Beste klant,
De bescherming van patiëntgegevens heeft onze hoogste prioriteit. Per 20 mei a.s. voeren wij twee aanvullende beveiligingsmaatregelen door voor alle gebruikers van James:
- Verplicht inloggen met tweefactorauthenticatie (2FA)
- Het uitsluiten van gelijktijdige sessies per gebruiker
Aanleiding
Recente beveiligingsincidenten bij organisaties in de zorg, waaronder ChipSoft, onderstrepen het belang van strengere toegangsbeveiliging voor systemen waarin medische gegevens worden verwerkt.
Waarom is de combinatie van inloggen met 2FA en het alleen toestaan van één actieve sessie per gebruiker belangrijk?
2FA beschermt het inlogmoment: alleen wie echt geautoriseerd is, krijgt toegang. Maar ook ná een correcte inlog kan een sessie kwetsbaar zijn.
Een veelgebruikte aanvalsmethode is session hijacking via cookie stealing: een aanvaller onderschept of steelt de sessiecookie van een ingelogde gebruiker, bijvoorbeeld via malware, een onbeveiligd netwerk of een phishingaanval. Met die cookie kan de aanvaller zich, op een ander apparaat of in een andere sessie, voordoen als de ingelogde gebruiker, zonder ooit een wachtwoord of 2FA-code in te voeren. De gebruiker merkt hier niets van: beide sessies zijn tegelijk actief.
Door gelijktijdige sessies te blokkeren, doorbreken wij dit aanvalspatroon direct. In de praktijk ontstaat een tweede sessie doorgaans niet door een hack, maar doordat een legitieme gebruiker op een tweede apparaat inlogt zonder zich eerst op het eerste apparaat uit te loggen. James logt daarom het eerste apparaat automatisch uit, niet het tweede. U ontvangt hiervan een automatische melding. Heeft u zelf niet een tweede keer ingelogd, neem dan direct contact op met James support.
Deze combinatie, 2FA bij het inloggen, sessiebeperking ná het inloggen, vormt een aaneengesloten beveiligingslaag (defence in depth) die aansluit bij de eisen van de AVG en NEN7510.
Wat verandert er voor jou?
Je gebruikt al 2FA
Staat jouw 2FA op 7 dagen? Dan wordt deze automatisch naar 12 uur gezet. Er verandert verder niets aan het inloggen. Wel geldt vanaf 20 mei dat je met jouw account slechts op één apparaat of in één browser tegelijk ingelogd kunt zijn. Log je in op een tweede apparaat of browser, dan wordt de eerste sessie automatisch afgesloten en ontvang je daarvan een melding.
Je gebruikt nog geen 2FA
Bij je eerste inlog vanaf 20 mei begeleiden we je automatisch bij het instellen:
- Je krijgt een QR-code in beeld
- Je scant deze met een authenticator-app (bijvoorbeeld Microsoft Authenticator of Google Authenticator)
- De volledige instructie vind je hier: Tweefactor Authenticatie (2FA)
Ons advies, stap zo snel mogelijk over op het implementeren en gebruik van 2FA als je dit nu nog niet doet!
Geen toegang meer tot je 2FA?
- Meerdere gebruikers? Een collega met beheerrechten kan je 2FA eenvoudig resetten via praktijk > medewerkers > open medewerker > rechts onderin [twee factor reset].
- Eenmanspraktijk? Neem contact op met onze supportafdeling, wij helpen je snel verder.
Inloggen door telefonistes van afsprakenbureaus
Bij het inlogggen van telefonistes is het gebruik van 2FA reeds geruime tijd verplicht.
2FA bij inloggen via het patiëntenportaal
Omdat het gebruik van een QR‑code bij de eerste inloggen via een mobiele telefoon vaak als lastig wordt ervaren en tot veel vragen kan leiden maken wij voor deze categorie gebruikers vooralsnog geen gebruik van een authenticator-app. In plaats daarvan ontvangen patiënten bij iedere inlog een eenmalige verificatiecode per e‑mail, die zij invoeren om toegang te krijgen tot het portaal. Deze methode is eenvoudiger in gebruik en geschikt voor mobiel inloggen. Na iedere keer dat gebruikersnaam en wachtwoord zijn ingevoerd krijgt de patiënt een melding in het inlogscherm dat er een beveiligingscode naar zijn of haar e‑mailadres wordt gestuurd.
Vanaf begin volgend jaar wordt deze vorm van 2FA vervangen door inloggen met DigiD. Hierover ontvang je te zijner tijd meer informatie.
Tenslotte
Met deze maatregelen bereiden we ons tevens voor op aankomende wetgeving (ca. 2027–2028), waaronder de Wet Digitale Overheid en de Wet Digitale Identificatie en Authenticatie in de Zorg (DIAZ), welke wetten inloggen met het hoogste betrouwbaarheidsniveau zullen verplichten.
Mocht je nog vragen hebben staat ons support team voor je klaar!
Met vriendelijke groet,
Team James Software