Append-only auditlogs: waarom onwisbaarheid vertrouwen schept

Een append-only auditlog is een logboek waar je alleen regels aan kunt toevoegen — nooit een bestaande regel wijzigen of wissen. Elke handeling (wie deed wat, wanneer, met welk gegeven) komt er als een nieuwe, vaste regel bij; corrigeren doe je door een nieuwe regel toe te voegen, niet door de geschiedenis te herschrijven. Die onwisbaarheid is precies wat vertrouwen schept. Een logboek dat je achteraf kunt aanpassen bewijst namelijk niets: wie kwaad wil, wist gewoon het spoor van zijn eigen misstap. Een append-only log kan dat niet — sabotage laat altijd een zichtbaar litteken achter. Daarom eist de zorg logging die je niet ongemerkt kunt veranderen: NEN 7513 schrijft voor dat logregels niet wijzigbaar of wisbaar mogen zijn zonder spoor, en noemt append-only opslag als een manier om dat te bereiken [1]. Kort gezegd: append-only maakt van een logboek een bewijsstuk. Niet omdat het netjes oogt, maar omdat je erop kunt bouwen als het erop aankomt — bij een klacht, een datalek of een inspectie.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Wat is een append-only auditlog?

Een auditlog is een logboek dat bijhoudt wie wat wanneer met gegevens of met een systeem heeft gedaan. "Append-only" (alleen-toevoegen) zegt iets over hóe dat logboek werkt: je kunt er uitsluitend nieuwe regels aan toevoegen. Een bestaande regel aanpassen of verwijderen kan niet — niet voor een gewone gebruiker, en idealiter voor niemand.

Vergelijk het met een kasboek in inkt versus een kladblok met potlood. Een fout in het potloodschrift gum je uit; niemand ziet later dat er iets veranderde. In het inktboek streep je de fout door en schrijf je de correctie eronder — de oude regel blijft leesbaar. Een append-only auditlog is dat inktboek: corrigeren mag, maar altijd zichtbaar en altijd als toevoeging.

Technisch kan dat op twee manieren. Met opslag die schrijven en lezen toestaat maar geen overschrijven (in vakjargon WORM: write once, read many). Of door elke regel te koppelen aan een cryptografische samenvatting — een hash — van de vorige regel, zodat elke stiekeme wijziging de hele keten breekt en dus opvalt. NEN 7513 noemt beide richtingen: append-only opslag óf hashing om logregels tegen ongemerkte wijziging te beschermen [1].

Waarom onwisbaarheid vertrouwen schept

De waarde van een logboek zit niet in het bestaan ervan, maar in de vraag of je erop kunt vertrouwen. En daar wringt het bij een gewoon, wijzigbaar log. Stel: een medewerker kijkt zonder reden in het dossier van een bekende. Het systeem logt dat keurig. Maar als diezelfde medewerker (of een beheerder) achteraf die ene regel kan wissen, dan is het bewijs precies weg op het moment dat je het nodig hebt. Een log dat je kunt herschrijven, beschermt niet de patiënt maar de dader.

Onwisbaarheid draait die logica om. Het Nationaal Cyber Security Centrum wijst erop dat loginformatie kan dienen als rechtsgeldig bewijsmateriaal om onrechtmatig handelen aan te tonen — maar dat die bewijskracht wegvalt zodra logs niet goed beschermd zijn: een aanvaller die logbestanden kan wijzigen of verwijderen, maakt zelfs een grondig forensisch onderzoek lastig [6]. Append-only is het antwoord op precies dat gat. Doordat de geschiedenis niet te herschrijven is, betekent "het staat niet in het log" ook echt "het is niet gebeurd" — en niet "iemand heeft het weggepoetst".

Dat is de kern van waarom onwisbaarheid vertrouwen schept: het verplaatst vertrouwen van personen naar het systeem. Je hoeft niet te geloven dat niemand aan het log heeft gezeten — je kunt het zien.

Wat de zorg wettelijk eist: NEN 7513 en de Wabvpz

Voor de zorg is dit geen vrijblijvende best practice. Sinds 1 juli 2020 hebben patiënten via de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) het recht om te weten wie hun dossier heeft ingezien. De bijbehorende nadere regels — vastgelegd in Staatscourant 2019, nr. 38007 — maken logging van elektronische dossiers wettelijk verplicht en stellen een minimale bewaartermijn van vijf jaar, gerekend vanaf het moment dat een logregel wordt geschreven [2].

De norm die uitwerkt hóe die logging eruit moet zien, is NEN 7513. Waar NEN 7510 zegt "je moet loggen", zegt NEN 7513 "en zó doe je dat". Per logregel moet vastliggen wie de handeling deed, wanneer, wat er gebeurde (een dossier openen, wijzigen, exporteren of printen) en om welke patiënt het ging [1]. En cruciaal voor dit onderwerp: die logregels mogen niet wijzigbaar of wisbaar zijn zonder dat het een spoor achterlaat. Append-only opslag of hashing is de manier waarop de norm dat concreet maakt [1]. De onwisbaarheid uit de intro is dus niet iets extra's dat een leverancier verzint — het is de letterlijke bedoeling van de norm.

NEN 7510: logs beschermen tegen manipulatie

NEN 7510, de overkoepelende norm voor informatiebeveiliging in de zorg, gaat een stap verder dan alleen "leg het vast". De norm vraagt dat de logs zélf beschermd zijn. Concreet: alleen geautoriseerde personen mogen logs inzien, en élke keer dat iemand de loggegevens raadpleegt, moet dat op zijn beurt óók gelogd worden [3]. Zo ontstaat een log-over-het-log: zelfs het bekijken van het bewijs laat een spoor na.

Andersom benoemt de norm het ontbreken hiervan als een tekortkoming: logs die door gebruikers gewijzigd of verwijderd kunnen worden, gelden nadrukkelijk als een zwakke plek [3]. Ook de bewaring telt mee — loggegevens over toegang tot patiëntgegevens moeten langdurig bewaard blijven, vaak zeven jaar, in lijn met andere bewaarplichten in de zorg [3]. Onwisbaarheid en bewaartermijn horen bij elkaar: een log dat na een maand wordt overschreven, is bij een laat ontdekt incident net zo waardeloos als een gewist log.

Voor wie een leverancier beoordeelt, is dit een van de scherpste vragen die je kunt stellen: kan iemand — een beheerder, de leverancier, een aanvaller — een regel uit het auditlog verwijderen zonder dat het opvalt? Het is niet toevallig een van de vaste vragen in de beveiligingsvragenlijst die je IT-afdeling stelt aan een AI-scribe.

Wat er misgaat: de OLVG-boete

Hoe belangrijk logging in de praktijk is, blijkt uit de boete die de Autoriteit Persoonsgegevens (AP) aan het Amsterdamse OLVG oplegde. In februari 2021 werd bekend dat het ziekenhuis 440.000 euro moest betalen, omdat het over de periode 2018–2020 te weinig had gedaan om te voorkomen dat onbevoegde medewerkers medische dossiers konden inzien [5].

Het interessante zit in de precieze verwijten. Het OLVG lógde wel keurig wie welk dossier opende — dat was het probleem niet. Het probleem was dat het ziekenhuis die logging veel te weinig controleerde. De AP rekende voor dat er tussen 1 januari 2018 en 17 april 2019 slechts acht incidentele controles en twee proactieve steekproeven waren uitgevoerd, en noemde dat "ver en duidelijk onvoldoende" om ongeoorloofde toegang tijdig te ontdekken [4]. Daarnaast ontbrak tweefactorauthenticatie [4].

De les is dubbel. Een auditlog is een noodzakelijke voorwaarde, maar niet vanzelf voldoende. En een auditlog die je niet kunt vertrouwen geeft schijnzekerheid: alleen een log dat niet stilletjes is aangepast, vertelt bij zo'n controle de waarheid.

Bewaren is niet genoeg: je moet ook controleren

De OLVG-zaak legt het scharnierpunt bloot. Onwisbaar bewaren beschermt het bewijs; controleren zet dat bewijs om in bescherming van de patiënt. De AP is daar helder over: het toezicht op toegangslogging moet systematisch en consequent gebeuren. Alleen af en toe een steekproef, of pas kijken als er een klacht binnenkomt, is onvoldoende [7].

Een goede append-only auditlog maakt die controle juist haalbaar. Doordat de geschiedenis compleet en betrouwbaar is, kun je er systematisch overheen zoeken: valt het op dat iemand een dossier opent zonder behandelrelatie? Wordt er buiten kantoortijden geëxporteerd? Het log is dan geen archiefdoos die je hoopt nooit open te hoeven maken, maar een levend controle-instrument. Dat is ook waarom onwisbaarheid en veilige, geverifieerde apparaatkoppelingen elkaar versterken: als je zeker weet wélk apparaat en wélke gebruiker een regel schreef, wordt het log niet alleen onwisbaar maar ook eenduidig toe te wijzen.

In Verbinn is de append-only auditlog daarom geen los extraatje maar onderdeel van hoe een verslag ontstaat: elke goedkeuring, wijziging en export komt er als een vaste, niet te wissen regel bij, naast het privacy-paspoort in elke export. Het blijft een voorbeeld, geen definitie — het principe geldt voor elke serieuze verwerker van zorggegevens, welk merk er ook op staat.

Checklist: waar herken je een goede auditlog aan?

Beoordeel je een systeem op zijn auditlog, loop dan deze punten langs:

• Alleen toevoegen. Kan een bestaande regel worden gewijzigd of gewist — door wie dan ook — zonder dat het opvalt? Zo ja, dan is het geen append-only log en levert het geen betrouwbaar bewijs [1].
• Compleet per regel. Staat er bij elke handeling wie, wat, wanneer en om welke persoon het ging? Gaten in het log zijn gaten in je verantwoording [1].
• Beschermd tegen inzage. Mogen alleen geautoriseerden het log lezen, en wordt dat inzien zélf ook gelogd [3]?
• Lang genoeg bewaard. Blijft het log minstens de wettelijke termijn bewaard — vijf jaar per regel, in de zorgpraktijk vaak langer [2][3]?
• Bruikbaar voor controle. Kun je er systematisch en consequent overheen zoeken, of is het een onleesbare berg die je alleen na een incident opengraaft [7]?

Scoort een systeem op deze punten, dan heb je geen dood archief maar een levend bewijsstuk. Daar draait een append-only auditlog om: niet de belofte dat er nooit iets misgaat, maar de zekerheid dat je achteraf precies kunt zien wat er wél gebeurde — en dat niemand dat ongemerkt heeft kunnen veranderen.