Het Barbapapa-model van Savant Zorg

Flexibiliteit en veilig werken met Office 365 en Enterprise Mobility en Security

Automatisering behoort werknemers niet te belemmeren bij de uitvoering van hun taken, maar hun werkzaamheden juist te vereenvoudigen. Bij Savant Zorg zijn ze daar met hulp van Cloud Life en Microsoft uitstekend in geslaagd. Joris van den Eijnden, Manager ICT en Functionaris Gegevensbescherming: “Het mooiste compliment is dat onze zorgwerkers zich vaak niet eens bewust zijn dat ze volledig privacy-compliant werken.”

Zorgaanbieders gebruiken e-mail dagelijks om onderling te communiceren, en patiënten geven aan dat ze vaker digitaal een vraag aan hun arts of verpleegkundige willen stellen. Maar de beveiliging van e-mails met medische gegevens is al jaren een mijnenveld voor zorgprofessionals. De belangrijkste oorzaak van datalekken is menselijk handelen. In 2017 werden er zo’n 10.000 datalekken gemeld bij de Autoriteit Persoonsgegevens (AP). In 2018 verdubbelde zich dit naar 21.000 datalekken. Bij bijna de helft van de datalekken ging het om persoonsgegevens die aan een verkeerde ontvanger werden gestuurd.

Zorgvuldig en vertrouwelijk omgaan met (privacy)gevoelige informatie is een essentieel onderdeel van het werk in de zorg. Om veilig mailen in de zorg sneller te realiseren, werd door het Ministerie van Volksgezondheid, Welzijn en Sport in 2018 het project Veilige Mail gelanceerd. Dit resulteerde in mei dit jaar in de publicatie van een nieuwe norm voor veilig mailen – de Nederlandse Technische Afspraak 7516 (NTA). Leveranciers van platforms en diensten voor mailen, messaging en chat kunnen de NTA-norm inbouwen in hun systemen en zorgaanbieders kunnen de norm toepassen in de opzet van bijvoorbeeld groepsaccounts.

Zorginstellingen moeten kunnen garanderen dat ze op een veilige manier informatie via e-mail uitwisselen. Savant Zorg, een grote regionale zorgaanbieder in Zuidoost-Brabant, heeft zich als een van de eerste instellingen geconformeerd aan de nieuwe NTA-norm. Met hulp van Microsoft-partner Cloud Life stapte de volledige organisatie over op werken met Microsoft 365-software. De wens om een veilige AVG-compliant werkomgeving in te richten, was een belangrijke factor bij de automatisering van de zorginstelling. Maar dit was niet waarom voor Microsoft werd gekozen.

Vaart der volkeren
Dat was de behoefte aan een IT-omgeving die meer flexibiliteit biedt dan de bestaande toenmalige Citrix-netwerkarchitectuur. Openstaan voor nieuwe technologie is een voorwaarde om als zorginstelling mee te gaan in de vaart der volkeren. In dat opzicht is er veel veranderd, vertelt Joris van den Eijnden, manager ICT en Functionaris gegevensbescherming bij Savant. “Vroeger schreven wij IT-roadmaps voor de komende tien jaar en was het redelijk zeker dat die uitkwamen. Ik durf nu niet eens voor de komende drie jaar te voorspellen, want dan denk ik dat ik er al naast zit.”

Zorgwerkers houden zich liever niet teveel bezig met technologie, maar vragen wel steeds meer om technologische ondersteuning. “Of het nu gaat om een app voor medicatiecontroles of het gebruik van de HoloLens bij het uitvoeren van een operatie; het zijn stuk voor stuk toepassingen waar in de zorg met veel belangstelling naar wordt gekeken. ‘Dit wil ik ook’, zeggen ze dan. Maar je platform moet dat dan wel toestaan. Onze oude ICT-omgeving was hiervoor niet voldoende flexibel, omdat die in het verleden was opgezet en toen speelde dit veel minder dan nu.”

Zo’n twee jaar geleden zagen ze bij Savant Zorg dat de rek eruit raakte. Besloten werd tot de keuze voor een flexibele oplossing die is voorbereid op toekomstige technologie. “En wel door steeds meer diensten uit de cloud af te nemen. Juist vanwege de snelheid die je op die manier bereikt en de mogelijkheid om nieuwe oplossingen toe te voegen met API’s.”

Totaaloplossing
Savant Zorg hanteert een ‘suite tenzij’-gedachte waarbij Microsoft 365 voor de volledige kantoorautomatisering van de organisatie wordt ingezet. Daarnaast gebruikt de instelling twee suites: het HR-pakket voor alles wat 1.800 medewerkers en honderden vrijwilligers betreft en een elektronisch cliëntendossier (ECD) voor de complete zorgadministratie. Binnen de Microsoft 365-suite wordt onder andere gebruikgemaakt van Office 365, Windows 10, Teams, Intune, security & compliance. Behalve dat Savant Zorg voorkomt dat het veel kleinere, specialistische pakketten met elkaar moet laten werken, vindt Van den Eijnden het belangrijk dat medewerkers niet hoeven te leren omgaan met te veel nieuwe software.

Zorgwerkers besteden hun tijd het liefst aan zorg voor cliënten en willen geen hinder van IT-zaken. In dat geval is het prettig dat ze met vertrouwde pakketten als Word, Outlook en Excel kunnen werken. “In de werkomgeving verandert niets. Ik kan wel een fantastische mailoplossing voor veilig mailen zoeken. Maar als die er compleet anders uitziet en al onze 1.800 mensen erin geschoold moeten worden, is de impact van die verandering vele malen groter voor de organisatie dan wanneer je blijft bij een vertrouwd product dat ook nog eens proven technology is.”

Een van de aspecten die bij de introductie van de Microsoft-omgeving speelde, is de noodzaak van veilig digitaal communiceren. Hoewel dus niet de reden waarom Savant Zorg op een ander platform overstapte, was het wel een van de criteria waaraan de nieuwe oplossing zou moeten voldoen, vertelt Van den Eijnden, die tijdens het project binnen Savant Zorg tevens de functie had gekregen van Functionaris Gegevensbescherming. Voor welke oplossing er ook gekozen zou worden; voorwaarde was dat deze volledig compliant zou zijn met wetgeving en AVG.

Encryptie e-mail
Het mooie is dat compliancy met privacywetgeving al standaard in Microsoft 365 aanwezig is. Hoewel de meeste Nederlandse zorginstellingen Exchange (Online) en Outlook (Mobile) gebruiken als e-mailoplossing, weet lang niet iedereen dat ze met Microsoft-technologie al invulling kunnen geven aan veilig mailen. Het is dus niet nodig om technologie van andere partijen in te zetten. Met Microsoft-technologie kan de zorgsector veilig mailen door gebruik te maken van Outlook Exchange, Office 365 en Message Encryption, Data Loss Prevention en Azure Information Protection. Een gespecialiseerde en ervaren Microsoft-partner als Cloud Life helpt de zorgsector hierbij.
Standaard is met deze oplossingen ook het versleutelen van e-mailverkeer te regelen. Savant Zorg gebruikt voor dit doel de modules die deel uitmaken van de Enterprise Mobility Security-omgeving. Deze zorgt er niet alleen voor dat de mail van encryptie wordt voorzien, maar detecteert ook automatisch of de mail vertrouwelijke inhoud bevat. De zorgwerker hoeft dus niet zelf de afweging te maken: “ga ik versleutelen of niet”. De software neemt die zorg uit handen.

Uiteindelijk is dat ook wat technologie moet doen, vindt Van den Eijnden. “Automatisering moet geen drempel zijn waar mensen overheen moeten. Het moet ze helpen in hun functioneren en ze moeten er verder geen last van hebben. Mijn collega hoeft niet na te denken over de mail die hij stuurt. Als die mail gevoelige informatie bevat, wordt die herkend en versleuteld.”

Grip op informatiestromen
De Microsoft-technologie dekt het merendeel van de behoeften af in de zorg. Wel kan het voorkomen dat de technologie op sommige onderdelen niet helemaal aansluit op de praktijk. Zo liepen ze bij Savant Zorg aan tegen het feit dat AVG-compliancy onder meer inhoudt dat een zorginstelling geen mail kan sturen naar een anoniem mailadres, zoals info@-adres of een debiteuren@account. “Microsoft was op dit punt zeer strikt: dan versturen we die mail niet. Dat is wel erg compliant, maar ook erg frustrerend. Ik moet mijn mail wel kunnen sturen aan een debiteurenadministratie.”

Samen met Cloud Life, de specialist die Savant Zorg in de arm had genomen voor het compliancy- en security-traject, werd dit aangekaart. “Vervolgens is Microsoft gaan zoeken naar oplossingen. Ze werken nu aan een oplossing die in staat is om onder water te achterhalen wie in een mailgroep rechten hebben. Op die manier kunnen we onze rekeningen sturen, zonder dat het ten koste gaat van het uitgangspunt dat we grip moeten hebben op de informatiestroom.”
Het is een voorbeeld van de finetuning die dankzij inbreng van Savant Zorg heeft plaatsgevonden. En nog altijd plaatsvindt, want software is werk in uitvoering. Dat ook andere organisaties kunnen profiteren van de inzichten die Savant Zorg overdraagt, ziet Van den Eijnden alleen maar als winst. “Natuurlijk kun je kiezen voor een standaard oplossing waarin je verder geen inbreng hebt. Dat vind ik vanuit mijn positie weinig bevredigend. Door aan tafel te zitten bij Microsoft en als klankbord op te treden, dragen wij bij aan de ontwikkeling van een beter product.”

Barbapapa-model
Het kost tijd en vraagt veel inzet, maar uiteindelijk doe je het voor de mensen die ermee moeten werken. Hoe de reacties zijn binnen Savant Zorg? Tja, per definitie zijn zorgwerkers niet bijster geïnteresseerd in alles wat met automatseringen te maken heeft, reageert Van den Eijnden. “Die willen primair zorg leveren. En dat snap ik, want dat is hun passie. Het mooiste compliment vind ik nog wel dat mensen niet eens beseffen dat wij veilig communiceren. En collega kreeg bij een brancheorganisatie het compliment dat wij al onze e-mail met vertrouwelijke inhoud versleuteld versturen. Stomverbaasd, hij wist van niets, want dat gaat automatisch.”

“Kijk, dat is wat je wilt. Dat jouw werk het leven van anderen gemakkelijker maakt. Of het jammer is dat lang niet iedereen zich daarvan bewust is? Ach, het is leuk als je een keer een compliment krijgt. Maar de mensen hier hebben gewoon niets met IT. Het zijn zorgmedewerkers, ik ben die mafkees die IT belangrijk vindt. En ik denk: ik heb het mooi voor elkaar.”

Wat niet wil zeggen dat Savant Zorg nu achterover kan leunen. De veranderingen blijven in moordend tempo doorgaan. Compliancy blijft een punt van aandacht, evenals bijblijven bij technologische veranderingen. De toepassingen van big data – of beter gezegd massive data – staat bijvoorbeeld pas in de kinderschoenen in de zorgverlening. “Als je dat weet, is het fijn om te weten dat je een systeem hebt dat optimaal flexibiliteit biedt. Toen we begonnen heb ik het ook wel het Barbapapa-model genoemd. Barbapapa kan veranderen van vorm en kleur. Vandaag ziet hij er zo uit en morgen weer totaal anders. Dat is wat ik wil met ICT: een omgeving die meebeweegt op de golven van de dynamiek van veranderende technologie en van de wereld om ons heen.”

Nieuwe eisen i.v.m. NTA 7516
Met de introductie van de NTA 7516 zijn er aanvullende eisen m.b.t. veilig e-mailen. Er is namelijk een tweede authenticatie nodig als de ontvanger (patiënt) de email openend, dit gebeurt veelal met een  sms bericht. Microsoft 365 ondersteunt dit niet en er is een add-on voor nodig. Fenestrae heeft een oplossing ontwikkeld samen met Microsoft welke naadloos integreert met Microsoft 365 en gecertificeerd is voor de NTA 7516. Meer informatie over de Bastion 365 oplossing.