Het onderscheid tussen een intern portaal en een extranet in een UZ beperkt zich niet tot een kwestie van netwerkbereik. Het betreft architecturale keuzes die de aanvalsoppervlakte, de granulariteit van de machtigingen en de mogelijkheid om afwijkend gebruik te traceren bepalen. We merken op dat de meeste instellingen deze kwestie nog steeds behandelen als een eenvoudige technische afweging, terwijl het in de eerste plaats gaat om risicobeheer toegepast op gezondheidsgegevens.
Segmentatie van toegang voor UZ-agenten op basis van risiconiveau
Een intern portaal (intranet) en een extranet beschermen niet dezelfde middelen met dezelfde intensiteit. Het echte keuzecriterium is niet de geografische locatie van de agent, maar de gevoeligheid van de bron waartoe hij toegang heeft.
Op een klassiek intranet heeft de agent die is verbonden met het bekabelde netwerk of het professionele Wi-Fi van het UZ een eerste niveau van vertrouwen dat verband houdt met de fysieke infrastructuur. Kritieke applicaties (patiëntendossier, voorschrift, identiteitsbewaking) blijven beperkt tot dit bereik. Het extranet opent een tweede kanaal, bedoeld voor verbindingen buiten de site, maar dit kanaal vereist compenserende controles die veel instellingen onderdimensioneren.
We raden aan om elke applicatie van het SIH in kaart te brengen volgens drie niveaus: beperkte toegang tot het interne netwerk, externe toegang met versterkte authenticatie, open toegang via een standaard webportaal. Deze mapping bepaalt de keuze van de architectuur veel meer dan het budget of het merk van de gekozen oplossing. Een gedetailleerd artikel over toegang voor UZ-agenten op Tranquilité Santé beschrijft precies de functionele verschillen tussen deze twee modi.
Multifactorauthenticatie en gefedereerde SSO: wat verandert voor het ziekenhuis-extranet
Multifactorauthenticatie is een vereiste, geen optie. Op een intern portaal vormt het netwerk zelf een impliciete vertrouwensfactor. Op een extranet verdwijnt deze factor. De agent die verbinding maakt vanuit zijn huis, een externe wachtpost of een mobiel apparaat moet zijn identiteit bewijzen met minstens twee onafhankelijke middelen.
De veelvoorkomende valkuil betreft de MFA-registratie. In verschillende UZ’en moet de koppeling tussen het agentaccount en de authenticatieapplicatie (zoals Microsoft Authenticator) noodzakelijkerwijs vanaf het interne netwerk plaatsvinden. Pogingen om deze operatie vanaf een extern netwerk uit te voeren blokkeren de procedure zonder een expliciete foutmelding. Dit technische punt, zelden gedocumenteerd in gebruikershandleidingen, genereert een aanzienlijke hoeveelheid tickets voor de IT-ondersteuning.
De gefedereerde SSO-architectuur vereenvoudigt de agentervaring door de authenticatie te uniformeren over alle applicaties (e-mail, HR-portaal, tijdregistratie, documentair intranet). Aan de andere kant vermenigvuldigt het de ingangen. Elke verbindingsweg moet worden gedekt door hetzelfde beveiligingsbeleid, of het nu gaat om het webportaal, de mobiele applicatie of de zware VPN-client.
VPN of reverse proxy: twee filosofieën voor externe toegang
De VPN creëert een versleutelde tunnel die het externe apparaat virtueel verbindt met het interne netwerk. De reverse proxy stelt alleen de gepubliceerde applicaties bloot, zonder het netwerkbereik uit te breiden. De keuze hangt af van het gebruiksprofiel:
- De VPN is geschikt voor agenten die zware applicaties gebruiken die een volledige netwerkverbinding vereisen (beeldvorming, lokale databases).
- De reverse proxy is voldoende voor webgebruik (e-mail, planningsconsultatie, HR-portaal) en vermindert de aanvalsoppervlakte door alleen de strikt noodzakelijke diensten te publiceren.
- Een hybride model, waarbij de VPN is gereserveerd voor technische profielen en de reverse proxy voor functionele agenten, vormt de meest voorkomende compromis in middelgrote UZ’en.
Machtigingen voor externe betrokkenen: de zwakke schakel van het SIH
De toegangsgidsen voor UZ-agenten richten zich op het vaste personeel. Externe betrokkenen (zelfstandige artsen, tijdelijke krachten, leveranciers van biomedische onderhoud, onderzoekspartners) vormen echter een specifiek risico dat noch het interne portaal noch het standaard extranet correct behandelt zonder specifieke configuratie.
Een generiek account dat wordt gedeeld tussen meerdere externe betrokkenen is een beveiligingsfout. De huidige aanbevelingen vereisen individuele accounts, een snelle intrekking van machtigingen aan het einde van de opdracht en de strikte toepassing van het principe van behoefte om te weten. Een tijdelijke kracht die drie dagen per maand in de cardiologie werkt, heeft geen enkele reden om toegang te hebben tot de voorschrijvingsmodule van de psychiatrie.
Het extranet biedt hier een structureel voordeel ten opzichte van het interne portaal: het maakt het mogelijk om afgebakende toegangspunten te creëren, met instelbare geldigheidsduur en volledige traceerbaarheid van de verbindingen. Het interne portaal, ontworpen voor vaste agenten, heeft meer moeite met deze variabele profielen.
Logging en detectie van afwijkend gebruik op het agentenportaal
Een initiële toegangcontrole, hoe robuust ook, beschermt niet tegen een accountcompromittering. Het verschil tussen een goed gedimensioneerd portaal en een kwetsbaar portaal ligt in wat er gebeurt na de authenticatie.
Het portaal moet elke verbinding loggen en atypisch gedrag detecteren: ongebruikelijke extractievolumes, verbindingen op tijden die niet overeenkomen met de planning van de agent, gelijktijdige toegang vanuit twee verschillende geografische locaties. Deze zwakke signalen zijn de eerste indicatoren van een gecompromitteerd account.
Op een intranet is de logging vaak gebaseerd op de logs van de domeincontroller en de applicatieservers. Op een extranet moet deze worden gecentraliseerd op het portaal zelf, omdat de verbindingen via heterogene paden verlopen. We merken op dat instellingen die beveiligingsincidenten hebben ondervonden doorgaans een gedeeltelijke logging hadden, die de authenticatie dekte maar niet de acties na de verbinding.
- Controleer of het portaal de toegang tot individuele patiëntendossiers logt, niet alleen de applicatieverbindingen.
- Configureer automatische waarschuwingen voor massale gegevensextracties (CSV-exporten, seriële afdrukken).
- Voer een kwartaalreview uit van actieve accounts om verouderde machtigingen te deactiveren, vooral voor externe betrokkenen.
De keuze tussen een intern portaal en een extranet beperkt zich niet tot een netwerkarchitectuur. Het betreft het vermogen van het UZ om gedifferentieerde beveiligingsbeleid toe te passen op basis van profiel, verbindingslocatie en gevoeligheid van de geraadpleegde gegevens. Een goed geconfigureerd extranet biedt betere bescherming dan een slecht beheerd intranet. De relevante vraag is niet welk portaal te implementeren, maar welk niveau van controle de instelling bereid is om op lange termijn te handhaven.
