Mark de Lange over het project Veilige Mail

“Het InteropLAB niet alleen projectmatig, maar structureel inzetten”

Wat is veilig mailen en hoe zorg je dat verschillende leveranciers van veilige mailprogramma’s sluitende afspraken met elkaar maken? Het project Veilige Mail organiseerde een InteropLAB projectathon om alle neuzen dezelfde kant op te krijgen. Projectleider Veilige Mail, Mark de Lange, begeleidde het proces.

Hoe is het project gestart?

“Met het vaststellen van een functionele norm. Leveranciers hebben verklaard dat ze binnen een jaar aan die norm zouden voldoen. Maar als leveranciers gaan bouwen, dan willen ze ook testen. Daar hadden we faciliteiten voor nodig. Daarnaast wilden we graag aan de buitenwereld laten zien dat de leveranciers echt vorderingen maakten. Om dat zichtbaar te maken hebben we rond die test een evenement georganiseerd: de projectathon met het InteropLAB als motor.”

Hoe test je of mail veilig is?

“Dat kan op verschillende manieren. Je kunt in de code kijken wat er gebeurt. Je kunt sommige basistests uitvoeren op bijvoorbeeld Internet.nl. Of je kunt er een testomgeving voor neerzetten. Wat niet kan, is in de mailbox kijken of de mail aankomt. Want dan zou de overdracht van zender naar ontvanger zomaar niet veilig kunnen zijn. Je hebt een testomgeving nodig met regeltjes die de veiligheid borgen. Zodat er een veilige verbinding is en de ontvangende partij netjes voldoet aan de NTA 7516 (de veldnorm die kaders stelt voor e-mailen in de zorg). Dat soort veiligheidsaspecten moet je inregelen in je testomgeving.”

Waar kwam de vraag naar veilig mailen vandaan?

“De behoefte aan veilige mail was er al en bij verschillende partijen. Bijvoorbeeld bij de Autoriteit Persoonsgegevens. Die heeft gezegd: ‘mailen mag, maar het moet wel veilig. Maar wat is veilig? Laten we daar dan een nor over afspreken.’ De behoefte was er ook bij het zorgveld. Zorginstellingen ontvangen steeds meer beveiligde mail, mail achter een slotje. De ontvanger is veel tijd kwijt aan het openen hiervan. Ook zijn het allemaal verschillende soorten slotjes. En dat leidt tot frustraties. Ik ken een praktijksituatie waarbij een apotheker het zo zat was dat hij aan zijn omgeving heeft aangegeven dat in plaats van veilige mail de fax gebruikt diende te worden. Dan ben je verder van huis.”

Was het lastig de leveranciers interoperabel te krijgen?

“Klanten willen wel veilig mailen, maar geen slotjes. Om dat voor elkaar te krijgen moeten veilige mail producten interoperabel zijn. Lever je dat al leverancier niet, dan kiezen klanten voor andere oplossingen. We hebben veel gehad aan de Regionale Samenwerkende Organisaties (RSO’s), die veilig mailen in de regio vaak als dienst aanbieden en dus grote klanten zijn. Zij hebben aan hun bestaande leverancier aangegeven dat meegewerkt diende te worden aan het tot stand brengen van interoperabiliteit. Anders zouden zij voor een ander product kiezen. Gelukkig zie je dan flink wat pragmatisme bij de leveranciers. Dat pragmatisme vertaalde zich naar het tekenen van een intentieverklaring om te voldoen aan de norm. Je moet ook wel, anders raak je business kwijt.”

Hoe is het traject verder verlopen?

“We zijn gestart met het opstellen van een norm, samen met NEN. Daar waren zowel het zorgveld als de leveranciers bij betrokken. Daarnaast hebben we flink wat sessies met die leveranciers gehad om de techniek te bespreken. Op een gegeven moment waren drie groepen leveranciers onderling interoperabel, maar niet met alle andere leveranciers. We hebben toen voor één van de drie oplossingen moeten kiezen. Aan die keuze hebben de andere leverancier zich geconformeerd. En dat zijn ze nu aan het bouwen. Tijdens de projectathon in heeft een deel van deze leveranciers laten zien dat het werkt. Medio mei moet alle leveranciers voldoen aan NTA 7516 en moeten hiervoor zijn gecertificeerd. Daarnaast moet ook de professionals zich aan de norm houden. Hiervoor dienen zij in hun organisatie ook nog het nodige in te regelen, zoals beleid omtrent het lezen van e-mails bij afwezigheid en het gebruik van groepsaccounts. De Inspectie voor de Gezondheidszorg & Jeugd gaat hier op toetsen en de Autoriteit Persoonsgegevens gaat handhaven als mail de oorzaak is van een datalek.”

Waarom maakt Veilige Mail geen gebruik van IHE-profielen?

“Het simpele antwoord is: er zijn voor veilige mail nog geen standaarden. Nederland is het eerste land dat veilig mailen op deze manier oppakt. Maar standaardisatie met bestaande profielen zou wel makkelijk zijn. Zeker in het kader van certificering. In zo’n certificaat staat dan dat je de test hebt doorlopen. Je krijgt het testrapport mee en kunt daarmee naar je auditor. Dan is het technische deel van de test afgerond. Idealiter kun je dan een testomgeving bouwen die de profielen test en certificeert. Dat zou een mooie volgende stap voor het InteropLAB zijn.”

Zou dit eindresultaat voor Veilige Mail ook zijn bereikt zonder het InteropLAB?

“De enige manier om dan tot hetzelfde eindresultaat te kunnen komen is onderling testen. Dan moet je met elke leverancier afspreken dat hij met minimaal twee of drie anderen test. Zodat je borgt dat het goed is. Dat betekent heel veel meer testen. In de praktijk ervaren we al het voordeel van het InteropLAB. Nu de projectathon is afgelopen, staat de audit op de agenda, waarbij we moeten testen zonder testtool. Leveranciers en auditors zijn daarmee meer tijd kwijt dan tijdens de dagen dat we gebruik konden maken van het InteropLAB.”

Welke toekomst zie je voor het InteropLAB?

“Er lopen steeds meer trajecten met gegevensuitwisselingsprogramma’s. Ze hebben allemaal behoefte aan testfaciliteiten. Wil je dat leveranciers gegevens aan elkaar knopen, dan zijn testomgevingen uitermate nuttig. Je wilt het InteropLAB dan niet alleen projectmatig, maar structureel inzetten. Want er kan een nieuwe leverancier komen die het traject ook wil doorlopen. Daarnaast zit in bestaande standaarden ook doorontwikkeling. Dus moet je testen of die nieuwe ontwikkelingen aansluiten op je bestaande infrastructuur. Ik zie dus wel een goede toekomst voor testomgevingen zoals het InteropLAB. Want we moeten op zoek naar een manier om dit soort testen structureel te borgen.”