Ämne 4.2 — Identitets- och åtkomsthantering

Inom hälsa och vård är kontrollen över vem som får se och göra vad med en patients journal inte en IT-hushållsuppgift utan en frontlinjefaktor för klinisk säkerhet, sekretess och allmänhetens förtroende.

Varför detta är viktigt inom hälsa och vård#

Varje kliniskt beslut vilar på antagandet att journalen framför klinikern är den rätta journalen, tillhör rätt patient och har nåtts av rätt person. Identitets- och åtkomsthantering (identity and access management, IAM) är det maskineri som gör dessa tre antaganden sanna. När det fungerar ser en ambulanssjukvårdare en allergi i tid, når en anteckning om skydd av utsatta personer bara dem som behöver den och ett granskningsspår kan besvara frågan ”vem tittade på den här journalen och varför?”. När det havererar skadas patienter av journaler som öppnats under fel namn, personal snokar i släktingar eller kändisar och förtroendet för hela den digitala satsningen urholkas.

Hälsa och vård höjer insatserna över det vanliga företagsfallet på tre sätt. För det första är data bland det känsligaste en person någonsin kommer att generera — psykisk hälsa, sexuell hälsa, substansbruk, könsidentitet, oro för skydd av utsatta personer — så ett sekretessbrott är inte ett besvär utan en bestående skada. För det andra är personalen rörlig, roterande och flerorganisatorisk: underläkare roterar med några månaders mellanrum, vikarie- och bemanningspersonal anländer för ett enda skift och integrerad vård innebär att en distriktssköterska legitimt kan behöva en sjukhusjournal. För det tredje är omsorgsplikten obeveklig mot friktion: en åtkomstkontroll som är för långsam klockan tre på natten vid återupplivning är i sig en säkerhetsfara. IAM i denna sektor är därför en ständig förhandling mellan att låsa ned data och att släppa in rätt person snabbt.

Detta ämne behandlar det djup i åtkomstkontroll som ligger under de bredare plikter som täcks i Ämne 1.7 — Informationsstyrning, dataskydd och cybersäkerhet. Där det ämnet sätter den rättsliga och organisatoriska ramen — UK General Data Protection Regulation, Data Security and Protection Toolkit, sekretessplikten — handlar detta om de konkreta mekanismerna för att styrka identitet och bevilja den minsta åtkomst som behövs för att göra jobbet.

Grundläggande begrepp#

Identitets- och åtkomsthantering är den disciplin och den uppsättning tekniker som säkerställer att rätt individer har rätt åtkomst till rätt resurser vid rätt tidpunkt, och att detta kan bevisas efteråt. Den vilar på en skillnad som är lätt att sudda ut och farlig att förlora: skillnaden mellan autentisering och auktorisering.

Autentisering besvarar ”är du den du säger att du är?”. Den styrks med faktorer: något du vet (ett lösenord eller en PIN-kod), något du har (ett smartkort, en telefon, en hårdvarutoken) och något du är (ett fingeravtryck eller ett ansikte). Auktorisering besvarar en annan fråga — ”nu när vi vet vem du är, vad får du se och göra?”. En överläkare och en receptionist kan båda autentisera sig fullt ut, men de är auktoriserade till mycket olika delar av en journal. Att blanda ihop de två leder till system som kontrollerar identitet starkt och sedan låter alla se allt.

Auktorisering inom hälsa och vård organiseras vanligen som rollbaserad åtkomstkontroll (role-based access control, RBAC), där behörigheter knyts till roller — ”akutmottagningssjuksköterska”, ”allmänläkare”, ”medicinsk sekreterare” — och människor ärver behörigheter genom att inneha en roll, snarare än att få rättigheter en och en. RBAC styrs av principen om minsta möjliga behörighet (principle of least privilege): varje person, och varje systemkonto, bör ha den minsta åtkomst som behövs för att göra jobbet och inte mer. Minsta möjliga behörighet begränsar både oavsiktliga fel och sprängradien för ett komprometterat konto.

Modern autentisering stärker steget ”styrk vem du är” med multifaktorautentisering (multi-factor authentication, MFA), som kombinerar två eller flera faktorer så att ett stulet lösenord ensamt inte räcker. Den minskar friktion med enhetlig inloggning (single sign-on, SSO), där en autentiserad session ger åtkomst till många applikationer utan upprepade inloggningar — en genuin säkerhetsfördel när en kliniker måste röra sig mellan ett dussin system på en timme. SSO över organisationsgränser förlitar sig på federerad identitet (federated identity): en organisation går i god för en användare så att en annan kan lita på hen utan att hålla hens inloggningsuppgifter.

Rörmokeriet för federation och modern autentisering bygger på öppna standarder. OAuth är en standard för delegerad auktorisering — som låter en applikation agera å dina vägnar utan att du lämnar ut ditt lösenord. OpenID Connect lägger autentisering ovanpå OAuth så att en applikation kan ta reda på vem användaren är, och den äldre XML-baserade Security Assertion Markup Language (SAML) gör ett liknande jobb för SSO i företag. En identitets livscykel — beviljande, ändring och indragning av åtkomst när människor börjar, byter roll och slutar — hanteras av provisioneringsprocesser (provisioning), vanligen kallade joiners/movers/leavers eller JML.

Den strategiska färdriktningen är zero trust-arkitektur (zero trust architecture): antagandet att ingen användare eller enhet är trovärdig bara för att den sitter inne i nätverket. Varje begäran autentiseras, auktoriseras och kontrolleras mot sammanhang — enhetens hälsa, plats, datans känslighet — i stället för att förlita sig på en härdad perimeter. I en sektor där personal arbetar från mottagningar, hem, ambulanser och partnerplatser har perimetern i praktiken upplösts, och zero trust namnger det ärliga svaret på det.

Bästa praxis#

1. Behandla autentisering och auktorisering som separata designbeslut. Avgör först hur starkt ni måste styrka identitet för ett givet system, och separat hur finkornigt ni måste styra vad varje roll sedan får göra. Stark inloggning på ett system som ger alla full åtkomst är en falsk trygghet, och finkorniga behörigheter bakom ett svagt lösenord är lika tomma. Dokumentera båda besluten uttryckligen för varje kliniskt system, och se över dem när datans känslighet eller användarpopulationen ändras.

2. Låt rollbaserad åtkomstkontroll spegla verkliga kliniska roller, och håll den sedan ren. Utforma roller kring hur vård faktiskt levereras — inte kring organisationsschemat eller en leverantörs standardkonfigurationers infall — och koppla varje roll till de minsta journaler och funktioner den behöver. Med tiden förfaller RBAC till ”rollexplosion”, där hundratals överlappande roller ackumuleras och ingen kan säga vad någon av dem ger. Schemalägg periodisk rollrationalisering och motstå frestelsen att lösa varje åtkomstbegäran genom att skapa en ny skräddarsydd roll.

3. Tillämpa minsta möjliga behörighet på människor och maskinkonton lika. Minsta möjliga behörighet tillämpas rutinmässigt på kliniker och glöms sedan för de tjänstekonton, integrationsmotorer och rapporteringsverktyg som ofta har den bredaste åtkomsten av alla. Ett automatiskt gränssnitt som hämtar data till en instrumentpanel behöver sällan skrivåtkomst eller identifierbar fri text, men får det ofta ändå. Förteckna icke-mänskliga identiteter, begränsa dem och rotera deras inloggningsuppgifter enligt schema.

4. Föreskriv multifaktorautentisering för fjärr- och privilegierad åtkomst, och välj faktorer som passar miljön. Enbart lösenord är inte längre försvarbara för något som når patientdata utifrån en enhet som inte är betrodd, och MFA är numera en baslinjeförväntan över NHS-system. Välj faktorer som överlever den kliniska miljön: nätfiskeresistenta hårdvarutokens eller plattformsautentiserare för privilegierad åtkomst och fjärråtkomst, och var försiktiga med sms-koder på avdelningar där täckningen är dålig och telefoner delas. Balansera säkerhetsvinsten mot verkligheten att en kliniker mitt i en återupplivning inte kan treva efter en andra faktor.

5. Använd enhetlig inloggning för att ta bort friktion som driver personal mot osäkra kringgåenden. När personal måste logga in separat i tio system skriver de lösenord på lappar, delar smartkort och lämnar sessioner öppna — var och en en säkerhets- och sekretessrisk. Väl genomförd SSO, helst i kombination med ”tap in, tap out”-närhetsbrickor vid delade kliniska arbetsstationer, både förbättrar säkerheten och ger kliniker tid tillbaka. Behandla SSO som en patientsäkerhetsinsats, inte bara en bekvämlighet, och mät den inloggningstid ni tar bort.

6. Modernisera NHS identitet bortom smartkortet, utan att förstöra det som fungerar. NHS Care Identity Service (tidigare Care Identity Service och dessförinnan registreringsmyndighetsregimen byggd på smartkort) autentiserar NHS-personal och styr åtkomst till nationella system såsom Spine. Den nationella inriktningen är nu mot modern, standardbaserad autentisering — CIS2 med MFA och OpenID Connect — vilket minskar beroendet av fysiska smartkort och kortläsare som havererar, delas eller blockerar vård. Planera er migrering medvetet: behåll den kvalitetssäkring och registreringsstringens smartkortsmodellen har samtidigt som ni antar flexibiliteten hos moderna tokens.

7. Kör joiners/movers/leavers som en kontrollerad, granskningsbar process — särskilt leavers. Det enskilt vanligaste allvarliga IAM-felet inom hälsa och vård är kontot som överlever personens behov av det: den roterade underläkaren, den avgångna bemanningssjuksköterskan, konsulten vars åtkomst aldrig drogs in. Automatisera provisionering från en auktoritativ källa (vanligen den elektroniska personaljournalen, Electronic Staff Record) så att att börja, byta och avsluta en roll utlöser motsvarande åtkomstförändring inom ett definierat, kort fönster. Behandla indragning samma dag för personer som slutar och för personal under utredning som ett hårt krav, inte en aspiration.

8. Omcertifiera åtkomst regelbundet och gör chefer ansvariga för det. Åtkomst som var lämplig dag ett glider när människor byter team och samlar på sig rättigheter de inte längre behöver — ”behörighetskryp” (privilege creep). Kör periodiska åtkomstgranskningar (omcertifiering) där den ansvariga chefen eller systemägaren aktivt bekräftar att varje person fortfarande behöver varje rättighet, där tystnad leder till borttagning snarare än behållande. Gör granskningen meningsfull genom att presentera den i klarspråk om kliniska roller, inte råa behörighetskoder som ingen chef kan tolka.

9. Styr privilegierad åtkomst som en kategori för sig. Administratörer, databasägare och infrastrukturingenjörer kan läsa eller ändra vilken journal som helst och stänga av de kontroller som skyddar den, så deras åtkomst behöver starkare behandling än vanliga användare. Inför hantering av privilegierad åtkomst (privileged access management): separera administratörsidentiteter från vardagskonton, bevilja förhöjda rättigheter precis i tid (just-in-time) och tidsbegränsat snarare än stående, och spela in privilegierade sessioner för oberoende granskning. Låt aldrig en leverantör eller ett ”break-glass”-konto bli en permanent, obevakad huvudnyckel.

10. Gör varje åtkomstbeslut granskningsbart, och läs faktiskt granskningen. Åtkomstkontroll som inte kan granskas efteråt är bara en halv kontroll; förmågan att besvara ”vem kom åt denna journal, när och på vilken grund?” underbygger både sekretessutredningar och patientsäkerhet. Konfigurera omfattande, manipulationssynlig granskningsloggning och — avgörande — resursera proaktiv granskning, inklusive larm för självuppslagning, uppslagning av kollegor eller VIP-personer och ovanliga åtkomstvolymer. Ett granskningsspår ingen undersöker avskräcker ingen.

11. Utforma break-glass-åtkomst så att nödfall tjänas och missbruk fångas. Kliniker behöver ibland legitimt en journal de inte rutinmässigt är auktoriserade att se — en medvetslös patient, ett nödfall över organisationsgränser. Tillhandahåll en uttrycklig ”break-glass”-väg som ger nödåtkomst med ett obligatoriskt skäl, omedelbar flaggning och obligatorisk granskning i efterhand, snarare än att tvinga personal att välja mellan reglerna och patienten. Målet är att göra den säkra nödåtgärden enkel och den omotiverade synlig.

12. Anta zero trust som en riktning, och sekvensera den pragmatiskt. Rör er från ”betrott nätverk, öppet inuti” mot att verifiera varje begäran mot identitet, enhetens hälsa och sammanhang, så att en komprometterad bärbar dator på det korporativa nätverket inte längre automatiskt är betrodd. Detta är en flerårig resa genom stark identitet, enhetsefterlevnad, villkorad åtkomst och mikrosegmentering — inte en produkt ni köper. Sekvensera den bakom grunderna (MFA, minsta möjliga behörighet, ren JML), och anpassa den till beståndsarbetet i Ämne 4.0 — Teknisk arkitektur, moln och äldre system.

Frågor att diskutera med ditt team#

1. Var avväger vi medvetet åtkomstfriktion mot klinisk säkerhet, och vem avgjorde balansen? Varje ytterligare inloggning, andra faktor eller auktoriseringssteg skyddar sekretessen men kostar sekunder som i ett nödfall i sig är en säkerhetsrisk. Frågan tvingar teamet att namnge de specifika ställen där säkerhetskontroller kan fördröja vård — återupplivningsinloggningen, den delade avdelningsarbetsstationen, systemet utanför kontorstid — och att fråga om den nuvarande balansen valdes av människor som förstår både de kliniska och säkerhetsmässiga konsekvenserna, eller bara blev en leverantörs standardinställning. Debattera spänningen ärligt: en för stram kontroll driver fram lösenord på lappar och delade smartkort som är värre än den risk de åtgärdar, medan en för lös inbjuder till snokande och intrång. Leta efter konkreta signaler på en dålig balans — personal som delar inloggningsuppgifter, sessioner som lämnas öppna, break-glass som används rutinmässigt. Ett bra svar identifierar vem som äger varje avvägning, visar att kliniker var i rummet när den sattes och pekar på uppmätta inloggningstider och kringgåendefrekvenser snarare än antaganden. Det förbinder sig också att se över balansen när roller, system och hot ändras.

2. Hur säkra är vi på att en som slutar eller byter roll förlorar rätt åtkomst, inom rätt tidsram, varje gång? Kontot som överlever sitt behov är det klassiska IAM-felet, och i en roterande, flerorganisatorisk hälsopersonalstyrka är risken akut. Frågan prövar om joiners/movers/leavers är en tillförlitlig, automatiserad process driven från en auktoritativ källa, eller en uppsättning manuella e-postmeddelanden som i tysthet misslyckas när någon har fullt upp. Diskutera de svåra fallen: underläkaren som roterar mellan sjukhus, bemanningssjuksköterskan på ett skift, konsulten, anställd som avstängts i väntan på utredning. Beakta vad ”rätt tidsram” betyder för var och en — indragning samma dag är oförhandlingsbar vid en avstängning men kan vara mjukare vid ett rutinmässigt internt byte. Ett bra svar kan peka på evidens, inte avsikt: resultaten från den senaste granskningen av slutare, antalet vilande konton som hittats och stängts, tiden mellan att någon slutar och att deras åtkomst upphör. Det är ärligt om glappen och namnger vem som ansvarar för att stänga dem.

3. När något går fel med en journal, kan vi faktiskt rekonstruera vem som gjorde vad — och skulle vi märka missbruk utan att en incident får oss att leta? Granskning är den kontroll som gör sekretess och säkerhet verkställbara i efterhand, men den fungerar bara om loggarna är fullständiga, skyddade och genuint granskade. Frågan skiljer två saker ett team ofta blandar ihop: förmågan att utreda reaktivt när en klagan anländer och förmågan att upptäcka missbruk proaktivt innan någon klagar. Utforska vad era loggar faktiskt fångar, om de kan ändras, hur länge de sparas och — den svårare frågan — vem som tittar på dem när ingen incident finns. Beakta de realistiska hoten: en anställd som slår upp en familjemedlem, en kollega eller en offentlig person; ett komprometterat konto som exfiltrerar journaler i skala. Ett bra svar visar att granskning är resursatt som en aktiv funktion med larm, inte ett vilande arkiv, och kan peka på ett verkligt exempel på missbruk organisationen upptäckte och agerade på. Det kopplar också granskning till rättvisa och ser till att granskningar inte oproportionerligt riktas mot särskilda personalgrupper.

4. När en kliniker legitimt behöver en journal hen inte rutinmässigt är auktoriserad att se, gör vår break-glass-väg den säkra åtgärden enkel och den omotiverade synlig? Hälsa och vård skiljer sig från vanlig företags-IT just därför att reglerna ibland måste ge vika för patienten framför dig — en medvetslös ankomst, ett nödfall över organisationsgränser, en kliniker på jour utanför kontorstid som täcker ett obekant patientantal. Frågan undrar om nödåtkomst är utformad som en uttrycklig, motiverad, flaggad väg, eller om personal i tysthet tvingas välja mellan åtkomstpolicyn och patientens välfärd. Pröva felmönstren i båda ändar: en break-glass-väg så omständlig att kliniker undviker den och delar inloggningsuppgifter i stället, eller en så friktionsfri och ogranskad att den blir den rutinmässiga vägen in och urholkar RBAC helt. Diskutera vem som granskar break-glass-händelser, hur snabbt och vilken andel som visar sig vara omotiverade — en andel nära noll kan betyda att kontrollen är oanvänd snarare än ren. Ett bra svar kan beskriva de exakta stegen en kliniker tar, inhämtningen av skäl, den omedelbara flaggan till journalens hemorganisation och granskningen i efterhand som sluter slingan, och kan visa att nödfall genuint tjänas och missbruk genuint fångas. Det är ärligt om huruvida break-glass-volymer rör sig i en riktning som antyder ett djupare auktoriseringsglapp.

5. Styr vi privilegierad och icke-mänsklig åtkomst lika strikt som vi styr kliniker — eller är det där den verkliga exponeringen finns? De kontroller som skyddar patientdata administreras själva av någon, och administratörer, databasägare, integrationsmotorer och rapporteringskonton kan ofta läsa eller ändra vilken journal som helst och stänga av just de skyddsåtgärder som begränsar alla andra. Frågan släpar fram i ljuset den åtkomst som disciplinen minsta möjliga behörighet är mest benägen att hoppa över: stående administratörskonton, leverantörers fjärrsupportinloggningar, tjänstekonton med obegränsad åtkomst och det automatiska gränssnitt som i tysthet hämtar identifierbar fri text det aldrig behövde. Diskutera om administratörsidentiteter är separerade från vardagskonton, om förhöjning sker precis i tid och tidsbegränsat eller är permanent och om privilegierade sessioner spelas in och oberoende granskas. Beakta särskilt det icke-mänskliga beståndet — vem som äger varje tjänstekonto, när dess inloggningsuppgifter senast roterades och om någon skulle kunna räkna upp dem i dag. Ett bra svar behandlar privilegierad åtkomst som en kategori för sig med namngivna ägare, evidens för förhöjning precis i tid och en verklig förteckning över maskinidentiteter, snarare än ett antagande att de grunder som tillämpas på kliniker också täcker back office. Det är uppriktigt om leverantörer, och om varje konto som har blivit en permanent, obevakad huvudnyckel.

6. Hur mycket av vår identitet beror på parter utanför vår kontroll, och är vi medvetna om det beroendet? Modern identitet inom hälsa och vård är federerad genom design — en delad journal litar på intygande från varje partnerorganisation, nationella tjänster såsom NHS Care Identity Service och CIS2 går i god för personal och NHS login går i god för medborgare — vilket innebär att styrkan i er åtkomstkontroll aldrig är bättre än de identitetsleverantörer ni förlitar er på och de standarder som binder er samman. Frågan ber teamet kartlägga var förtroende delegeras: vilka organisationer som autentiserar vilka användare, vad som händer när en partners joiners/movers/leavers-process havererar och hur en federerad inloggning dras in när en anställd hos en annan arbetsgivare slutar. Väg migreringen som pågår från smartkort mot standardbaserad autentisering (CIS2 med MFA och OpenID Connect), och spänningen mellan att anta nationell inriktning och att hålla lokala arbetsflöden fungerande klockan tre på natten. Beakta även motståndskraftsaspekten: om en nationell identitetstjänst är otillgänglig, kan kliniker då ändå tryggt nå de journaler de behöver, eller blir federation en enskild felpunkt. Ett bra svar visar att teamet vet exakt vems kvalitetssäkring det förlitar sig på, har kommit överens om hur indragning och incidenter över organisationer hanteras och sekvenserar sin övergång till modern NHS-autentisering medvetet snarare än att bäras av den. Det är realistiskt om de delar av beståndet som ännu inte kan federeras och hur de överbryggas under tiden.

I praktiken: ett exempel från hälsa och vård#

Meadowvale Integrated Care System rullar ut en delad vårdjournal så att personal på sjukhus, i närsjukvård, psykiatri, hos allmänläkare och i socialtjänst för vuxna kan se en enhetlig bild av varje person. Tidigt i upptäckten inser programmet att dess verkliga risk inte är att bygga journalen utan att kontrollera åtkomsten till den: en enda vy över fem organisationer multiplicerar både säkerhetsfördelen av att rätt kliniker ser rätt information och skadan av att fel person ser något känsligt.

Teamet gör åtkomstkontroll till en förstklassig designström. De kommer överens om en rollmodell uttryckt i klinisk terminologi — ”distriktssköterska”, ”godkänd psykiatriprofessionell (approved mental health professional)”, ”vårdhemschef” — och kopplar varje roll till de minsta data den behöver, med journaler för psykisk och sexuell hälsa underkastade strängare, separat auktoriserad åtkomst. Autentisering är federerad: varje partnerorganisation autentiserar sin egen personal genom NHS Care Identity Service eller sin lokala identitetsleverantör med OpenID Connect, och den delade journalen litar på de intygandena i stället för att utfärda egna inloggningsuppgifter, så det finns inget nytt lösenord att hantera och joiners/movers/leavers stannar hos den anställande organisationen där den auktoritativa personaljournalen finns.

Eftersom en ambulanssjukvårdare eller en kliniker på jour utanför kontorstid ibland behöver en journal de inte rutinmässigt är auktoriserade att se bygger teamet en uttrycklig break-glass-väg: nödåtkomst beviljas när ett skäl anges, flaggas omedelbart till journalens hemorganisation och granskas inom 48 timmar. De inrättar en liten gemensam funktion för informationsstyrning och granskning som granskar break-glass-händelser, kör larm för självuppslagning och uppslagning av flaggade personer och rapporterar kvartalsvis till ICS styrelse.

Sex månader efter driftsättningen flaggar ett larm en vårdkoordinator som upprepade gånger öppnar journalen för någon utan aktiv koppling till hens patientantal. Granskningsfunktionen utreder, finner att åtkomsten var personlig snarare än professionell, och den anställande organisationen vidtar disciplinära åtgärder. Ingen patientsäkerhetsincident inträffade, intrånget fångades proaktivt och — eftersom kontrollerna påvisbart fungerade — höll allmänhetens förtroende för den delade journalen. Styrelsen noterar att samma granskningsförmåga nu också fungerar som evidens för dess inlämning till Data Security and Protection Toolkit (se Ämne 1.7 — Informationsstyrning, dataskydd och cybersäkerhet).

Sektorperspektiv#

Startup-företag#

Ett litet digitalt hälsoföretag som bygger, säg, en app för fjärrövervakning har fördelen av inget äldre arv: det kan anta modern autentisering, MFA och standardbaserad federation från dag ett och integrera med NHS login för medborgare och CIS2 för kliniker i stället för att uppfinna ett eget identitetssystem. Faran är att hastigheten springer ifrån disciplinen — hårdkodade administratörsuppgifter, ett delat ”grundar”-superanvändarkonto, tjänstekonton med obegränsad åtkomst och ingen process för slutare eftersom ”alla känner alla”. Minsta möjliga behörighet och granskning känns som overhead vid tio personer men blir oåterkallelig teknisk skuld vid hundra. Det pragmatiska draget är att köpa identitet som en förvaltad tjänst, verkställa MFA och RBAC från den första incheckningen och behandla kraven i DTAC (Digital Technology Assessment Criteria) som den lägsta ribban för varje NHS-driftsättning.

Småföretag#

En etablerad liten vårdgivare — en läkarpraktik, ett närapotek, ett vårdhem, en hemtjänstorganisation, en klinik på en enda ort eller en liten hälsotekniksleverantör förbi stadiet före intäkter — bär samma sekretess- och åtkomstkontrollplikter som ett stort sjukhus men har verkliga patienter i böckerna, en handfull personal och liten eller ingen dedikerad IT-förmåga för att uppfylla dem. Den praktiska risken här är inte exotisk: det är den delade inloggningen i receptionen, det kliniska systemets lösenord fastklistrat på en skärm, vikarien som får en kollegas smartkort eftersom det tar för lång tid att registrera ett nytt, och slutaren vars konto aldrig stängs eftersom ingen äger det jobbet. Den pragmatiska vägen är att luta sig mot de identitetsfunktioner som redan är inbyggda i de system de köper — verkställ MFA och personliga konton, slå på leverantörens granskningsloggning och använd NHS CIS2 och NHS login i stället för egenutvecklade inloggningsuppgifter — och att skriva ned en enkel joiners/movers/leavers-rutin som namnger en ansvarig person, även om den personen är praktikchefen som gör det för hand. Minsta möjliga behörighet och indragning samma dag för slutare spelar lika stor roll vid tio anställda som vid tiotusen; skillnaden är att de här måste uppnås med process och konfiguration snarare än ett dedikerat identitetsteam.

Storföretag#

Ett stort NHS-sjukhus (trust) eller ICS driver dussintals kliniska system av vitt skilda åldrar, vart och ett med sin egen identitetsmodell, och dess centrala utmaning är integration och livscykel i skala. Smartkort, SSO, ”tap in, tap out”-arbetsflöden och en tillförlitlig JML-pipeline från den elektroniska personaljournalen spelar större roll här än någon enskild listig kontroll, eftersom felmönstren är volymfel: tusentals vilande konton, rollexplosion och granskningsloggar ingen har kapacitet att granska. Hantering av privilegierad åtkomst är kritisk med tanke på antalet administratörer och leverantörer som berör beståndet. Framsteg kommer från en identitetsstrategi som rationaliserar roller, federerar över system och resurssätter en stående granskningsfunktion — inte från punktlösningar påklistrade varje applikation.

Staten#

Ett nationellt organ såsom NHS England driver identitet som gemensam infrastruktur för hela systemet: NHS Care Identity Service och CIS2 för personal, NHS login för medborgare och de standarder och kvalitetssäkringsregimer som låter hundratals organisationer lita på varandra. Dess beslut sätter färdriktningen — övergången från smartkort till modern autentisering, införandet av OpenID Connect, driften mot zero trust — och dess ansvarsskyldighet gäller parlamentet och allmänheten för både säkerhet och jämlik tillgång. Spänningen är mellan central standardisering och lokal flexibilitet: föreskriv för rigidit och ni bryter lokala arbetsflöden, föreskriv för löst och federationen kollapsar till inkonsekvens. Statens perspektiv handlar därför om att sätta interoperabla standarder (se Ämne 4.3 — Interoperabilitet och datastandarder), tillhandahålla pålitliga gemensamma tjänster och kvalitetssäkra efterlevnad utan att mikrostyra varje sjukhus.

Vanliga felmönster#

• Föräldralösa och vilande konton. Slutare, roterad personal och gamla konsulter behåller levande åtkomst eftersom JML förlitar sig på manuell avisering. Åtgärden är automatisk indragning från en auktoritativ källa plus regelbundna svep efter vilande konton.
• Rollexplosion och behörighetskryp. RBAC förfaller till hundratals överlappande roller och individer samlar på sig rättigheter de inte längre använder. Motverka med periodisk omcertifiering och schemalagd rollrationalisering.
• Delade inloggningsuppgifter och delade arbetsstationer. Långsamma inloggningar och klumpiga smartkort driver personal att dela kort och lämna sessioner öppna. Åtgärda grundorsaken med SSO, närhetsbrickor och snabbt byte i stället för att uppmana personal att uppföra sig.
• Stående privilegierad åtkomst. Administratörer och leverantörer håller permanenta konton i obegränsad åtkomst som kan stänga av själva kontrollerna. Gå över till precis-i-tid, tidsbegränsad, inspelad förhöjning.
• Granskning som dekoration. Loggar samlas in men granskas aldrig, så missbruk hittas bara reaktivt. Resursera proaktiv granskning med larm för självuppslagning och VIP-uppslagning.
• Break-glass som kryphål. Nödåtkomst finns men är obevakad, så den blir den rutinmässiga vägen med minst motstånd. Kräv ett skäl, flagga varje användning och granska i efterhand.
• MFA-teater. MFA är aktiverad men på svaga, nätfiskebara faktorer, eller eftergiven för de mest belastade privilegierade användarna. Föredra nätfiskeresistenta faktorer där risken är högst.

Mognadsmodell#

Checklista#

• Autentiseringsstyrka och auktoriseringsomfång beslutade och dokumenterade separat för varje kliniskt system.
• MFA verkställd för all fjärr- och privilegierad åtkomst, med faktorer som passar den kliniska miljön.
• Enhetlig inloggning och snabbt byte av arbetsstation införda för att ta bort inloggningsfriktion och delning av inloggningsuppgifter.
• Rollmodell uttryckt i klinisk terminologi, kopplad till minsta möjliga behörighet och rationaliserad enligt schema.
• Joiners/movers/leavers automatiserade från en auktoritativ personalkälla, med indragning samma dag vid avslut och avstängning.
• Periodisk omcertifiering av åtkomst körd av ansvariga chefer, med standardvärdet ”ta bort” för obekräftad åtkomst.
• Privilegierad åtkomst hanterad som en egen kategori: separata identiteter, förhöjning precis i tid, sessionsinspelning.
• Icke-mänskliga konton och integrationskonton förtecknade, begränsade till minsta möjliga behörighet och med roterade inloggningsuppgifter.
• Omfattande, manipulationssynlig granskningsloggning på plats, med proaktiva larm för självuppslagning, kollegauppslagning och VIP-uppslagning.
• Break-glass-nödåtkomst utformad med obligatoriskt skäl, omedelbar flaggning och granskning i efterhand.
• Migrering från smartkort till modern NHS-autentisering (CIS2 / OpenID Connect) planerad och sekvenserad.
• Färdplan för zero trust överenskommen och anpassad till den tekniska arkitekturstrategin.

Viktiga källor#

• NHS England — vägledning om NHS Care Identity Service och Care Identity Service 2 (CIS2)
• NHS England — Data Security and Protection Toolkit
• National Cyber Security Centre (NCSC) — Zero Trust Architecture Design Principles
• National Cyber Security Centre (NCSC) — vägledning om multifaktorautentisering och identitets-/åtkomsthantering
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — dokumentation för tjänsten för identitetsverifiering av medborgare
• DTAC — Digital Technology Assessment Criteria för hälso- och socialvård
• Caldicott-principerna och sedvanerättens sekretessplikt (Storbritannien)

Referenser#

1. Identity management (identity and access management) — Wikipedia — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
3. Authorization — Wikipedia — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — Wikipedia — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — Wikipedia — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — Wikipedia — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — Wikipedia — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — Wikipedia — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — Wikipedia — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — Wikipedia — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — Wikipedia — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/