Curasoft, een Elektronisch Patiënten Dossier (EPD) leverancier, wilde een professionaliseringsslag in hun huidige managementinformatie en koos er daarom voor hun ISMS tool en AVG desk te vervangen voor de ProActive Compliance Tool (PCT) met de AVG module, waarin zij NEN 7510 en ISO 27001 hebben ondergebracht. Elfi Buhrs vertelt in een interview hoe zij dit proces hebben doorlopen en de PCT deel uitmaakt van haar werkzaamheden. Elfi werkt sinds eind 2021 als Kwaliteits Coördinator en in de rol van operational security officer voor Curasoft. Elfi begon aan deze nieuwe functie waarbij zij medeverantwoordelijk is, voor het certificeringsproces van haar organisatie.
ISO 27001 was voor Curasoft een logisch proces
Elfi had haar eigen IT servicebeheer bedrijf in de zorg, waar zij al volgens de NEN 7510 werkte. Door de ervaring die zij daarmee heeft opgedaan, was voor haar ISO 27001 een logisch proces. Omdat Curasoft erop is gericht het voor de klanten zo efficiënt mogelijk te maken en hun zorgen weg te nemen en door goed benaderbaar te zijn en open te staan voor aanpassingen, zagen zij een goede aansluiting met de PCT. Om deze ISMS tool in te zetten in hun verdere professionalisering en optimalisatie van hun bedrijfsprocessen en organisatie.
Over Curasoft: EPD leverancier
Curasoft is een Elektronisch Patiënten Dossier (EPD) leverancier. Zij bieden online software ter ondersteuning van de informatiebehoefte, werkprocessen, planning, communicatie, dossiervorming en financiën van zowel grote als kleine zorgorganisaties. Zij maken deel uit van de I&DT softwaregroep, hier vallen meer entiteiten onder ProductWare (online logistieke software) en CuraConsult (zorgadministratie en financiën), de hele softwaregroep is gecertificeerd.
Beleidsdocumentatie en managementinformatie ISMS
Curasoft was al enkele jaren gecertificeerd, waardoor veel (management)informatie en documentatie voor het ISMS al aanwezig was. De informatie moest worden overgezet naar de PCT, dit was meteen goed moment om een kritische blik te werpen op de bestaande beleidsteksten en deze waar nodig aan te passen. Elfi geeft aan ‘Je ziet meteen dat het belangrijk is dat je je eigen documentatie periodiek herziet en niet zo maar neer zet. Beleidsveranderingen moeten direct gedocumenteerd worden. Doordat de PCT zo’n actieve tool is, word je daartoe aangezet.’
De structuur die Curasoft zocht, sloot aan bij de indeling van de hoofdstukken in de PCT. Dit gaf hun genoeg handvatten om de benodigde documentatie voor de certificeringen NEN 7510 en ISO 27001 de norm voor informatiebeveiliging toe te voegen.
Starten met de PCT
De PCT biedt een module voor AVG, Kreuze heeft nu nog een eigen AVG-compliance module. Curasoft heeft ervoor gekozen kennissessies af te nemen naast de PCT, zodat zij geïnformeerd werden per onderwerp. Deze kennissessie richt zich op een bepaald onderdeel van de PCT, hierop volgend kan dan de informatie worden toegevoegd aan de PCT en te reviewen. Elfi vond het prettig dat Danielle de Vaal, die dit proces heeft begeleid goed bereikbaar was voor vragen. Door de stapsgewijze aanpak, merkte Elfi dat zij zich best snel de structuur van de PCT eigen kon maken.
‘Aan het begin was het overweldigend, ook omdat ik net aan deze nieuwe baan was begonnen. Ik gebruikte eerst vooral de zoekfunctie, gaandeweg leer je beter de structuur begrijpen en zie je dat er een logica inzit qua opbouw.’
Tip: Wil je weten hoe je jouw AVG compliance kunt checken? Lees ons blog.
Versiebeheer in de PCT
Het versiebeheer in de ProAcive Compliance Tool werkt goed, geeft Elfi aan, zo krijgt de andere security officer direct een update en ontstaat er een workflow en een interactief proces. Dit zal ons helpen wanneer meer medewerkers toegang zullen krijgen. Onlangs hebben wij de AVG module toegevoegd, juist omdat wij veel audits hebben (NEN 7510, ISO 27001, Digid en MedMij) is het handig dat alles op één centrale plek bij elkaar staat.
Wederkerende taken
Curasoft heeft KPI’s opgesteld om een hoger niveau te bereiken als organisatie, zo willen zij toewerken naar 100 % klanttevredenheid, naast veiligheid ook kwaliteit bieden. Klanttevredenheid is niet perse een onderdeel van de ISO certificering, maar wel iets wat Curasoft echt belangrijk vindt. Door het gebruik van de PCT denken wij nog bewuster na hoe we zaken SMART kunnen maken en monitoren. Door het toevoegen van deze KPI’s aan de PCT worden er best veel taken gegenereerd, naast de taken die onder andere voortkomen uit certificering. Deze wederkerende taken pakt Elfi meerdere malen per week op.
‘De PCT sluit heel mooi aan waar wij heen willen, richting de ziekenhuismarkt en de certificeringen elk jaar wat ‘spitser’ gemaakt. De PCT is een hele fijne software tool voor de groei die we willen doormaken.’
Toegang ISMS software tool voor auditor
De auditor kreeg voorafgaand aan de audit toegang tot het ISMS van Curasoft. De auditor had nog niet eerder een audit gedaan met behulp van de PCT. Voor haar werkte het prettig omdat zij naar eigen zeggen ook gemakkelijk zaken terug kon zoeken. Elfi en haar collega’s waren eigenlijk trots onze PCT tool te presenteren tijdens de audit. ‘Dus het hebben van deze tool, zien de auditors meteen al dat je er goed mee bezig bent. En dat staat best chique.’
Tips van Elfi voor certificering
- Zorg dat niet alle kennis bij één persoon ligt.
- Certificeren is een serieuze taak, dit kun je niet in het laatste uur van je dag ‘even’ op orde brengen.
- Enthousiasmeer medewerkers en creëer bewustwording door trainingen.
‘Ik zou willen dat de PCT ook de audits zou doen net als een vaatwasser, die ook de vaat inruimt.’
DigiD certificering en MedMij
Als leverancier die DigiD gebruikt moet je jaarlijks een ICT-beveiligingsassessment laten uitvoeren. Bij de DigiD audit wordt er meer naar je beleid gekeken, je voornemens, jouw aanpassingen en inrichting van het ISMS. De technische audit voor zo’n DigiD kijkt ook echt naar bewijsstukken. Daar heeft Elfi de PCT ook voor gebruikt, om hier documentatie aan toe te voegen en ook gedurende de audit de PCT te hanteren. Zo heeft Curasoft naast toevoegingen voor DigiD ook toevoegingen gedaan voor MedMij, door middel van een referentiematrix.
Toekomst
Elfi is enthousiast: ‘Ik ben erg gemotiveerd om de PCT verder uit te breiden en van informatie te voorzien. Ik vind het een toffe tool om met ons bedrijf de groei door te maken en meer collega’s te enthousiasmeren. De volgende stap is juist de bewustwording van de tool onder collega’s en de voordelen ervan in te zien.‘
