Bij Nedap Healthcare maken we automatisch en regelmatig back-ups van de data van klanten. Zo kunnen we bij een storing of incident teruggaan naar een eerdere versie van het systeem. Daarbij kan wel wat data verloren gaan, afhankelijk van hoe recent de laatste back-up is. Dit noemen we het Recovery Point Objective (RPO): het maximale tijdsverlies aan data dat acceptabel is bij een incident.
Hoe vaak maken we back-ups? (RPO)
We volgen een vast schema voor back-ups. Hoe vaak en hoelang we die bewaren, zie je hieronder:
| Wanneer? | Tijdstip | Hoelang bewaard? |
|---|---|---|
| Elke dag | 00:00, 06:00, 12:00, 18:00 | 30 uur |
| Elke dag | 18:00 | 8 dagen |
| Zaterdag t/m donderdag | 19:00 | 1 week |
| Elke vrijdag (week 2 t/m 5 van de maand) | 19:00 | 1 maand |
| Eerste vrijdag van de maand (feb-dec) | 19:00 | 1 jaar |
| Eerste vrijdag van het jaar (jan) | 19:00 | 3 jaar |
Omdat we veel klanten hebben, gebeurt het terugzetten van een back-up in de praktijk dagelijks. Zo weten we zeker dat het werkt als het echt nodig is. We bewaren back-ups tot de bewaartermijn is verstreken. Om de integriteit van de data te waarborgen, voeren we geen handmatige acties uit op back-ups, zoals het voortijdig verwijderen van gegevens.
Welke gegevens zitten in de back-ups?
We maken volledige back-ups van de Ons Suite®. Daarin zijn opgenomen:
- Alle cliëntgegevens, zoals persoons- en adresgegevens, indicaties, zorgorders, registraties, zorgplannen en dossiergegevens.
- Alle medewerkers- en planningsgegevens, zoals personeelsgegevens, contracten, diensten, toewijzingen en roosters.
- Administratieve en financiële gegevens.
Deze gegevens hangen nauw met elkaar samen. Daarom kunnen we geen selectie back-uppen of terugzetten, zoals alleen cliëntgegevens zonder planningsgegevens.
Terugzetten van een back-up en hersteltijd (RTO)
We zetten back-ups terug, bijvoorbeeld wanneer klanten een kopie van hun productieomgeving nodig hebben om te testen. Dit geeft inzicht in de tijd die nodig is voor het technisch terugzetten. Die tijd hangt onder meer af van de omvang van de omgeving. Het terugzetten van een back-up is ook in het weekend mogelijk.
Bij een cyberaanval is het terugzetten van een back-up één onderdeel van herstel. Ook onderzoek, beveiligingsmaatregelen en technische controles kunnen tijd vragen. De totale uitvalduur kan daardoor langer zijn dan de technische terugzettijd. Een back-up maakt eventuele gegevensdiefstal niet ongedaan.
Meer over onze continuïteitsaanpak en veilige hervatting van de dienstverlening lees je bij Continuïteit.
Hoe hebben we back-ups beveiligd?
Back-ups worden opgeslagen op een systeem dat losstaat van de productieomgeving. De toegang is beperkt tot specifieke accounts die gescheiden zijn van de reguliere toegangscontrole.
In de loop van 2027 verwachten we extra beveiligingsmaatregelen toe te voegen, waaronder toegang via Multi Factor Authentication (MFA). Hiermee versterken we de bescherming tegen ongeautoriseerde wijzigingen en toegang.
