Zes korte blokken
die blijven hangen
Geen theorie op afstand maar voorbeelden uit de praktijk: de e-mail die net echt lijkt, de beller die om een wachtwoord vraagt en de pc die openstaat aan de balie.
Voor wie
Assistenten, baliemedewerkers, praktijkmanagers en behandelaren.
Phishing en neptelefoontjes
Verdachte e-mail, valse facturen en bellers die zich voordoen als leverancier of helpdesk.
Wachtwoorden en verificatie
Sterke wachtwoorden, een wachtwoordmanager en meervoudige verificatie in de dagelijkse praktijk.
Patiëntgegevens veilig delen
Wat wel en niet via e-mail kan en hoe u veilig digitaal communiceert met patiënten en verwijzers.
Balie- en behandelkamer-pc's
Vergrendelen, gedeelde werkplekken, USB-sticks en meekijkende bezoekers.
Incidenten herkennen en melden
Wat is een incident, wat doet u direct en wie belt u. Snel melden beperkt de schade.
Kennistoets en vijf vaste regels
Een korte toets en vijf praktische afspraken die het team vanaf morgen toepast.
Waarom onze zorgpraktijk een populair doelwit is
Aan de balie en in de behandelkamer staat de patiënt op één. Juist die combinatie van haast, behulpzaamheid en medische spoed wordt door aanvallers misbruikt.
1. Tijdsdruk aan de balie
Om 08:30 uur rinkelt de telefoon, staat er een rij aan de balie en wacht de behandelaar. Onder die druk glipt een klik op een neplink of het voorlezen van een code er razendsnel tussendoor.
2. Chantagewaarde (Ransomware)
Als het HIS, AIS of EPD op zwart gaat door gijzelsoftware, ligt de patiëntenzorg direct stil. Criminelen weten dat zorgpraktijken onder enorme druk staan om snel weer operationeel te zijn.
3. Beroepsgeheim & Vertrouwen
Medische dossiers en BSN-nummers vallen onder de zwaarste categorie binnen de AVG en WGBO. Een datalek schaadt direct het vertrouwen dat patiënten in ons team hebben.
De e-mail die net echt lijkt en valse facturen
Criminelen kopiëren logo's van ZorgDomein, VECOZO of uw softwareleverancier één-op-één. Hoe prikt u er binnen 10 seconden doorheen?
3 Signalen van Phishing & Factuurfraude
- Kunstmatige haast & angst: "Uw certificaat verloopt over 2 uur. Klik hier om blokkade van patiëntendossiers te voorkomen."
- Valse facturen / CEO-fraude: Een spoedherinnering van een leverancier met een 'gewijzigd IBAN-nummer', of een mail zogenaamd van de praktijkeigenaar om snel een bedrag over te maken.
- Gevaarlijke bijlagen & QR-codes: Facturen als
.zipof.html, of een verzoek om met uw telefoon een QR-code te scannen om '2FA te herstellen'.
De 10-Seconden Controle
- Zweef met de muis (Hover): Houd uw muispijl op de link zonder te klikken. Eindigt het echte domein vóór de eerste
/niet op de officiële naam? Niet klikken! - Check het volledige afzenderadres: Kijk verder dan de weergavenaam. Staat er
support@zorgdomein-portal-update.com? Dan is het nep. - Gewijzigd rekeningnummer? Verifieer élke IBAN-wijziging of spoedbetaling boven € 250,- altijd telefonisch via een bij ons bekend nummer.
Drie vaste belscripts voor aan de balie
Een echte ICT-helpdesk of leverancier vraagt nooit om uw wachtwoord, een sms/2FA-code of het installeren van meekijksoftware op verzoek van een inkomend telefoontje.
1. 'ICT' vraagt om wachtwoord/code
2. Verzoek om meekijksoftware
3. Leverancier met 'nieuw IBAN'
Sterke wachtzinnen en de wachtwoordmanager
Korte wachtwoorden zoals Zomer2026! worden in milliseconden gekraakt. Gebruik een lange wachtzin voor uw hoofdtoegang en bewaar al uw overige inloggegevens in de wachtwoordmanager.
Waarom een Wachtzin + Kluis?
- De kracht van een wachtzin: Kies 4 willekeurige woorden met een cijfer en teken (minimaal 14 tekens). Makkelijk te onthouden, onmogelijk te raden.
- Wachtwoordmanager als phishing-schild: Onze wachtwoordmanager vult alleen in als het webadres 100% klopt. Op een nepsite blijft het veld leeg!
- Nooit opslaan in Chrome of Edge: Op een gedeelde pc kan iedereen (of een virus) opgeslagen browser-wachtwoorden met één klik uitlezen.
Interactieve Wachtzin-Generator
Klik op de knop om te zien hoe een sterke, makkelijk te onthouden wachtzin voor uw hoofdwachtwoord eruitziet:
Lengte: 30 tekens • Kraaktijd: Miljoenen jaren
2FA: het tweede slot op de deur
Meervoudige verificatie combineert iets dat u weet (wachtwoord) met iets dat u heeft (telefoon, UZI-pas of token). Zelfs als een wachtwoord uitlekt, houdt 2FA de aanvaller buiten het dossier.
1. Hoe werkt het veilig?
Gebruik altijd de goedgekeurde Authenticator-app of fysieke pas. Een app-code of pushmelding is veel veiliger dan een standaard sms-bericht.
2. Pas op voor 'Push-Bombing'
Krijgt u 's avonds op de bank of tijdens de lunch ineens 2FA-verzoeken op uw telefoon: "Inlogverzoek goedkeuren?" terwijl u niet zelf inlogt? Een aanvaller heeft uw wachtwoord en hoopt dat u op 'Goedkeuren' drukt.
3. Vaste handelwijze
Keur alleen een verificatieverzoek goed als u op dat exacte moment zelf voor het scherm zit. Onverwachte melding? Druk op Weigeren en meld het direct bij ICT.
Wat kan wel en niet via gewone e-mail?
Zodra een bericht medische inhoud, een BSN, een klacht, een uitslag, een foto of een verwijsbrief bevat, mag het nooit via gewone e-mail worden verstuurd.
| Situatie / type gegeven | Gewone e-mail | Veilige mail (Zorgmail / Zivver) | Patiëntenportaal / Siilo |
|---|---|---|---|
| Algemene praktijkinformatie, adres of openingstijden | JA | JA | JA |
| Afspraakherinnering zonder medische reden of klacht | JA | JA | JA |
| Medische uitslagen, verwijsbrieven, medicatieoverzichten | NEE, NOOIT | JA (Verplicht) | JA (Voorkeur) |
| BSN-nummer of mondfoto of röntgenopname van patiënt | NEE, NOOIT | JA (Verplicht) | JA (Portaal) |
| Intercollegiaal overleg met foto tussen twee behandelaren | NEE, NOOIT | JA | JA (Siilo) |
Voorkom de vier meest gemaakte fouten
1. De 'Auto-Complete' valkuil (De 3-seconden-check)
U typt "J. Jansen" en Outlook selecteert de verkeerde patiënt met dezelfde naam. Afspraak: Neem vóór elke verzending 3 seconden rust en controleer: (1) Volledig e-mailadres, (2) Aanhef, (3) Juiste bijlage.
2. 'Reply' op een onveilige mail van een patiënt
Stuurt een patiënt via Gmail een foto van een wond? Klik nooit op Beantwoorden (anders stuurt u de foto onversleuteld terug). Antwoord altijd via het patiëntenportaal of start een nieuwe Zorgmail.
3. CC in plaats van BCC bij groepsmail
Zet bij een algemene informatiebrief aan meerdere patiënten nooit adressen in het Aan- of CC-veld, anders zien alle ontvangers van elkaar dat zij patiënt zijn voor die aandoening.
4. Telefonisch uitslagen delen met familie
Ook voor een echtgenoot of ouder (bij kinderen ≥ 16 jaar) geldt het medisch beroepsgeheim. Geef telefonisch geen uitslagen door zonder expliciete toestemming in het dossier.
De openstaande pc en gedeelde werkplekken
Even tien seconden naar de printer of een collega halen terwijl de patiënt in de behandelkamer zit of aan de balie wacht? Een onbeheerd scherm geeft direct inzage in het dossier én de dagagenda.
Waarom direct vergrendelen én eigen inlog?
- Spiergeheugen bij opstaan: Zodra u opstaat van uw stoel: druk op
Windows-toets + L(ofCtrl + Cmd + Qop Mac). Binnen 1 seconde zit het scherm op slot. - Wettelijke logging (NEN 7513): Werk op gedeelde balie-pc's altijd onder uw eigen persoonlijke account. Elke inzage in een patiëntendossier wordt wettelijk op naam geregistreerd.
Oefen de Sneltoets-Simulatie
Klik op de knop hieronder om te zien hoe snel u uw werkplek vergrendelt voordat u wegloopt:
Rust aan de balie en het verbod op USB-sticks
Meekijkende & meeluisterende bezoekers
- Clear Screen & Privacyfilter: Draai monitoren weg van de wachtrij en gebruik anti-meekijkfilters aan de balie.
- Clean Desk: Laat geen verwijsbrieven, labformulieren, recepten of belbriefjes zichtbaar op het balieblad liggen.
- Telefoon-discretie: Noem bij een volle wachtkamer nooit hardop tegelijkertijd de naam, geboortedatum én de medische klacht van de beller.
Waarom NOOIT een USB-stick van een patiënt?
Een USB-stick kan ongemerkt besmet zijn met gijzelsoftware (ransomware) die bij het inpluggen direct het hele praktijknetwerk infecteert.
Wat is een incident en wat doet u in minuut 1?
Waar gewerkt wordt, worden fouten gemaakt. Een verkeerde klik of verkeerd verzonden mail verzwijgen maakt de schade groot; binnen 2 minuten melden houdt de schade klein.
1. Herken het incident
- Op een verdachte phishinglink geklikt of wachtwoord ingevuld.
- Brief of mail naar de verkeerde patiënt gestuurd of meegegeven.
- Werktelefoon, laptop of papieren dossier kwijt/gestolen.
- Vreemde pop-up of vergrendelde bestanden op uw pc.
2. Directe actie (Minuut 1)
- Bij klik op foute link / virusmelding: Trek direct de netwerkkabel uit de pc of zet wifi uit.
- Laat de pc AAN staan: Zet de computer niet uit, zodat ICT eventuele sporen in het geheugen kan onderzoeken.
- Verkeerde Zorgmail? Trek het bericht direct in via de verzonden items.
3. Wie belt u direct?
Wacht nooit tot het einde van het spreekuur. Bel direct:
- De Praktijkmanager (voor registratie & beoordeling datalek).
- De ICT-helpdesk (om bij een lek direct het account of apparaat te blokkeren).
Waarom elke minuut telt bij een datalek
| Tijdlijn | Wie voert dit uit? | Concrete actie om schade te beperken |
|---|---|---|
| 0 – 5 minuten | Medewerker (Assistent / Balie / Behandelaar) | Kabel eruit bij virus/hack, bericht intrekken bij verkeerde mail en direct mondeling/telefonisch melden bij de praktijkmanager en ICT. |
| 5 – 30 minuten | Praktijkmanager & ICT-beheer | Account/wachtwoord resetten, sessies intrekken, of de onjuiste ontvanger van een brief bellen met het verzoek de mail direct te verwijderen. |
| Binnen 24 uur | Praktijkmanager / FG | Vastleggen in het verplichte interne Datalekregister van de praktijk en evalueren hoe herhaling wordt voorkomen. |
| Binnen 72 uur | Praktijkmanager / FG | Wettelijke termijn om (indien er een ernstig risico is voor de patiënt) melding te doen bij de Autoriteit Persoonsgegevens (AP). |
Interactieve kennistoets: acht praktijksituaties
Klik per situatie op het juiste antwoord (A of B) om uw score te bekijken. Score: 0 / 8
1. Patiënt met USB-stick aan de balie
Een patiënt vraagt of u zijn USB-stick met foto's uit het buitenland in de balie-pc wilt zetten.
2. Even 5 meter uit de behandelkamer
U loopt kort naar de gang voor overleg. De patiënt zit nog in de behandelkamer.
3. 'ICT' belt tijdens druk spreekuur
De beller vraagt om de 6-cijferige code die net op uw telefoon verscheen.
4. Verwijsbrief naar verkeerde 'Jansen'
U ziet direct na verzenden dat de verkeerde patiënt is geselecteerd.
5. Patiënt mailt onveilig foto + BSN
Een patiënt stuurt via Hotmail een foto van een ontstoken kies en vraagt advies.
6. Onverwachte 2FA-melding 's avonds
Om 21:00 uur thuis vraagt uw Authenticator-app om een login goed te keuren.
7. Partner belt voor bloeduitslag
De echtgenoot van mevrouw Van Dijk vraagt telefonisch naar haar behandelplan.
8. Collega nog ingelogd aan de balie
De balie-pc staat nog op het account van een collega en er wacht een patiënt.
Drie korte rollenspellen voor op de werkvloer
Kies in tweetallen één situatie en oefen het gesprek hardop (3 minuten per ronde).
1. De gehaaste patiënt met USB-stick
Patiënt: "Hier staan mijn MRI-beelden uit Oostenrijk op. Mijn vorige arts stak die stick er altijd gewoon even in, waarom doet u zo moeilijk?"
2. De dwingende 'ICT-medewerker'
Beller: "Ik heb net met jullie praktijkmanager gesproken. Als je me nu niet de 6-cijferige code geeft, valt jullie hele agenda over 5 minuten uit!"
3. Collega aanspreken op open pc
Situatie: Een behandelaar of assistent loopt even naar de koffiekamer terwijl het EPD aan de balie of in de behandelkamer nog wagenwijd openstaat.
Onze vijf vaste regels vanaf morgen
Deze vijf praktische afspraken passen we vanaf morgen als team elke dag toe — en we helpen elkaar eraan herinneren.
Weg van je plek = Scherm op slot (Win + L)
Geen enkele pc aan de balie of in de behandelkamer staat onbeheerd open, ook niet voor tien seconden. En we werken altijd onder ons eigen account.
Medische gegevens gaan nóóit via gewone e-mail
We communiceren uitsluitend via het patiëntenportaal of beveiligde zorgmail (Zorgmail/Siilo) en doen altijd de 3-seconden-check op geadresseerde en bijlage.
Wachtwoorden en 2FA-codes zijn strikt privé
We geven nooit wachtwoorden of codes door aan bellers, slaan niets op in de internetbrowser en bewaren wachtwoorden uitsluitend in onze wachtwoordmanager.
Geen vreemde USB-sticks in onze pc's
Externe USB-sticks van patiënten of derden gaan nooit in een balie- of behandelkamer-pc. Bestanden worden veilig digitaal aangeleverd.
Twijfel of foutje gemaakt? Direct melden!
Op een verdachte link geklikt of verkeerd gemaild? We melden het binnen enkele minuten bij de praktijkmanager en ICT — zonder verwijten, want snel melden beperkt de schade.
Implementatie-checklist na deze training
Vink deze vijf technische en organisatorische maatregelen samen met het ICT-beheer af: