English
Nederlands
DeutschZorg
Back-up en herstel voor ziekenhuizen en klinieken: getest, niet op goed vertrouwen
Mindtime maakt back-ups van de virtuele servers, databases en Microsoft 365-omgeving rond je elektronisch patiëntendossier (EPD). Ze staan in eigen datacenters in Nederland en Duitsland. Standby-infrastructuur staat paraat om je systemen over te nemen (failover). Die testen we elk kwartaal.
In het Nederlands, Duits of Engels.
- NL · DEAlleen opgeslagen in onze eigen Tier III-datacenters in Nederland en Duitsland
- OnveranderbaarOpslag met Object Lock plus een air-gapped kopie; we controleren elke back-uptaak
- ISO 27001 · NEN 7510ISO 27001- en NEN 7510-gecertificeerde beveiliging, met een verwerkersovereenkomst bij elk contract
- NL · DE · ENSupport van mensen, geen callcenters in het buitenland of chatbots
In het kort
Ziekenhuizen en klinieken hebben onveranderbare (immutable) back-ups buiten de deur en getest herstel nodig. De meeste vallen onder de Cyberbeveiligingswet en medische dossiers bewaar je 20 jaar. Mindtime maakt back-ups van servers, databases en Microsoft 365 in eigen NEN 7510-gecertificeerde datacenters in Nederland en Duitsland, met standby-infrastructuur en elk kwartaal een DR-test.
Wat er op het spel staat
De data die ziekenhuizen en klinieken niet kwijt mogen raken
Het EPD en de databases eronder
Diagnoses, medicatie, operatieverslagen en verwijsbrieven van elke patiënt staan in het EPD en de databases daaronder. Voor een ziekenhuis is dat het klinische geheugen van de hele organisatie.
Beeld- en labarchieven
Radiologiebeelden en labuitslagen stapelen zich jarenlang op en zijn bij het volgende consult weer nodig. Ze staan meestal op aparte archiefservers en opslag, los van het EPD.
OK-planning en logistiek
OK-planning, beddenbeheer, voorraad en personeelsroosters houden het ziekenhuis draaiende. Vallen die systemen uit, dan stopt de planbare zorg, ook als de medische data zelf intact is.
Regels en verplichtingen
Wat de regels van ziekenhuizen en klinieken vragen
Samengevat uit de bronnen onderaan deze pagina. Dit is algemene informatie, geen juridisch advies.
Medische dossiers 20 jaar bewaren
De WGBO (artikel 7:454 BW) schrijft voor het medisch dossier een bewaartermijn van 20 jaar voor, gerekend vanaf de laatste wijziging. Voor een ziekenhuis gaat dat over tientallen jaren aan dossiers van alle afdelingen. [1]
NEN 7510, 7512 en 7513 voor zorginformatiesystemen
De AVG Helpdesk Zorg van het ministerie van VWS noemt deze drie de belangrijkste normen voor zorgaanbieders. Volgens de helpdesk moeten de zorgaanbieder en de leverancier van een elektronisch uitwisselingssysteem ervoor zorgen dat het systeem eraan voldoet. [2]
Essentiële entiteit onder de Cyberbeveiligingswet
Een zorgaanbieder met meer dan 250 fte, of boven de grenzen voor omzet en balanstotaal van een grote onderneming, is een essentiële entiteit. Essentiële entiteiten krijgen proactief en reactief toezicht van de IGJ. Middelgrote klinieken zijn belangrijke entiteiten, met reactief toezicht. [3]
Significante incidenten binnen 24 uur melden
Organisaties onder de Cyberbeveiligingswet moeten incidenten zo snel mogelijk melden bij het CSIRT en de toezichthouder, en in elk geval binnen 24 uur. Voor de zorg is Z-CERT het aangewezen CSIRT. [4]
Als het misgaat
Ransomware in een zelfstandig behandelcentrum
Voorbeeld: een zelfstandig behandelcentrum (zbc) merkt vroeg in de ochtend dat zijn virtualisatiecluster is versleuteld, inclusief de applicatieservers van het EPD. De gerepliceerde tweede locatie is ook versleuteld, want de replicatie heeft de schade gewoon meegekopieerd. De onveranderbare back-ups in het datacenter van Mindtime zijn onaangetast. Mindtime scant ze op malware en ze worden teruggezet in een geïsoleerde omgeving. Ondertussen draaien de kritieke systemen op de standby-infrastructuur van Mindtime. De geplande behandelingen gaan weer door zodra het IT-team en de softwareleverancier de teruggezette systemen hebben gecontroleerd.
Zo beschermt Mindtime je data
Back-up voor ziekenhuizen en klinieken, per workload
- Back-up van VMware en Hyper-VZiekenhuisapplicaties draaien op virtualisatieclusters, en ransomware valt zo'n cluster in zijn geheel aan.
- Back-up van databasesDe data achter het EPD, het labsysteem en de bedrijfssystemen staat in SQL Server, Oracle en vergelijkbare databases.
- Back-up van Linux-serversBeeldarchieven en veel klinische backendsystemen draaien op Linux.
- Microsoft 365-back-upDuizenden mailboxen en SharePoint-sites van medewerkers hebben een kopie nodig buiten de bewaartermijnen van Microsoft zelf.
- Disaster RecoveryMet standby-infrastructuur en elk kwartaal een failovertest laat je de raad van bestuur zien dat herstel werkt, voordat je het nodig hebt.
- NIS2 ComplianceZiekenhuizen zijn essentiële of belangrijke entiteiten onder de Cyberbeveiligingswet. Bedrijfscontinuïteit hoort bij de zorgplicht.
De software die je gebruikt, en wat we eromheen beschermen
| HiX van ChipSoft | Gebruikt door ziekenhuizen en zelfstandige behandelcentra, op locatie of in de cloud. Draait HiX in je eigen datacenter, dan maakt Mindtime een back-up van de servers en databases waarop het draait. Gebruik je HiX in de cloud, controleer dan de back-up- en exitvoorwaarden van ChipSoft. |
|---|---|
| Beeld- en labarchieven | Archiefservers voor radiologiebeelden en labuitslagen. Mindtime maakt een back-up van de Linux- of Windows-servers en de NAS-opslag waarop ze draaien. |
| VMware- of Hyper-V-clusters | De meeste ziekenhuisapplicaties draaien als virtuele machines. Mindtime maakt back-ups van VMware- en Hyper-V-omgevingen in de eigen datacenters in Nederland en Duitsland. |
| SQL Server- en Oracle-databases | Klinische en zakelijke applicaties bewaren hun data in databases. Mindtime maakt back-ups van SQL Server, Oracle, PostgreSQL, MySQL en MariaDB. |
| Microsoft 365 en Azure | Mail, Teams en SharePoint van medewerkers, plus workloads die naar Azure zijn verhuisd. Mindtime maakt van allebei een back-up in de eigen datacenters in Nederland en Duitsland. |
Voordat je overstapt
Wat ziekenhuizen en klinieken ons als eerste vragen
We repliceren al naar een tweede datacenter. Is dat niet genoeg?
Replicatie kopieert alles, ook versleutelde of verwijderde data. Mindtime voegt onveranderbare back-ups met Object Lock toe, plus een air-gapped kopie: een kopie zonder verbinding met je netwerk. We volgen de 3-2-1-1-0-regel en scannen back-ups op malware voordat je terugzet.
Onze EPD-leverancier is verantwoordelijk voor het EPD. Waarom zouden wij ons daar druk om maken?
Bij een gehost EPD gelden voor de applicatie de voorwaarden van de leverancier. De servers, databases, koppelingen, mail en netwerkshares in je eigen omgeving blijven jouw verantwoordelijkheid. Mindtime beschermt die, zodat het EPD niet het enige is dat je kunt terugzetten.
Voldoet Mindtime aan onze inkoop- en beveiligingseisen?
Mindtime is ISO 27001- en NEN 7510-gecertificeerd en slaat data alleen op in eigen Tier III-datacenters in Nederland en Duitsland. Voor beheeracties is MFA (meervoudige authenticatie) verplicht. Bij elk contract hoort een verwerkersovereenkomst. Voor grotere organisaties kan het ontwikkelteam van IT22 maatwerk bouwen.
Veelgestelde vragen
Vragen over back-up voor ziekenhuizen en klinieken
Is ons ziekenhuis een essentiële of een belangrijke entiteit?
Onder de Cyberbeveiligingswet is een zorgaanbieder met meer dan 250 fte, of boven de grenzen voor omzet en balanstotaal van een grote onderneming, essentieel. Vanaf 50 fte is hij belangrijk. Beide moeten zich registreren in het portaal van het NCSC en significante incidenten melden. Essentiële entiteiten kunnen proactief toezicht van de IGJ verwachten, dus niet alleen na een incident.
Wat is het verschil tussen back-up en disaster recovery?
Een back-up is een beschermde kopie van je data. Disaster recovery gaat verder: je krijgt standby-infrastructuur waarop je systemen draaien zolang je eigen omgeving niet beschikbaar is. Bij Mindtime vindt de eerste testfailover meestal plaats binnen 10 dagen na de start. Daarna testen we de DR elk kwartaal.
Hoe voorkomen we dat we de malware samen met de data terugzetten?
Mindtime scant back-ups op malware en biedt herstel in een geïsoleerde omgeving. Zo controleer je teruggezette systemen apart, voordat ze weer op je netwerk komen. Omdat de back-ups onveranderbaar zijn, kan een aanvaller ze na het wegschrijven niet hebben aangepast. Ook niet met gestolen beheerdersgegevens, want ook voor beheeracties is MFA nodig.
Kan één leverancier een back-up maken van zowel on-premises als cloudworkloads?
Ja. Mindtime maakt back-ups van VMware, Hyper-V en Proxmox, Linux-servers en databases in je eigen datacenter, en van Microsoft 365, Azure, AWS en Google Cloud. Alle back-ups staan in de eigen datacenters van Mindtime in Nederland en Duitsland.
Bekijk het met je eigen data
Plan een demo van 15 minuten
We laten je een back-up en een herstel zien en beantwoorden je vragen in het Nederlands, Duits of Engels. Geen callcenters in het buitenland, geen chatbots.