Viðfangsefni 4.2 — Auðkenna- og aðgangsstýring

Í heilbrigðis- og velferðarþjónustu er stjórn á því hver má sjá og gera hvað með skrá sjúklings ekki upplýsingatæknirútína heldur grundvallarákvarðandi þáttur klínísks öryggis, trúnaðar og almannatrausts.

Hvers vegna þetta skiptir máli í heilbrigðis- og velferðarþjónustu#

Sérhver klínísk ákvörðun hvílir á þeirri forsendu að skráin fyrir framan klínískan starfsmann sé rétta skráin, tilheyri réttum sjúklingi og hafi verið nálguð af réttri manneskju. Auðkenna- og aðgangsstýring (IAM) er vélbúnaðurinn sem gerir þessar þrjár forsendur sannar. Þegar hún virkar sér sjúkraflutningamaður ofnæmi í tæka tíð, verndarathugasemd nær aðeins til þeirra sem þurfa hana og endurskoðunarslóð getur svarað spurningunni „hver skoðaði þessa skrá og hvers vegna?“. Þegar hún bregst verða sjúklingar fyrir skaða vegna skráa sem opnaðar eru undir röngu nafni, starfsfólk snuðrar um ættingja eða frægt fólk og traust á öllu stafræna fyrirtækinu rýrnar.

Heilbrigðis- og velferðarþjónusta hækkar hagsmunina umfram venjulegt fyrirtækjatilvik á þrjá vegu. Í fyrsta lagi eru gögnin meðal þeirra viðkvæmustu sem manneskja mun nokkru sinni mynda — geðheilsa, kynheilsa, vímuefnanotkun, kynvitund, verndaráhyggjur — svo trúnaðarbrot er ekki óþægindi heldur varanlegur skaði. Í öðru lagi er vinnuaflið hreyfanlegt, í snúningi og þverskipulagslegt: unglæknar snúast á nokkurra mánaða fresti, afleysinga- og tímabundið starfsfólk kemur í eina vakt og samþætt umönnun þýðir að héraðshjúkrunarfræðingur kann að þurfa lögmætt sjúkrahússskrá. Í þriðja lagi er umönnunarskyldan miskunnarlaus gagnvart núningi: aðgangsstýring sem er of hæg klukkan þrjú um nótt í endurlífgun er sjálf öryggishætta. IAM í þessum geira er því stöðug samningaviðræða milli þess að læsa gögn niður og að hleypa réttu manneskjunni inn hratt.

Þetta viðfangsefni fjallar um dýpt aðgangsstýringar sem situr undir víðari skyldunum í Viðfangsefni 1.7 — Upplýsingastjórnarhættir, gagnavernd og netöryggi. Þar sem það viðfangsefni setur lagalega og skipulagslega rammann — UK General Data Protection Regulation, Data Security and Protection Toolkit, trúnaðarskylduna — snýst þetta um áþreifanlegan vélbúnað þess að sanna auðkenni og veita minnsta aðgang sem þarf til að sinna starfinu.

Lykilhugtök#

Auðkenna- og aðgangsstýring er fræðigreinin og safn tækni sem tryggja að réttir einstaklingar hafi réttan aðgang að réttum auðlindum á réttum tíma, og að hægt sé að sanna það eftir á. Hún hvílir á greinarmun sem er auðvelt að þoka og hættulegt að glata: muninum á auðkenningu og heimildaveitingu.

Auðkenning (authentication) svarar „ert þú sá sem þú segist vera?“. Hún er sönnuð með þáttum: eitthvað sem þú veist (lykilorð eða PIN), eitthvað sem þú átt (snjallkort, sími, vélbúnaðarlykill) og eitthvað sem þú ert (fingrafar eða andlit). Heimildaveiting (authorization) svarar annarri spurningu — „nú þegar við vitum hver þú ert, hvað máttu sjá og gera?“. Yfirlæknir og móttökuritari geta bæði auðkennt sig fullkomlega vel, en þeir hafa heimild til mjög ólíkra hluta skrár. Að rugla þessu tvennu leiðir til kerfa sem athuga auðkenni sterkt og láta síðan alla sjá allt.

Heimildaveiting í heilbrigðis- og velferðarþjónustu er yfirleitt skipulögð sem hlutverkabundin aðgangsstýring (RBAC), þar sem heimildir festast við hlutverk — „hjúkrunarfræðingur á bráðamóttöku“, „heimilislæknir“, „læknaritari“ — og fólk erfir heimildir með því að gegna hlutverki, frekar en að fá réttindi veitt eitt og eitt. RBAC er stjórnað af reglunni um minnstu forréttindi: hver manneskja, og hver kerfisreikningur, ætti að hafa lágmarks aðgang sem þarf til starfsins og ekkert meira. Minnstu forréttindi takmarka bæði slysamistök og sprengiradíus skerts reiknings.

Nútímaauðkenning styrkir „sannaðu hver þú ert“ skrefið með fjölþátta auðkenningu (MFA), sem sameinar tvo eða fleiri þætti svo stolið lykilorð eitt og sér sé ekki nóg. Hún dregur úr núningi með einskráningu (SSO), þar sem ein auðkennd lota veitir aðgang að mörgum forritum án endurtekinna innskráninga — ósvikinn öryggisávinningur þegar klínískur starfsmaður verður að færa sig milli tylftar kerfa á klukkustund. Einskráning yfir skipulagsmörk reiðir sig á sambandsauðkenni (federated identity): ein skipulagsheild ábyrgist notanda svo önnur geti treyst honum án þess að halda skilríkjum hans.

Lagnir sambandsauðkennis og nútímaauðkenningar eru byggðar á opnum stöðlum. OAuth er staðall fyrir framselda heimildaveitingu — að leyfa forriti að starfa fyrir þína hönd án þess að afhenda lykilorðið þitt. OpenID Connect leggur auðkenningu ofan á OAuth svo forrit geti lært hver notandinn er, og eldra, XML-byggða Security Assertion Markup Language (SAML) gerir svipað fyrir fyrirtækjaeinskráningu. Lífsferill auðkennis — veiting, breyting og afturköllun aðgangs þegar fólk byrjar, flytur og hættir — er sinnt af útvegunarferlum, almennt kölluð byrjendur/flytjendur/hætti (joiners/movers/leavers, JML).

Stefnumótandi þróunarátt er núll-trausts arkitektúr: forsendan að enginn notandi eða tæki sé traustvert einungis vegna þess að það situr innan netsins. Sérhver beiðni er auðkennd, heimiluð og athuguð gegn samhengi — ástandi tækis, staðsetningu, viðkvæmni gagna — frekar en að treysta á hert jaðarsvæði. Í geira þar sem starfsfólk vinnur frá stofum, heimilum, sjúkrabílum og samstarfsstöðum hefur jaðarinn í reynd leyst upp, og núll-traust nefnir heiðarlegu viðbrögðin við því.

Bestu starfsvenjur#

1. Meðhöndlaðu auðkenningu og heimildaveitingu sem aðskildar hönnunarákvarðanir. Ákveddu fyrst hve sterkt þú verður að sanna auðkenni fyrir tiltekið kerfi, og sérstaklega hve fínt þú verður að stýra því sem hvert hlutverk getur síðan gert. Sterk innskráning á kerfi sem gefur öllum fullan aðgang er fölsk huggun, og fínkornaðar heimildir á bak við veikt lykilorð eru jafn holar. Skjalaðu báðar ákvarðanir skýrt fyrir hvert klínískt kerfi, og endurskoðaðu þær þegar gagnaviðkvæmni eða notendahópur breytist.

2. Láttu hlutverkabundna aðgangsstýringu speglast við raunveruleg klínísk hlutverk, haltu henni síðan hreinni. Hannaðu hlutverk kringum hvernig umönnun er í raun veitt — ekki kringum skipulagsrit eða duttlunga sjálfgefinnar stillingar birgis — og kortleggðu hvert hlutverk á lágmarks skrár og aðgerðir sem það þarf. Með tímanum rýrnar RBAC í „hlutverkasprengingu“, þar sem hundruð skarastra hlutverka safnast og enginn getur sagt hvað nokkurt þeirra veitir. Tímasettu reglubundna hlutverkahagræðingu, og stenst freistinguna að leysa hverja aðgangsbeiðni með því að slá nýtt sérhæft hlutverk.

3. Beittu minnstu forréttindum á fólk og vélareikninga jafnt. Minnstu forréttindum er reglulega beitt á klíníska starfsmenn og síðan gleymd fyrir þjónustureikningana, samþættingarvélarnar og skýrslutólin sem oft hafa víðasta aðganginn af öllum. Sjálfvirkt viðmót sem dregur gögn fyrir mælaborð þarf sjaldan skrifaðgang eða persónugreinanlegan frjálsan texta, en fær hann oft samt. Skráðu ómannleg auðkenni, þrengdu umfang þeirra og snúðu skilríkjum þeirra samkvæmt áætlun.

4. Skyldaðu fjölþátta auðkenningu fyrir fjar- og forréttindaaðgang, og veldu þætti sem henta umhverfinu. Lykilorð ein og sér eru ekki lengur varin fyrir neitt sem nær sjúklingagögnum utan treysts tækis, og MFA er nú grunnvænting yfir NHS-kerfi. Veldu þætti sem lifa af klíníska umhverfið: vélbúnaðarlykla eða vettvangsauðkennara sem standast vefveiðar fyrir forréttinda- og fjaraðgang, og farðu varlega með SMS-kóða á deildum þar sem sambandið er slæmt og símar eru sameiginlegir. Vegðu öryggisávinninginn gegn þeim veruleika að klínískur starfsmaður í miðri endurlífgun getur ekki fumað eftir öðrum þætti.

5. Notaðu einskráningu til að fjarlægja núning sem ýtir starfsfólki í átt að óöruggum krókaleiðum. Þegar starfsfólk verður að skrá sig sérstaklega inn í tíu kerfi skrifar það lykilorð á miða, deilir snjallkortum og skilur eftir opnar lotur — hvert öryggis- og trúnaðaráhætta. Vel útfærð einskráning, helst samanlagt við „banka inn, banka út“ nálægðarskírteini á sameiginlegum klínískum vinnustöðvum, bætir bæði öryggi og gefur klínískum starfsmönnum tíma til baka. Meðhöndlaðu einskráningu sem sjúklingaöryggisinngrip, ekki bara þægindi, og mældu innskráningartímann sem þú fjarlægir.

6. Nútímavæddu NHS-auðkenni handan snjallkortsins, án þess að brjóta það sem virkar. NHS Care Identity Service (áður Care Identity Service og, fyrir það, Registration Authority fyrirkomulagið byggt á snjallkortum) auðkennir NHS-starfsfólk og knýr aðgang að landskerfum eins og Spine. Landsstefnan er nú í átt að nútímalegri, staðlabyggðri auðkenningu — CIS2 með MFA og OpenID Connect — sem dregur úr háðinni á líkamleg snjallkort og kortalesara sem bila, eru deild eða hindra umönnun. Skipuleggðu flutning þinn vísvitandi: haltu tryggingar- og skráningarstrangleika snjallkortslíkansins meðan þú tekur upp sveigjanleika nútímatákna.

7. Rektu byrjendur/flytjendur/hætti sem stýrt, endurskoðanlegt ferli — sérstaklega hætti. Algengasta alvarlega IAM-bilunin í heilbrigðis- og velferðarþjónustu er reikningurinn sem lifir lengur en þörf manneskjunnar á honum: snúni unglæknirinn, farni afleysingahjúkrunarfræðingurinn, verktakinn þar sem aðgangur var aldrei afturkallaður. Sjálfvirknivæddu útvegun frá viðurkenndum uppruna (venjulega rafrænu starfsmannaskránni) svo að byrja, breyta og enda hlutverk kveiki samsvarandi aðgangsbreytingu innan skilgreinds, stutts glugga. Meðhöndlaðu afturköllun samdægurs fyrir hætti og starfsfólk í rannsókn sem harða kröfu, ekki metnað.

8. Endurstaðfestu aðgang reglulega og gerðu stjórnendur ábyrga fyrir því. Aðgangur sem var viðeigandi á fyrsta degi rekur þegar fólk breytir teymum og safnar réttindum sem það þarf ekki lengur — „forréttindaskrið“. Rektu reglubundnar aðgangsyfirferðir (endurstaðfestingu) þar sem ábyrgur stjórnandi eða kerfiseigandi staðfestir virkt að hver manneskja þarfnist enn hvers réttinda, með þögn sem sjálfgefið fyrir fjarlægingu frekar en varðveislu. Gerðu yfirferðina marktæka með því að setja hana fram á látlausu klínísku hlutverkamáli, ekki hráum heimildakóðum sem enginn stjórnandi getur túlkað.

9. Stýrðu forréttindaaðgangi sem sérflokki. Stjórnendur, gagnagrunnseigendur og innviðaverkfræðingar geta lesið eða breytt hverri skrá og slökkt á stýringunum sem vernda hana, svo aðgangur þeirra þarfnast sterkari meðferðar en venjulegra notenda. Innleiddu forréttindaaðgangsstjórnun: aðskildu stjórnandaauðkenni frá daglegum reikningum, veittu hækkuð réttindi rétt-í-tíma og tímabundin frekar en fastan aðgang og skráðu forréttindalotur fyrir óháða yfirferð. Láttu aldrei birgi eða „brjóta-glerið“ reikning verða varanlegan, óvaktaðan aðallykil.

10. Gerðu hverja aðgangsákvörðun endurskoðanlega, og lestu endurskoðunina í raun. Aðgangsstýring sem ekki er hægt að yfirfara eftir á er aðeins hálf stýring; hæfileikinn til að svara „hver nálgaðist þessa skrá, hvenær og á hvaða grunni?“ undirbyggir bæði trúnaðarrannsóknir og sjúklingaöryggi. Stilltu tæmandi, innsiglisvarða endurskoðunarskráningu, og — mikilvægt — fjármagnaðu fyrirbyggjandi endurskoðun, þar með talin viðvörun fyrir sjálfsuppflettingar, uppflettingar samstarfsmanna eða þekktra einstaklinga (VIP) og óvenjulegt aðgangsmagn. Endurskoðunarslóð sem enginn skoðar fælir engan.

11. Hannaðu brjóta-glerið aðgang svo neyðartilvik séu þjónað og misnotkun sé gripin. Klínískir starfsmenn þurfa stundum lögmætt skrá sem þeir hafa ekki venjulega heimild til að sjá — meðvitundarlaus sjúklingur, þverskipulagslegt neyðartilvik. Bjóddu skýra „brjóta-glerið“ leið sem veitir neyðaraðgang með skyldubundinni ástæðu, tafarlausri flaggun og skyldubundinni yfirferð eftir á, frekar en að neyða starfsfólk til að velja milli reglnanna og sjúklingsins. Markmiðið er að gera örugga neyðaraðgerð auðvelda og óréttlætanlega sýnilega.

12. Taktu upp núll-traust sem stefnu, og raðaðu því hagnýtt. Færðu þig frá „treystu neti, opið inni“ í átt að því að staðfesta hverja beiðni gegn auðkenni, ástandi tækis og samhengi, svo skert fartölva á fyrirtækjaLAN sé ekki lengur sjálfkrafa treyst. Þetta er margra ára ferðalag gegnum sterkt auðkenni, tækjareglufylgni, skilyrtan aðgang og örskiptingu — ekki vara sem þú kaupir. Raðaðu því á eftir grunnatriðunum (MFA, minnstu forréttindi, hrein JML), og samræmdu við eignarvinnuna í Viðfangsefni 4.0 — Tæknilegur arkitektúr, ský og arfakerfi.

Spurningar til að ræða með teyminu#

1. Hvar erum við vísvitandi að skipta aðgangsnúningi á móti klínísku öryggi, og hver ákvað jafnvægið? Sérhver aukainnskráning, annar þáttur eða heimildaveitingarskref verndar trúnað en kostar sekúndur sem í neyðartilviki eru sjálfar öryggisáhætta. Þessi spurning knýr teymið til að nefna tilteknu staðina þar sem öryggisstýringar gætu tafið umönnun — endurlífgunarinnskráninguna, sameiginlegu deildarvinnustöðina, kerfið utan dagvinnutíma — og að spyrja hvort núverandi jafnvægi var valið af fólki sem skilur bæði klínískar og öryggisafleiðingar, eða sjálfgefið í stillingu birgis. Þrætið um spennuna heiðarlega: of þétt stýring knýr lykilorð á miða og sameiginleg snjallkort sem eru verri en áhættan sem þau taka á, meðan of laus býður snuðri og brotum. Leitið að áþreifanlegum merkjum um slæmt jafnvægi — starfsfólk sem deilir skilríkjum, lotur skildar eftir opnar, brjóta-glerið notað að jafnaði. Gott svar greinir hver á hverja málamiðlun, sýnir að klínískir starfsmenn voru í herberginu þegar hún var sett og bendir á mælda innskráningartíma og krókaleiðahlutföll frekar en forsendur. Það skuldbindur sig líka til að endurskoða jafnvægið þegar hlutverk, kerfi og ógnir breytast.

2. Hversu viss erum við um að hættir eða flytjandi missir réttan aðgang, á réttum tímaramma, í hvert skipti? Reikningurinn sem lifir lengur en þörf hans er klassíska IAM-bilunin, og í snúnings-, þverskipulagslegu heilbrigðisvinnuafli er áhættan bráð. Þessi spurning kannar hvort byrjendur/flytjendur/hætti er áreiðanlegt, sjálfvirkt ferli knúið frá viðurkenndum uppruna, eða safn handvirkra tölvupósta sem hljóðlega bregðast þegar einhver er önnum kafinn. Ræðið erfiðu tilfellin: unglæknirinn sem snýst milli samsteypa, afleysingahjúkrunarfræðingurinn í eina vakt, verktakinn, starfsmaðurinn sem er settur í leyfi meðan á rannsókn stendur. Íhugið hvað „réttur tímarammi“ merkir fyrir hvert — afturköllun samdægurs er ófrávíkjanleg fyrir leyfissetningu en kann að vera mýkri fyrir venjulegan innri flutning. Gott svar getur bent á sönnunargögn, ekki ásetning: síðustu niðurstöður hættaúttektar, fjölda aðgerðalausra reikninga fundinn og lokað, tímann milli þess að einhver fer og aðgangur hans lýkur. Það er heiðarlegt um bilin og nefnir hver ber ábyrgð á að loka þeim.

3. Þegar eitthvað fer úrskeiðis með skrá, getum við í raun endurgert hver gerði hvað – og myndum við taka eftir misnotkun án þess að atvik kveiki á okkur? Endurskoðun er stýringin sem gerir trúnað og öryggi framfylgjanleg eftir á, en hún virkar aðeins ef skrárnar eru tæmandi, verndaðar og ósvikið yfirfarnar. Þessi spurning aðskilur tvennt sem teymi rugla oft: hæfileikann til að rannsaka viðbragðsbundið þegar kvörtun berst og getuna til að greina misnotkun fyrirbyggjandi áður en nokkur kvartar. Kannið hvað skrár ykkar fanga í raun, hvort hægt sé að breyta þeim, hve lengi þær eru geymdar og — erfiðari spurningin — hver skoðar þær þegar ekkert atvik er. Íhugið raunhæfu ógnirnar: starfsmaður sem flettir upp fjölskyldumeðlimi, samstarfsmanni eða opinberri persónu; skertur reikningur sem lekur skrám í stórum stíl. Gott svar sýnir að endurskoðun er fjármögnuð sem virk starfsemi með viðvörunum, ekki sofandi skjalasafn, og getur vitnað í raunverulegt dæmi um misnotkun sem skipulagsheildin greindi og brást við. Það tengir líka endurskoðun við sanngirni, og tryggir að yfirferðir beinist ekki óhóflega að tilteknum starfsmannahópum.

4. Þegar klínískur starfsmaður þarfnast lögmætt skrá sem hann hefur ekki venjulega heimild til að sjá, gerir brjóta-glerið leið okkar örugga aðgerð auðvelda og óréttlætanlega sýnilega? Heilbrigðis- og velferðarþjónusta er ólík venjulegri fyrirtækjaupplýsingatækni einmitt því reglurnar verða stundum að víkja fyrir sjúklingnum fyrir framan þig — meðvitundarlaus komumaður, þverskipulagslegt neyðartilvik, klínískur starfsmaður utan dagvinnutíma sem sinnir ókunnugum sjúklingafjölda. Þessi spurning spyr hvort neyðaraðgangur er hannaður sem skýr, rökstudd, flaggað leið, eða hvort starfsfólk er hljóðlega neytt til að velja milli aðgangsstefnunnar og velferðar sjúklingsins. Kannið bilunarhættina í báða enda: brjóta-glerið leið svo þung að klínískir starfsmenn forðast hana og deila skilríkjum í staðinn, eða svo núningslaus og óyfirfarin að hún verður venjulega leiðin inn og holar RBAC alveg. Ræðið hver yfirfer brjóta-glerið atburði, hve hratt og hvaða hlutfall reynist óréttlætanlegt — hlutfall nálægt núlli kann að þýða að stýringin sé ónotuð frekar en hrein. Gott svar getur lýst nákvæmum skrefum sem klínískur starfsmaður tekur, ástæðuskráningunni, tafarlausri flaggun til heimaskipulagsheildar skráarinnar og yfirferðinni eftir á sem lokar lykkjunni, og getur sýnt að neyðartilvik séu ósvikið þjónuð og misnotkun ósvikið gripin. Það er heiðarlegt um hvort brjóta-glerið magn stefnir í átt sem bendir á dýpra heimildabil.

5. Stýrum við forréttinda- og ómannlegum aðgangi jafn þétt og við stýrum klínískum starfsmönnum – eða er það þar sem raunverulega afhjúpunin liggur? Stýringarnar sem vernda sjúklingagögn eru sjálfar stjórnaðar af einhverjum, og stjórnendur, gagnagrunnseigendur, samþættingarvélar og skýrslureikningar geta oft lesið eða breytt hverri skrá og slökkt á verndunum sem takmarka alla aðra. Þessi spurning dregur fram í ljósið aðganginn sem minnstu-forréttinda agi er líklegastur til að sleppa: fastir stjórnendareikningar, fjarstuðningsinnskráningar birgja, þjónustureikningar með guðs-ham réttindi og sjálfvirka viðmótið sem hljóðlega dregur persónugreinanlegan frjálsan texta sem það þurfti aldrei. Ræðið hvort stjórnandaauðkenni eru aðskilin frá daglegum reikningum, hvort hækkun er rétt-í-tíma og tímabundin eða varanleg og hvort forréttindalotur eru skráðar og yfirfarnar óháð. Íhugið ómannlegu eignina sérstaklega — hver á hvern þjónustureikning, hvenær skilríkjum hans var síðast snúið og hvort nokkur gæti talið þá upp í dag. Gott svar meðhöndlar forréttindaaðgang sem sérflokk með nafngreindum eigendum, sönnunargögnum um rétt-í-tíma hækkun og raunverulegri skrá yfir vélaauðkenni, frekar en forsendu um að grunnatriðin sem beitt er á klíníska starfsmenn nái líka yfir bakvinnsluna. Það er hreinskilið um birgja, og um hvaða reikning sem er orðinn varanlegur, óvaktaður aðallykill.

6. Hve mikið af auðkenni okkar er háð aðilum utan okkar stjórnar, og erum við vísvitandi um þá háð? Nútíma heilbrigðis- og velferðarauðkenni er sambandsbundið að hönnun — sameiginleg skrá treystir fullyrðingum frá hverri samstarfsskipulagsheild, landsþjónustur eins og NHS Care Identity Service og CIS2 ábyrgjast starfsfólk og NHS login ábyrgist borgara — sem þýðir að styrkur aðgangsstýringar ykkar er aðeins jafn góður og auðkennisveiturnar sem þið reiðið ykkur á og staðlarnir sem binda ykkur saman. Þessi spurning biður teymið að kortleggja hvar traust er framselt: hvaða skipulagsheildir auðkenna hvaða notendur, hvað gerist þegar JML-ferli samstarfsaðila bregst og hvernig sambandsinnskráning er afturkölluð þegar starfsmaður annars vinnuveitanda hættir. Vegið flutninginn í gangi frá snjallkortum í átt að staðlabyggðri auðkenningu (CIS2 með MFA og OpenID Connect), og spennuna milli þess að taka upp landsstefnu og að halda staðbundnum vinnuflæðum gangandi klukkan þrjú um nótt. Íhugið seigluhornið líka: ef landsauðkennisþjónusta er ekki tiltæk, geta klínískir starfsmenn samt örugglega nálgast skrárnar sem þeir þurfa, eða verður sambandsbinding að stökum veikleikapunkti. Gott svar sýnir að teymið veit nákvæmlega á hvers tryggingu það reiðir sig, hefur samþykkt hvernig þverskipulagsleg afturköllun og atvik eru meðhöndluð og raðar flutningi sínum í nútíma NHS-auðkenningu vísvitandi frekar en að vera borið af honum. Það er raunsætt um hluta eignarinnar sem geta ekki enn tengst sambandi og hvernig þeir eru brúaðir í millitíðinni.

Í reynd: dæmi úr heilbrigðis- og velferðarþjónustu#

Meadowvale samþætt umönnunarkerfi er að innleiða sameiginlega umönnunarskrá svo starfsfólk sjúkrahúss, samfélags, geðheilsu, heimilislækna og félagsþjónustu fullorðinna geti séð sameinaða mynd af hverri manneskju. Snemma í könnun gerir áætlunin sér grein fyrir að raunveruleg áhætta hennar er ekki að smíða skrána heldur að stýra aðgangi að henni: ein sýn yfir fimm skipulagsheildir margfaldar bæði öryggisávinning þess að rétti klíníski starfsmaðurinn sjái réttar upplýsingar og skaða þess að röng manneskja sjái eitthvað viðkvæmt.

Teymið gerir aðgangsstýringu að fyrsta flokks hönnunarstraumi. Þau samþykkja hlutverkalíkan sett fram á klínísku máli — „samfélagshjúkrunarfræðingur“, „samþykktur geðheilbrigðisstarfsmaður“, „umönnunarheimilisstjóri“ — og kortleggja hvert hlutverk á minnstu gögn sem það þarf, með geðheilsu- og kynheilsuskrár háðar þéttari, sérstaklega heimiluðum aðgangi. Auðkenning er sambandsbundin: hver samstarfsskipulagsheild auðkennir eigið starfsfólk gegnum NHS Care Identity Service eða staðbundna auðkennisveitu sína með OpenID Connect, og sameiginlega skráin treystir þeim fullyrðingum frekar en að gefa út eigin skilríki, svo ekkert nýtt lykilorð er til að stýra og byrjendur/flytjendur/hætti er áfram hjá vinnuveitandi skipulagsheildinni þar sem viðurkennda starfsmannaskráin býr.

Þar sem sjúkraflutningamaður eða klínískur starfsmaður utan dagvinnutíma mun stundum þurfa skrá sem hann hefur ekki venjulega heimild til að sjá smíðar teymið skýra brjóta-glerið leið: neyðaraðgangur er veittur við innslátt ástæðu, flaggaður tafarlaust til heimaskipulagsheildar skráarinnar og yfirfarinn innan 48 klukkustunda. Þau setja á fót lítið sameiginlegt upplýsingastjórnarhátta- og endurskoðunarfall sem yfirfer brjóta-glerið atburði, rekur viðvaranir fyrir sjálfsuppflettingar og uppflettingar flaggaðra einstaklinga og skýrir ársfjórðungslega til stjórnar ICS.

Sex mánuðum eftir opnun flaggar viðvörun umönnunarsamræmingaraðila sem opnar ítrekað skrá einhvers án virkrar aðkomu að hans sjúklingafjölda. Endurskoðunarfallið rannsakar, finnur að aðgangurinn var persónulegur frekar en faglegur og vinnuveitandi skipulagsheildin grípur til agaaðgerða. Ekkert sjúklingaöryggisatvik átti sér stað, brotið var gripið fyrirbyggjandi og — þar sem stýringarnar virkuðu sannanlega — hélt almannatraust á sameiginlegu skránni. Stjórnin tekur fram að sama endurskoðunargeta þjónar nú líka sem sönnunargagn fyrir skil hennar á Data Security and Protection Toolkit (sjá Viðfangsefni 1.7 — Upplýsingastjórnarhættir, gagnavernd og netöryggi).

Geirasjónarhorn#

Sprotafyrirtæki#

Lítið stafrænt heilbrigðisfyrirtæki sem smíðar til dæmis fjarvöktunarforrit hefur þann kost að hafa engin arfakerfi: það getur tekið upp nútímaauðkenningu, MFA og staðlabyggt samband frá degi eitt, og samþætt við NHS login fyrir borgara og CIS2 fyrir klíníska starfsmenn frekar en að finna upp eigið auðkenniskerfi. Hættan er hraðinn sem hleypur fram úr aga — harðkóðuð stjórnendaskilríki, sameiginlegur „stofnanda“ ofurnotandareikningur, þjónustureikningar með guðs-ham aðgang og engin hættaferli því „allir þekkja alla“. Minnstu forréttindi og endurskoðun finnast eins og yfirbygging við tíu manns en verða óbætanleg tæknileg skuld við hundrað. Raunsæja hreyfingin er að kaupa auðkenni sem stýrða þjónustu, framfylgja MFA og RBAC frá fyrsta commit og meðhöndla DTAC (Digital Technology Assessment Criteria) kröfur sem lágmarksþröskuld fyrir hverja NHS-innleiðingu.

Lítil fyrirtæki#

Rótgróinn lítill veitandi — heimilislæknastofa, samfélagsapótek, hjúkrunarheimili, heimaþjónustufyrirtæki, stakstaða stofa eða lítill heilbrigðistæknibirgi umfram tekjulaust stig — ber sömu trúnaðar- og aðgangsstýringarskyldur og stór samsteypa en hefur raunverulega sjúklinga á skrá, handfylli starfsfólks og litla eða enga sérstaka upplýsingatæknigetu til að uppfylla þær. Hagnýta áhættan hér er ekki framandi: það er sameiginlega innskráningin í afgreiðslunni, klíníska kerfislykilorðið límt á skjá, afleysingalæknirinn sem fær snjallkort samstarfsmanns því skráning nýs tekur of langan tíma og starfsmaðurinn sem hætti en aðgangur hans er aldrei óvirkjaður því enginn á það verk. Hagnýta leiðin er að styðjast við auðkenniseiginleikana sem þegar eru innbyggðir í kerfin sem þau kaupa — framfylgja MFA og reikningum fyrir hverja manneskju, kveikja á endurskoðunarskráningu birgisins og nota NHS CIS2 og NHS login frekar en heimasmíðuð skilríki — og að skrifa niður einfalda byrjenda/flytjenda/hætti rútínu sem nefnir einn ábyrgan einstakling, jafnvel þótt sá einstaklingur sé stofustjórinn sem gerir það í höndunum. Minnstu forréttindi og afturköllun hættis samdægurs skipta jafn miklu máli við tíu starfsmenn og tíu þúsund; munurinn er að hér verður að ná þeim með ferli og stillingum frekar en sérstöku auðkennisteymi.

Stórfyrirtæki#

Stór NHS-sjúkrahússamsteypa eða ICS rekur tugi klínískra kerfa af ótrúlega ólíkum aldri, hvert með eigið auðkennislíkan, og miðlæg áskorun hennar er samþætting og lífsferill í stórum stíl. Snjallkort, einskráning, „banka inn, banka út“ vinnuflæði og áreiðanleg JML-leiðsla frá rafrænu starfsmannaskránni skipta meira máli hér en nokkur einstök snjöll stýring, því bilunarhættirnir eru magnbilanir: þúsundir aðgerðalausra reikninga, hlutverkasprenging og endurskoðunarskrár sem enginn hefur getu til að yfirfara. Forréttindaaðgangsstjórnun er mikilvæg miðað við fjölda stjórnenda og birgja sem snerta eignina. Framfarir koma frá auðkennisstefnu sem hagræðir hlutverkum, tengir kerfi í samband og fjármagnar fastan endurskoðunarfall — ekki úr stökum lausnum festum á hvert forrit.

Hið opinbera#

Landsstofnun eins og NHS England rekur auðkenni sem sameiginlega innviði fyrir allt kerfið: NHS Care Identity Service og CIS2 fyrir starfsfólk, NHS login fyrir borgara og staðlana og tryggingarkerfin sem leyfa hundruðum skipulagsheilda að treysta hver annarri. Ákvarðanir hennar setja þróunarstefnuna — flutninginn frá snjallkortum í nútímaauðkenningu, upptöku OpenID Connect, þrýstinginn í átt að núll-trausti — og ábyrgð hennar er gagnvart þinginu og almenningi fyrir bæði öryggi og jafnan aðgang. Spennan er milli miðlægrar stöðlunar og staðbundins sveigjanleika: skyldaðu of stíft og þú brýtur staðbundin vinnuflæði, skyldaðu of laust og samband hrynur í ósamkvæmni. Sjónarhorn ríkisvaldsins snýst því um að setja samvirka staðla (sjá Viðfangsefni 4.3 — Samvirkni og gagnastaðlar), veita traustverðugar sameiginlegar þjónustur og tryggja reglufylgni án þess að smástýra hverri samsteypu.

Algeng mistök#

• Munaðarlausir og aðgerðalausir reikningar. Hættir, snúnir starfsmenn og gamlir verktakar halda lifandi aðgangi því JML reiðir sig á handvirka tilkynningu. Lagfæringin er sjálfvirk afvirkjun frá viðurkenndum uppruna auk reglulegra sópana á aðgerðalausum reikningum.
• Hlutverkasprenging og forréttindaskrið. RBAC rýrnar í hundruð skarastra hlutverka og einstaklingar safna réttindum sem þeir nota ekki lengur. Vinndu gegn því með reglubundinni endurstaðfestingu og tímasettri hlutverkahagræðingu.
• Skilríkjadeiling og sameiginlegar vinnustöðvar. Hægar innskráningar og klunnaleg snjallkort knýja starfsfólk til að deila kortum og skilja lotur eftir opnar. Taktu á rótarorsökinni með einskráningu, nálægðarskírteinum og hröðum skiptum frekar en að hvetja starfsfólk til að hegða sér.
• Fastur forréttindaaðgangur. Stjórnendur og birgjar halda varanlegum guðs-ham reikningum sem geta slökkt á stýringunum sjálfum. Færðu í rétt-í-tíma, tímabundna, skráða hækkun.
• Endurskoðun sem skraut. Skrár eru safnaðar en aldrei yfirfarnar, svo misnotkun finnst aðeins viðbragðsbundið. Fjármagnaðu fyrirbyggjandi endurskoðun með viðvörun fyrir sjálfsuppflettingar og VIP-uppflettingar.
• Brjóta-glerið sem glufa. Neyðaraðgangur er til en óvaktaður, svo hann verður venjuleg leið minnstu mótstöðu. Krefstu ástæðu, flaggaðu hverja notkun og yfirfarðu eftir á.
• MFA-leikhús. MFA er virkjað en á veikum, vefveiðanlegum þáttum, eða fellt niður fyrir annasömustu forréttindanotendurna. Veldu vefveiðaþolna þætti þar sem áhættan er mest.

Þroskalíkan#

Gátlisti#

• Styrkur auðkenningar og umfang heimildaveitingar ákveðið og skjalfest sérstaklega fyrir hvert klínískt kerfi.
• MFA framfylgt fyrir allan fjar- og forréttindaaðgang, með þáttum sem henta klínískum aðstæðum.
• Einskráning og hröð vinnustöðvarskipti innleidd til að fjarlægja innskráningarnúning og skilríkjadeilingu.
• Hlutverkalíkan sett fram á klínísku máli, kortlagt á minnstu forréttindi og hagrætt samkvæmt áætlun.
• Byrjendur/flytjendur/hætti sjálfvirknivæddir frá viðurkenndum starfsmannauppruna, með afturköllun hætta og leyfissettra samdægurs.
• Reglubundin aðgangsendurstaðfesting keyrð af ábyrgum stjórnendum, með sjálfgefið-fjarlægja fyrir óstaðfestan aðgang.
• Forréttindaaðgangur stýrður sem sérflokkur: aðskilin auðkenni, rétt-í-tíma hækkun, lotuskráning.
• Ómannlegir reikningar og samþættingarreikningar skráðir, umfangi þeirra þrengd að minnstu forréttindum og skilríkjum snúið.
• Tæmandi, innsiglisvarin endurskoðunarskráning til staðar, með fyrirbyggjandi viðvörun fyrir sjálfs-, samstarfsmanna- og VIP-uppflettingar.
• Brjóta-glerið neyðaraðgangur hannaður með skyldubundinni ástæðu, tafarlausri flaggun og yfirferð eftir á.
• Flutningur frá snjallkortum í nútíma NHS-auðkenningu (CIS2 / OpenID Connect) skipulagður og raðaður.
• Núll-trausts vegvísir samþykktur og samræmdur tæknilegri arkitektúrstefnu.

Helstu heimildir#

• NHS England — NHS Care Identity Service og Care Identity Service 2 (CIS2) leiðbeiningar
• NHS England — Data Security and Protection Toolkit
• National Cyber Security Centre (NCSC) — Zero Trust Architecture Design Principles
• National Cyber Security Centre (NCSC) — leiðbeiningar um fjölþátta auðkenningu og auðkenna-/aðgangsstýringu
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — skjöl um borgaraauðkennisstaðfestingarþjónustu
• DTAC — Digital Technology Assessment Criteria fyrir heilbrigðis- og velferðarþjónustu
• Caldicott-reglurnar og almenn lagaskylda um trúnað (Bretland)

Tilvísanir#

1. Identity management (identity and access management) — Wikipedia — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
3. Authorization — Wikipedia — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — Wikipedia — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — Wikipedia — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — Wikipedia — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — Wikipedia — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — Wikipedia — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — Wikipedia — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — Wikipedia — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — Wikipedia — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/