5.2 | Vertrouwen: Authenticatie

Authenticatie is de verificatie van een beweerde identiteit. Met authenticatiemiddelen kan een persoon duidelijk maken aan een ander wie hij is en dat hij het echt is. Het is gericht op het creëren van gewaarborgd vertrouwen bij een ander. 

Na het elektronisch identificeren, volgt een bevestiging van de echtheid van een aan een ander opgegeven of kenbaar gemaakte identiteit. De bevestiging die de vertrouwende partij ontvangt, is veelal afkomstig van een derde partij die de identiteit op echtheid heeft gecontroleerd en vastgelegd. Authenticatie is het proces dat bevestiging mogelijk maakt.

Verantwoordelijkheden
Voor het veilig delen van medische gegevens via een uitwisselingsinfrastructuur, moeten zorgaanbieders en ook zorgverleners zich authenticeren. Daarnaast is het belangrijk het toegangsbeleid tot medische gegevens in te richten en te beheren. 
- De zorgaanbieder moet zorgdragen voor passende beveiliging en bescherming van de persoonsgegevens die hij verwerkt. 
- De zorgaanbieder moet zorgen dat de digitale toepassing die toegang geeft tot persoonsgegevens op passende wijze beveiligd is en een voldoende betrouwbaarheidsniveau van authenticatie kent. 

Bij uitwisseling tussen zorgaanbieders is de brondossierhouder voor bovenstaande zaken verantwoordelijk. De geheimhoudingsplicht rust op de dossierhouder. Daarom is van belang dat deze met grote zekerheid weet wie hij toestaat gegevens te verwerken. Daarnaast vereist de wet dat het verwerken van persoonsgegevens goed beveiligd plaatsvindt. Authenticatie op het juiste betrouwbaarheidsniveau is daarmee een eis van passende beveiliging. Als het gaat om gegevens waarop het medisch beroepsgeheim van de zorgverlener rust, verlangt de Autoriteit Persoonsgegevens (AP) het 'hoogste' betrouwbaarheidsniveau (eIDAS niveau hoog, in lijn met de uitvoeringsverordening (EU) 2015/1502). 

Betrouwbaarheid
De betrouwbaarheid van het authenticatiemiddel wordt onder meer bepaald door:

- de koppeling tussen persoonsidentificatiegegevens met de persoon;
- het uitgifteproces van een elektronisch identificatiemiddel;
- het beheer van het middel;
- de gebruikte techniek;
- en de inrichting van het authenticatieproces. 

Hoe veiliger het authenticatiemechanisme, hoe hoger het betrouwbaarheidsniveau van de authenticatie. 

Authenticeren zorginstellingen

Voor het authentiseren van zorginstellingen (en hun systemen) is geen concrete technische invulling van de norm van een hoog betrouwbaarheidsniveau die volgt uit wet- en regelgeving. Voor organisaties is nu het systeem eHerkenning ingericht. Dit systeem heeft het hoogste betrouwbaarheidsniveau op basis van multi-factorauthenticatie. Deze vorm van authenticatie kan echter niet autonoom worden uitgevoerd voor een systeem; voor authenticatie met een tweede factor is altijd een persoon nodig, wat het onwerkbaar maakt in geval van uitwisseling, met name bij de organisatie die informatie ontvangt en de organisatie die geraadpleegd wordt. Het is kortom niet mogelijk om zorginstellingen te identificeren op basis van eIDAS hoog betrouwbaarheidsniveau.

Ontwikkelingen

Er zijn verschillende nieuwe technologische ontwikkelingen die betrouwbaar zijn en toegepast zouden kunnen worden (al voldoen deze niet aan eIDAS hoog betrouwbaarheidsniveau, in de zin dat systemen niet autonoom kunnen deelnemen aan een gegevensuitwisseling), zoals PKIo-middelen (eHerkenning, UZI-servercertificaten) of verifiable credentials. Ook hier geldt dat de betrouwbaarheid van het authenticatiemiddel voor organisaties/systemen wordt bepaald door onder meer de koppeling tussen identificatiegegevens met de organisatie, het uitgifteproces van een elektronisch identificatiemiddel, het beheer van het middel, de gebruikte techniek en de inrichting van het authenticatieproces. Hoe veiliger het authenticatiemechanisme is, hoe hoger het betrouwbaarheidsniveau van de authenticatie.

Er is een norm in ontwikkeling, NEN 7518, over identificatie en authenticatie. Daarnaast is er een consultatie geweest over het Wetsvoorstel identificatie en authenticatie in de zorg (Wet Diaz) waarop Twiin ook een reactie heeft ingediend. Twiin volgt de ontwikkelingen en zodra passende iautenticatiemiddelen beschikbaar komen, zullen die een plek krijgen in het Twiin Afsprakenstelsel.