klant.
- Onmuteerbaar: logs gaan naar append-only log streams; applicatiegebruikers hebben geen schrijfrechten op de logopslag.
- Toegang: DevOps via GCP IAM (read-only); klant op verzoek of via een logviewer in de beheerinterface (projectspecifiek).
Bewaartermijn
Section titled “Bewaartermijn”| Logbron | Retentie |
|---|---|
| Applicatielogs | 30 dagen |
| Audit logs (Cloud Audit Logs, applicatie-audit-events) | 1 jaar |
| Logs van toegang tot gezondheidsinformatie | Conform NEN 7513, per project af te spreken met de klant; komt zelden voor |
Zie 8.15 voor de algemene logretentie.
Bescherming van logs
Section titled “Bescherming van logs”- Logs staan buiten bereik van de applicatie zelf (geen databasetabel die de app kan legen).
- Exports van logdata worden zelf gelogd.
- Geen productie-logdata in ontwikkel- of testomgevingen.
Monitoring en review
Section titled “Monitoring en review”- Alerts op verdachte patronen (hoog aantal records in korte tijd, inlogpogingen boven drempelwaarde, grote exports) zijn per project configureerbaar in GCP Monitoring; of dit per zorgproject is ingericht is niet geïnventariseerd.
- De maandelijkse review van security-relevante events (C.22 in het controleprogramma) is nog niet gestart; de eerste ronde loopt via het programma. Zie 8.16.
Klantinzage in logs
Section titled “Klantinzage in logs”- Op verzoek: YipYip levert een lograpportage per klant als PDF of CSV via het supportkanaal.
- Self-service (projectspecifiek): in sommige projecten biedt de beheerinterface een logviewer voor de klantbeheerder.
Wat beschikbaar is wordt per project vastgelegd in de functionele specificatie.
- Per zorgproject is nog niet geïnventariseerd of audit logging en de retentie feitelijk zijn ingericht; uitkomst komt in het assetregister (ISMS-383).
- Logreview (C.22) is nog niet uitgevoerd; eerste ronde via het controleprogramma.
- Geen SIEM of centrale anomaliedetectie; alerting is per project.
- De gelogde velden zijn nog niet getoetst aan NEN 7513 (rol van de gebruiker, identificatie zorgontvanger, autorisatiegrondslag, gebeurtenistype).
- Log-inzage voor klanten is niet in alle projecten self-service.
Bewijs
Section titled “Bewijs”| Type | Beschrijving | Locatie |
|---|---|---|
| Code | Audit-logging implementatie | GitHub repository per project |
| Configuratie | Retentie-instellingen Cloud Logging | GCP-console per project |
| Logreview | Verslag C.22 | Nog geen bewijs; zie Gaps |
Opmerkingen
Section titled “Opmerkingen”YipYip beheert geen EPD-systemen als zorginstelling. Deze maatregel beschrijft de loggingfunctionaliteit die YipYip in haar applicaties bouwt, zodat klant-zorginstellingen kunnen aantonen dat toegang tot patiëntgegevens is geregistreerd conform NEN 7510 en NEN 7513.
Laatst gereviewed: 2026-03-26