mrt 17, 2023 | AVG, Nieuws, Privacy, Pseudonimiseren, Software
Een nieuwe privacy beschermende functie is toegevoegd aan de ZorgTTP Privacy- en Verzendmodule (PVM). De herleidbaarheid van de gepseudonimiseerde data kan hiermee worden beperkt. De functionaliteit is een vorm van Statistical Disclosure Control. Het werkt als een filter op de data in die voor pseudonimisatie wordt aangeboden. Als een variabele of een combinatie van variabelen in het inputbestand te weinig voorkomt, worden deze records niet doorgegeven aan de beoogde ontvanger. De drempelwaarde is per gegevensverwerking in te stellen. In de kwaliteitsrapportage van de verzender maakt de PVM inzichtelijk voor welke records de herleidbaar te groot is. Die worden daarom niet aangeboden voor ontvangst.
De nieuwe functie is een Privacy by Design maatregel waarmee aantoonbaar kan worden voldaan aan de Algemene Verordening Gegevensbescherming (AVG). Reeds bij de databron wordt voorkomen dat te gevoelige data wordt gedeeld op individueel niveau.
Wilt u meer weten? Benader ons dan en we vertellen u met plezier over deze toepassing.
feb 27, 2023 | Digitale certificaten, Nieuws, Pseudonimiseren, Software
Het ZorgTTP pseudonimisatieplatform kent een gelaagd beveiligingsmodel:
- pseudonimisatie van de persoonsgegevens,
- asymmetrische encryptie van bestandsdelen (RSA) en
- verzending via een beveiligde internetverbinding (TLS).
In de tweede laag wordt gebruik gemaakt van PKI certificaten. Lees hier meer over de door ons gehanteerde methode. Het certificaat dat ZorgTTP gebruikt voor de asymmetrische versleuteling van de pseudoniemen – het certificaat van de Centrale Module TTP (CMT) – verloopt op 26 augustus 2023. Daarom gaan we op 25 mei 2023 het huidige certificaat vervangen door een nieuw certificaat. Dit certificaat zal ook weer 3 jaar geldig zijn. Om informatie te kunnen aanleveren, moet er een geldig ZorgTTP-certificaat in de Privacy- en Verzend Module (PVM) beschikbaar zijn.
Wat moet ik doen?
Het bijwerken van het certificaat gaat gelukkig heel eenvoudig! Er is geen update van de software noodzakelijk, dat kan simpelweg door het invoeren van een bevestigingscode in het instellingenscherm van de PVM. Uiteraard kan deze stap ook worden uitgevoerd in de command line. Vanaf 25 mei is het nieuwe certificaat voor u beschikbaar! De bevestigingscode is dan beschikbaar op onze website.
Na 26 augustus moet u eerst het nieuwe certificaat in gebruik nemen alvorens u een aanlevering kunt doen. In maart 2023 ontvangen alle opdrachtgevers van ZorgTTP de voor hen specifieke informatie, de PVM-gebruikers houden we via deze website op de hoogte!
feb 22, 2023 | Software
Dinsdag 21 maart worden tussen 17.00 en 18.00 uur de maandelijkse OS-updates op onze servers van het CMT (Centrale Module TTP) en het TRES-platform opgebracht. Hierdoor zullen CMT en TRES binnen genoemde tijdspanne kortstondig niet bereikbaar zijn.
De planning m.b.t. de Linux/Windows updates voor 2023 is
- 18 april 2023
- 16 mei 2023
- 20 juni 2023
- 18 juli 2023
- 15 augustus 2023
- 19 september 2023
- 17 oktober 2023
- 21 november 2023
- 19 december 2023
Aan het begin van iedere maand wordt de definitieve datum bekend voor de betreffende maand en deze wordt dan op onze website gepubliceerd.
okt 19, 2022 | Informatiebeveiliging, Software
Wat is er aan de hand?
Het Nationaal Cyber Security Center (NCSC) heeft een zogenaamd HIGH/HIGH beveiligingsadvies uitgebracht naar aanleiding van een kwetsbaarheid in Apache Common Text. ZorgTTP heeft onmiddellijk geïnventariseerd welke maatregelen te nemen. Omdat niet aan de criteria wordt voldaan waaronder de kwetsbaarheid uitgebuit kan worden bestaat er geen acuut risico op uitbuiting.
Welke acties heeft ZorgTTP ondernomen?
De volgende acties zijn, in lijn met het advies van het NCSC, sinds bekendmaking van de kwetsbaarheid uitgevoerd.
- Inventarisatie gebruik Apache Common Text (18-10-2022)
- Analyse of wordt voldaan aan de criteria om de kwetsbaarheid uit te buiten (18-10-2022).
- Update Apache Common Text naar versie 1.10.0 (18-10-2022)
Uitkomst van de inventarisatie en daarop volgende analyse is dat het voornaamste criterium voor misbruik de mogelijkheid is om externe input in aanraking te brengen met de kwetsbare component. Dit betekent dat De pseudonimisatiedienst in de componenten PVM (verzendmodule), CMT en DRM (onvangstmodule) wel een kwetsbare versie van Apache Common Text bevat, maar dat:
- De Centrale Module TTP (CMT) van het ZorgTTP pseudonimisatieplatform niet voldoet aan het criterium om de kwetsbaarheid uit te buiten .
- De PVM en DRM clients voor verzenden en ontvangen van te pseudonimiseren gegevens niet voldoen aan het criterium om de kwetsbaarheid uit te buiten.
- Encryptiedienst TRES niet wordt geraakt door dit incident;
Waarom is CMT niet kwetsbaar?
- Er zijn geen internet-facing componenten die direct benaderbaar zijn of die gebruik maken van Apache Common Text.
Waarom zijn de PVM en DRM niet kwetsbaar?
- De software opereert niet als een server die wacht op binnenkomende verzoeken en voldoet daarmee niet aan de eerder genoemde criteria. De PVM of DRM is dus geen server maar een client, die alleen met ZorgTTP contact heeft door dat contact alleen tijdens gebruik zelf actief te leggen.
Vervolgacties
De volgende acties worden momenteel uitgevoerd
- Update naar Apache Common Text naar versie 1.10.0. Er is sinds 18 oktober 2022 een nieuwe versie de PVM en DRM clients beschikbaar met deze versie. Deze zullen via het reguliere releaseproces beschikbaar worden gesteld.
- Op verzoek kunnen versneld nieuwe versies van de PVM en DRM clients versneld beschikbaar worden gesteld.
Indien u vragen heeft naar aanleiding van bovenstaande dan staan wij u graag te woord. Neem contact met ons op via onze servicedesk.
dec 23, 2021 | Informatiebeveiliging, Software
Wat is er aan de hand?
Het Nationaal Cyber Security Center (NCSC) heeft een zogenaamd HIGH/HIGH beveiligingsadvies uitgebracht naar aanleiding van een kwetsbaarheid in Apache Log4J. ZorgTTP heeft onmiddellijk maatregelen genomen en is sinds vrijdag 10 december beschermd tegen misbruik.
Welke acties heeft ZorgTTP ondernomen?
De volgende acties zijn, in lijn met het advies van het NCSC, sinds bekendmaking van de kwetsbaarheid uitgevoerd.
- Inventarisatie gebruik Log4J (10 december)
- Inventarisatie gebruik kwetsbare versie Log4J v2 (10 december)
- Instellen workaround door aanpassing Log4J v2 configuratie (10 december)
- Update CMT met Log4J 2.16.0 (16 december)
- Onderzoek naar de impact van kwetsbaarheid CVE-2021-45046 wijst uit dat er geen extra maatregelen nodig zijn.
- Onderzoek naar de impact van kwetsbaarheid CVE-2021-44832 wijst uit dat er geen extra maatregelen nodig zijn (29 december)
Uitkomst van de inventarisatie is dat:
- Encryptiedienst TRES niet wordt geraakt door dit incident;
- De Centrale Module TTP (CMT) van het ZorgTTP pseudonimisatieplatform gebruik maakt van Log4J v2.
- De client voor verzenden en ontvangen van te pseudonimiseren gegevens maakt gebruik van Log4J v1.2.17, die niet kwetsbaar is voor CVE-2021-44228.
Waarom is de PVM niet kwetsbaar?
De PVM maakt gebruik van versie 1.2.17 van Log4J. De log4j configuratie waarmee ZorgTTP de PVM uitlevert maakt geen gebruik van de JMSAppender of SocketServer. Dat is dan ook de reden dat de kwetsbaarheden CVE-2019-17571 en CVE-2021-4104 geen risico vormen en nu de PVM evenmin kwetsbaar is voor CVE-2021-44228.
De PVM is een client
Omdat de PVM een client is en geen server is deze niet kwetsbaar voor massale uitbuiting door willekeurige en opportunistische aanvallers. Zoals te zien in het diagram voor succesvolle uitbuiting begint de aanval met een HTTP request vanuit de aanvaller aan de kwetsbare software.
Het is niet mogelijk voor een aanvaller de PVM op deze manier te benaderen. De software opereert niet als een server die wacht op binnenkomende verzoeken. De PVM is dus geen server maar een client, die alleen met ZorgTTP contact heeft door dat contact alleen tijdens gebruik zelf actief te leggen.
Waarom is de DRM niet kwetsbaar?
De DRM is net als de PVM geen server maar een client en om dezelfde reden niet kwetsbaar.
Vervolgacties
De volgende acties worden momenteel uitgevoerd
- Update naar een niet-kwetsbare Log4J versie voor alle nieuw uit te geven software.
- Inventarisatie van het gebruik van Log4j in andere, niet productie gerelateerde omgevingen.
Indien u vragen heeft naar aanleiding van bovenstaande dan staan wij u graag te woord. Neem contact met ons op via onze servicedesk.
nov 8, 2021 | Pseudonimiseren, Software
Op 25 oktober is de PVM Nivel versie 5.0 op de downloads-pagina verschenen. U heeft deze versie van de PVM nodig om KNGF 9.0 bestanden aan te kunnen leveren. Als u voor een andere discipline aanlevert, hoeft u niet te updaten maar het kan wel: Als u update profiteert u ook van de oplossingen van gemelde problemen en kleine verbeteringen in de meest recente software.
De nieuwe PVM Nivel 5.0 is te downloaden via https://www.zorgttp.nl/Downloads/#NivelZorgregistraties.
Changes ten opzichte van de voorgaande release
- Systeemvereiste: gebruik ten minste Java versie 11 (wordt bij installatie automatisch voor u geregeld, indien nodig);
- Ondersteunt KNGF 9.0;
- Aanmaken van certificaten verbeterd;
- Probleem opgelost: waarschuwing in de GUI als uw certificaat (bijna) verloopt;
- Probleem opgelost: activatiecode kan maar één keer worden gebruikt en de software voorkomt dubbel gebruik.
