Mada 4.2 — Usimamizi wa Utambulisho na Ufikiaji

Katika afya na huduma, kudhibiti nani anaweza kuona na kufanya nini na rekodi ya mgonjwa si kazi ya utunzaji wa nyumba ya TEHAMA bali ni kiamua cha mstari wa mbele cha usalama wa kitabibu, usiri, na uaminifu wa umma.

Kwa nini hili ni muhimu katika afya na huduma#

Kila uamuzi wa kitabibu unategemea dhana kwamba rekodi iliyo mbele ya mhudumu wa kitabibu ni sahihi, inamilikiwa na mgonjwa sahihi, na imefikiwa na mtu sahihi. Usimamizi wa utambulisho na ufikiaji (IAM) ni mitambo inayofanya dhana hizo tatu kuwa kweli. Inapofanya kazi, mhudumu wa ambulensi huona mzio kwa wakati, dokezo la ulinzi wa walio hatarini hufika kwa wale wanaolihitaji tu, na njia ya ukaguzi inaweza kujibu swali "nani aliitazama rekodi hii na kwa nini?". Inaposhindwa, wagonjwa hudhurika kupitia rekodi zilizofunguliwa kwa jina lisilofaa, wafanyakazi hupeleleza ndugu au mashuhuri, na imani katika biashara nzima ya kidijitali humomonyoka.

Afya na huduma huinua dau juu ya hali ya kawaida ya kampuni kwa njia tatu. Kwanza, data ni miongoni mwa nyeti zaidi ambazo mtu yeyote atazalisha — afya ya akili, afya ya uzazi, matumizi ya dawa za kulevya, utambulisho wa kijinsia, wasiwasi wa ulinzi wa walio hatarini — kwa hiyo uvunjifu wa usiri si usumbufu bali ni madhara ya kudumu. Pili, nguvukazi inahama, inazunguka, na ya mashirika mengi: madaktari wadogo huzunguka kila baada ya miezi michache, wafanyakazi wa wakala na wa muda hufika kwa zamu moja, na huduma jumuishi inamaanisha muuguzi wa wilaya anaweza kuhitaji kihalali rekodi ya hospitali. Tatu, wajibu wa uangalizi hausamehe msuguano: kidhibiti cha ufikiaji kilicho polepole mno saa tisa usiku katika uokoaji chenyewe ni hatari ya usalama. IAM katika sekta hii kwa hiyo ni mazungumzo ya kudumu kati ya kufunga data na kumruhusu mtu sahihi aingie haraka.

Mada hii inashughulikia kina cha udhibiti wa ufikiaji kilicho chini ya wajibu mpana uliofunikwa katika Mada 1.7 — Utawala wa Taarifa, Ulinzi wa Data na Usalama wa Mtandao. Pale mada hiyo inapoweka mfumo wa kisheria na wa kishirika — UK General Data Protection Regulation, Data Security and Protection Toolkit, wajibu wa usiri — hii inahusu mitambo thabiti ya kuthibitisha utambulisho na kutoa ufikiaji mdogo kabisa unaohitajika kufanya kazi.

Dhana kuu#

Usimamizi wa utambulisho na ufikiaji ni taaluma na seti ya teknolojia zinazohakikisha watu sahihi wana ufikiaji sahihi wa rasilimali sahihi wakati sahihi, na kwamba hili linaweza kuthibitishwa baadaye. Unasimama juu ya tofauti ambayo ni rahisi kuififisha na hatari kuipoteza: tofauti kati ya uthibitishaji na uidhinishaji.

Uthibitishaji (Authentication) hujibu "wewe ni yule unayedai?". Unathibitishwa kwa vipengele: kitu unachojua (nywila au PIN), kitu ulicho nacho (kadi janja, simu, tokeni ya maunzi), na kitu ulicho (alama ya kidole au uso). Uidhinishaji (Authorization) hujibu swali tofauti — "sasa tunajua wewe ni nani, unaruhusiwa kuona na kufanya nini?". Daktari bingwa na mpokeaji wageni wote wanaweza kuthibitishwa vizuri kabisa, lakini wameidhinishwa kwa sehemu tofauti sana za rekodi. Kuchanganya hivyo viwili huzaa mifumo inayokagua utambulisho kwa nguvu kisha kuruhusu kila mtu aone kila kitu.

Uidhinishaji katika afya na huduma kwa kawaida hupangwa kama udhibiti wa ufikiaji wa msingi wa jukumu (RBAC), ambapo ruhusa huambatanishwa kwenye majukumu — "muuguzi wa idara ya dharura", "GP", "katibu wa kitabibu" — na watu hurithi ruhusa kwa kushikilia jukumu, badala ya kupewa haki moja moja. RBAC inatawaliwa na kanuni ya upendeleo mdogo: kila mtu, na kila akaunti ya mfumo, inapaswa kushikilia ufikiaji mdogo kabisa unaohitajika kufanya kazi na si zaidi. Upendeleo mdogo hupunguza makosa ya ajali na eneo la athari la akaunti iliyoathirika.

Uthibitishaji wa kisasa huimarisha hatua ya "thibitisha wewe ni nani" kwa uthibitishaji wa vipengele vingi (MFA), ukichanganya vipengele viwili au zaidi ili nywila iliyoibwa peke yake isitoshe. Hupunguza msuguano kwa kuingia mara moja (SSO), ambapo kikao kimoja kilichothibitishwa hutoa ufikiaji wa programu nyingi bila kuingia mara kwa mara — faida halisi ya usalama pale mhudumu wa kitabibu lazima asonge kati ya mifumo kumi na miwili ndani ya saa moja. SSO kuvuka mipaka ya mashirika hutegemea utambulisho wa shirikisho (federated identity): shirika moja linamdhamini mtumiaji ili lingine liweze kumwamini bila kushikilia vitambulisho vyake.

Mabomba ya shirikisho na uthibitishaji wa kisasa yamejengwa juu ya viwango huria. OAuth ni kiwango cha uidhinishaji uliokabidhiwa — kuruhusu programu itende kwa niaba yako bila kukabidhi nywila yako. OpenID Connect huweka uthibitishaji juu ya OAuth ili programu ijue mtumiaji ni nani, na Security Assertion Markup Language (SAML) ya zamani yenye msingi wa XML hufanya kazi kama hiyo kwa SSO ya kishirika. Mzunguko wa maisha ya utambulisho — kutoa, kubadilisha, na kufuta ufikiaji watu wanapojiunga, kuhama, na kuondoka — hushughulikiwa na michakato ya utoaji (provisioning), inayoitwa kwa kawaida wanaojiunga/wanaohama/wanaoondoka au JML.

Mwelekeo wa kimkakati ni usanifu wa uaminifu sifuri (zero trust): dhana kwamba hakuna mtumiaji au kifaa kinachoaminika kwa sababu tu kiko ndani ya mtandao. Kila ombi huthibitishwa, kuidhinishwa, na kukaguliwa dhidi ya muktadha — afya ya kifaa, mahali, unyeti wa data — badala ya kutegemea mpaka ulioimarishwa. Katika sekta ambapo wafanyakazi hufanya kazi kutoka kliniki, nyumbani, ambulensi, na maeneo ya washirika, mpaka kwa kweli umeyeyuka, na uaminifu sifuri unataja jibu la uaminifu kwa hilo.

Mazoea bora#

1. Chukulia uthibitishaji na uidhinishaji kama maamuzi tofauti ya usanifu. Amua kwanza unahitaji kuthibitisha utambulisho kwa nguvu kiasi gani kwa mfumo fulani, na kando unahitaji kudhibiti kwa undani kiasi gani kile kila jukumu linaweza kufanya baadaye. Kuingia kwa nguvu kwenye mfumo unaompa kila mtu ufikiaji kamili ni faraja ya uongo, na ruhusa za kina nyuma ya nywila dhaifu ni tupu vilevile. Andika maamuzi yote mawili waziwazi kwa kila mfumo wa kitabibu, na uyapitie upya unyeti wa data au idadi ya watumiaji inapobadilika.

2. Fanya udhibiti wa ufikiaji wa msingi wa jukumu uakisi majukumu halisi ya kitabibu, kisha uuweke safi. Buni majukumu kuzunguka jinsi huduma inavyotolewa kweli — si kuzunguka mchoro wa shirika au mipangilio ya chaguo-msingi ya msambazaji — na uweke ramani ya kila jukumu kwa rekodi na kazi ndogo kabisa linazohitaji. Baada ya muda RBAC huoza kuwa "mlipuko wa majukumu", ambapo mamia ya majukumu yanayopishana hukusanyika na hakuna anayeweza kusema yoyote kati yake inatoa nini. Panga urekebishaji wa majukumu mara kwa mara, na upinge kishawishi cha kutatua kila ombi la ufikiaji kwa kuunda jukumu jipya la kipekee.

3. Tumia upendeleo mdogo kwa watu na kwa akaunti za mashine vilevile. Upendeleo mdogo hutumika kwa wahudumu wa kitabibu kisha kusahaulika kwa akaunti za huduma, injini za uunganishaji, na zana za kuripoti ambazo mara nyingi hushikilia ufikiaji mpana zaidi wa yote. Kiolesura cha kiotomatiki kinachovuta data kwa dashibodi mara chache kinahitaji ufikiaji wa kuandika au maandishi huru yanayotambulisha, hata hivyo mara kwa mara hupata. Orodhesha utambulisho usio wa binadamu, upunguze wigo wake, na ubadilishe vitambulisho vyake kwa ratiba.

4. Amuru uthibitishaji wa vipengele vingi kwa ufikiaji wa mbali na wa upendeleo, na uchague vipengele vinavyofaa mazingira. Nywila peke yake haziwezi tena kutetewa kwa chochote kinachofikia data ya mgonjwa kutoka nje ya kifaa kinachoaminika, na MFA sasa ni matarajio ya msingi kote katika mifumo ya NHS. Chagua vipengele vinavyonusurika mazingira ya kitabibu: tokeni za maunzi zinazopinga hadaa au vithibitishaji vya jukwaa kwa ufikiaji wa upendeleo na wa mbali, na uwe mwangalifu na misimbo ya SMS wodini ambapo mawimbi ni hafifu na simu zinashirikiwa. Sawazisha faida ya usalama dhidi ya uhalisia kwamba mhudumu wa kitabibu katikati ya uokoaji hawezi kutafuta kipengele cha pili kwa kutatanika.

5. Tumia kuingia mara moja kuondoa msuguano unaowasukuma wafanyakazi kuelekea njia salama za kukwepa. Wafanyakazi wanapolazimika kuingia tofauti kwenye mifumo kumi, huandika nywila kwenye vibandiko, hushiriki kadi janja, na kuacha vikao wazi — kila moja ni hatari ya usalama na ya usiri. SSO iliyotekelezwa vizuri, ikiwezekana ikichanganywa na beji za ukaribu za "gusa ingia, gusa toka" kwenye vituo vya kazi vya kitabibu vinavyoshirikiwa, huboresha usalama na kuwarudishia wahudumu wa kitabibu muda. Chukulia SSO kama uingiliaji wa usalama wa mgonjwa, si urahisi tu, na upime muda wa kuingia unaoondoa.

6. Boresha utambulisho wa NHS zaidi ya kadi janja, bila kuvunja kinachofanya kazi. NHS Care Identity Service (zamani Care Identity Service na, kabla ya hapo, mfumo wa Registration Authority uliojengwa juu ya kadi janja) huthibitisha wafanyakazi wa NHS na huendesha ufikiaji wa mifumo ya kitaifa kama Spine. Mwelekeo wa kitaifa sasa ni uthibitishaji wa kisasa, wa msingi wa viwango — CIS2 na MFA na OpenID Connect — ukipunguza utegemezi wa kadi janja za kimwili na visomaji vya kadi vinavyoshindwa, kushirikiwa, au kuzuia huduma. Panga uhamishaji wako kwa makusudi: weka ukali wa uhakiki na usajili wa mfano wa kadi janja huku ukikubali unyumbulifu wa tokeni za kisasa.

7. Endesha wanaojiunga/wanaohama/wanaoondoka kama mchakato unaodhibitiwa, unaokaguliwa — hasa wanaoondoka. Kushindwa kwa IAM kwa kawaida zaidi na kwa uzito katika afya na huduma ni akaunti inayodumu zaidi ya hitaji la mtu: daktari mdogo aliyezunguka, muuguzi wa wakala aliyeondoka, mkandarasi ambaye ufikiaji wake haukufutwa kamwe. Weka utoaji kiotomatiki kutoka chanzo chenye mamlaka (kwa kawaida rekodi ya kielektroniki ya wafanyakazi) ili kuanza, kubadilisha, na kumaliza jukumu kuchochee badiliko la ufikiaji linalolingana ndani ya dirisha lililofafanuliwa, fupi. Chukulia kufuta siku hiyohiyo kwa wanaoondoka na wafanyakazi walio chini ya uchunguzi kama sharti kali, si tamaa.

8. Thibitisha upya ufikiaji mara kwa mara na uwawajibishe mameneja kwa hilo. Ufikiaji uliokuwa unafaa siku ya kwanza hupotoka watu wanapobadilisha timu na kukusanya haki wasizohitaji tena — "kuongezeka kwa upendeleo". Endesha mapitio ya mara kwa mara ya ufikiaji (kuthibitisha upya) ambapo meneja anayewajibika au mmiliki wa mfumo anathibitisha kikamilifu kwamba kila mtu bado anahitaji kila haki, kimya kikimaanisha kuondolewa badala ya kubakizwa. Fanya mapitio yawe na maana kwa kuyawasilisha kwa lugha rahisi ya jukumu la kitabibu, si misimbo ghafi ya ruhusa ambayo hakuna meneja anayeweza kuitafsiri.

9. Tawala ufikiaji wa upendeleo kama kundi lake. Wasimamizi, wamiliki wa hifadhidata, na wahandisi wa miundombinu wanaweza kusoma au kubadilisha rekodi yoyote na kuzima vidhibiti vile vile vinavyoilinda, kwa hiyo ufikiaji wao unahitaji matibabu madhubuti kuliko watumiaji wa kawaida. Tekeleza usimamizi wa ufikiaji wa upendeleo: tenganisha utambulisho wa msimamizi na akaunti za kila siku, toa haki zilizoinuliwa kwa wakati-ule-ule na kwa muda uliowekwa badala ya za kudumu, na rekodi vikao vya upendeleo kwa mapitio huru. Kamwe usiruhusu msambazaji au akaunti ya "vunja-kioo" kuwa ufunguo mkuu wa kudumu, usiofuatiliwa.

10. Fanya kila uamuzi wa ufikiaji uweze kukaguliwa, na usome ukaguzi kweli. Udhibiti wa ufikiaji usioweza kupitiwa baadaye ni nusu tu ya kidhibiti; uwezo wa kujibu "nani alifikia rekodi hii, lini, na kwa msingi gani?" unaunga mkono uchunguzi wa usiri na usalama wa mgonjwa. Sanidi kumbukumbu kamili za ukaguzi zinazoonyesha uchezewaji, na — muhimu — upe rasilimali ukaguzi wa kutangulia, ikijumuisha tahadhari kwa kujitafuta mwenyewe, kutafuta wenzako au mashuhuri, na kiasi kisicho cha kawaida cha ufikiaji. Njia ya ukaguzi ambayo hakuna anayeichunguza haimzuii yeyote.

11. Buni ufikiaji wa vunja-kioo ili dharura zihudumiwe na matumizi mabaya yananaswe. Wahudumu wa kitabibu wakati mwingine wanahitaji kihalali rekodi wasiyoidhinishwa kuiona kwa kawaida — mgonjwa asiye na fahamu, dharura ya mashirika mbalimbali. Toa njia wazi ya "vunja-kioo" inayotoa ufikiaji wa dharura kwa sababu inayohitajika, kuwekewa bendera mara moja, na mapitio ya lazima baada ya tukio, badala ya kuwalazimisha wafanyakazi kuchagua kati ya sheria na mgonjwa. Lengo ni kufanya kitendo salama cha dharura kiwe rahisi na kisichohalalishwa kionekane.

12. Kubali uaminifu sifuri kama mwelekeo, na uupange kwa vitendo. Hama kutoka "mtandao unaoaminika, wazi ndani" kuelekea kuthibitisha kila ombi dhidi ya utambulisho, afya ya kifaa, na muktadha, ili kompyuta mpakato iliyoathirika kwenye LAN ya kampuni isiaminike tena kiotomatiki. Hii ni safari ya miaka mingi kupitia utambulisho imara, uzingatiaji wa kifaa, ufikiaji wa masharti, na mgawanyo mdogo — si bidhaa unayonunua. Uupange nyuma ya misingi (MFA, upendeleo mdogo, JML safi), na uulinganishe na kazi ya mazingira katika Mada 4.0 — Usanifu wa Kiufundi, Wingu na Mifumo ya Zamani.

Maswali ya kujadili na timu yako#

1. Wapi tunabadilishana kwa makusudi msuguano wa ufikiaji dhidi ya usalama wa kitabibu, na nani aliamua usawa? Kila kuingia kwa ziada, kipengele cha pili, au hatua ya uidhinishaji hulinda usiri lakini hugharimu sekunde ambazo, katika dharura, zenyewe ni hatari ya usalama. Swali hili linaifanya timu itaje mahali mahususi ambapo vidhibiti vya usalama vinaweza kuchelewesha huduma — kuingia kwa uokoaji, kituo cha kazi cha wodi kinachoshirikiwa, mfumo wa nje ya saa — na kuuliza kama usawa wa sasa ulichaguliwa na watu wanaoelewa matokeo ya kitabibu na ya usalama, au ulikuwa chaguo-msingi la msambazaji. Jadili mvutano kwa uaminifu: kidhibiti kikali kupita kiasi huendesha nywila za vibandiko na kadi janja zinazoshirikiwa ambazo ni mbaya kuliko hatari wanazoshughulikia, wakati kilicholegea kupita kiasi hukaribisha upelelezi na uvunjifu. Tafuta ishara thabiti za usawa mbaya — wafanyakazi wakishiriki vitambulisho, vikao vilivyoachwa wazi, vunja-kioo ikitumika kawaida. Jibu zuri hubainisha nani anamiliki kila mabadilishano, linaonyesha wahudumu wa kitabibu walikuwa chumbani ilipowekwa, na linaelekeza kwenye nyakati za kuingia zilizopimwa na viwango vya njia za kukwepa badala ya dhana. Pia linajitolea kupitia upya usawa majukumu, mifumo, na vitisho vinapobadilika.

2. Tuna uhakika kiasi gani kwamba anayeondoka au anayehama anapoteza ufikiaji sahihi, katika muda sahihi, kila mara? Akaunti inayodumu zaidi ya hitaji lake ni kushindwa kwa kawaida kwa IAM, na katika nguvukazi ya afya inayozunguka, ya mashirika mengi hatari ni kali. Swali hili huchunguza kama wanaojiunga/wanaohama/wanaoondoka ni mchakato wa kuaminika, wa kiotomatiki unaoendeshwa kutoka chanzo chenye mamlaka, au mfululizo wa barua pepe za mikono zinazoshindwa kimyakimya mtu anapokuwa na shughuli. Jadili kesi ngumu: daktari mdogo anayezunguka kati ya hospitali, muuguzi wa wakala kwa zamu moja, mkandarasi, mfanyakazi aliyesimamishwa akisubiri uchunguzi. Fikiria "muda sahihi" unamaanisha nini kwa kila mmoja — kufuta siku hiyohiyo hakujadiliki kwa kusimamishwa lakini kunaweza kuwa laini zaidi kwa uhamisho wa kawaida wa ndani. Jibu zuri linaweza kuelekeza kwenye ushahidi, si nia: matokeo ya ukaguzi wa mwisho wa wanaoondoka, idadi ya akaunti zilizolala zilizopatikana na kufungwa, muda kati ya mtu kuondoka na ufikiaji wake kuisha. Ni la uaminifu kuhusu mapengo na hutaja nani anawajibika kuyaziba.

3. Kitu kinapoenda vibaya na rekodi, tunaweza kujenga upya nani alifanya nini kweli — na je, tungegundua matumizi mabaya bila tukio kutuchochea? Ukaguzi ndio kidhibiti kinachofanya usiri na usalama utekelezeke baada ya tukio, lakini hufanya kazi tu kama kumbukumbu zimekamilika, zimelindwa, na zinapitiwa kweli. Swali hili hutenganisha mambo mawili ambayo timu mara nyingi huyachanganya: uwezo wa kuchunguza kwa kuitikia malalamiko yanapofika, na uwezo wa kugundua matumizi mabaya kwa kutangulia kabla ya yeyote kulalamika. Chunguza kumbukumbu zako zinanasa nini kweli, kama zinaweza kubadilishwa, zinahifadhiwa kwa muda gani, na — swali gumu zaidi — nani anazitazama wakati hakuna tukio. Fikiria vitisho halisi: mfanyakazi akitafuta ndugu wa familia, mwenzako, au mtu wa umma; akaunti iliyoathirika ikitoa rekodi kwa wingi. Jibu zuri linaonyesha ukaguzi unapewa rasilimali kama kazi hai yenye tahadhari, si hifadhi iliyolala, na linaweza kunukuu mfano halisi wa matumizi mabaya ambayo shirika liligundua na kuchukua hatua. Pia linaunganisha ukaguzi na haki, kuhakikisha mapitio hayalengi kupita kiasi makundi fulani ya wafanyakazi.

4. Mhudumu wa kitabibu anapohitaji kihalali rekodi asiyoidhinishwa kuiona kwa kawaida, je, njia yetu ya vunja-kioo inafanya kitendo salama kiwe rahisi na kisichohalalishwa kionekane? Afya na huduma hutofautiana na TEHAMA ya kawaida ya kampuni hasa kwa sababu sheria lazima wakati mwingine zimpishe mgonjwa aliye mbele yako — mgonjwa asiye na fahamu aliyewasili, dharura ya mashirika mbalimbali, mhudumu wa kitabibu wa nje ya saa anayefunika orodha asiyoifahamu. Swali hili linauliza kama ufikiaji wa dharura umebuniwa kama njia wazi, yenye sababu, iliyowekewa bendera, au wafanyakazi wanalazimishwa kimyakimya kuchagua kati ya sera ya ufikiaji na ustawi wa mgonjwa. Chunguza njia za kushindwa pande zote mbili: njia ya vunja-kioo ngumu sana hivi kwamba wahudumu wa kitabibu wanaiepuka na kushiriki vitambulisho badala yake, au isiyo na msuguano na isiyopitiwa hivi kwamba inakuwa njia ya kawaida ya kuingia na kuondoa RBAC yote. Jadili nani anapitia matukio ya vunja-kioo, kwa haraka kiasi gani, na sehemu gani hugeuka kuwa isiyohalalishwa — kiwango karibu na sifuri kinaweza kumaanisha kidhibiti hakitumiki badala ya kuwa safi. Jibu zuri linaweza kueleza hatua hasa mhudumu wa kitabibu anazochukua, kunasa sababu, bendera ya papo hapo kwa shirika la nyumbani la rekodi, na mapitio ya baada ya tukio yanayofunga mzunguko, na linaweza kuonyesha dharura zinahudumiwa kweli huku matumizi mabaya yananaswa kweli. Ni la uaminifu kuhusu kama kiasi cha vunja-kioo kinaelekea upande unaodokeza pengo la ndani zaidi la uidhinishaji.

5. Je, tunatawala ufikiaji wa upendeleo na usio wa binadamu kwa ukali kama tunavyotawala wahudumu wa kitabibu — au ndipo mfichuo halisi ulipo? Vidhibiti vinavyolinda data ya mgonjwa vinasimamiwa vyenyewe na mtu, na wasimamizi, wamiliki wa hifadhidata, injini za uunganishaji, na akaunti za kuripoti mara nyingi wanaweza kusoma au kubadilisha rekodi yoyote na kuzima kinga zinazowabana kila mtu mwingine. Swali hili linaleta kwenye mwanga ufikiaji ambao nidhamu ya upendeleo mdogo inaelekea kuuruka zaidi: akaunti za wasimamizi za kudumu, kuingia kwa msaada wa mbali wa wasambazaji, akaunti za huduma zenye haki za mungu-mfumo, na kiolesura cha kiotomatiki kinachovuta kimyakimya maandishi huru yanayotambulisha ambayo hakuwahi kuhitaji. Jadili kama utambulisho wa msimamizi umetenganishwa na akaunti za kila siku, kama kuinua ni wakati-ule-ule na kwa muda uliowekwa au ni wa kudumu, na kama vikao vya upendeleo vinarekodiwa na kupitiwa kwa uhuru. Fikiria mazingira yasiyo ya binadamu hasa — nani anamiliki kila akaunti ya huduma, vitambulisho vyake vilibadilishwa lini mara ya mwisho, na kama yeyote angeweza kuziorodhesha leo. Jibu zuri huchukulia ufikiaji wa upendeleo kama kundi lake lenye wamiliki waliotajwa, ushahidi wa kuinua wakati-ule-ule, na orodha halisi ya utambulisho wa mashine, badala ya dhana kwamba misingi iliyotumika kwa wahudumu wa kitabibu lazima iufunike ofisi ya nyuma pia. Ni la uaminifu kuhusu wasambazaji, na kuhusu akaunti yoyote iliyogeuka ufunguo mkuu wa kudumu, usiofuatiliwa.

6. Ni kiasi gani cha utambulisho wetu kinategemea pande za nje ya udhibiti wetu, na je, tuko makini kuhusu utegemezi huo? Utambulisho wa kisasa wa afya na huduma ni wa shirikisho kwa muundo — rekodi ya pamoja huamini madai kutoka kwa kila shirika mshirika, huduma za kitaifa kama NHS Care Identity Service na CIS2 hudhamini wafanyakazi, na NHS login hudhamini raia — ambayo inamaanisha nguvu ya udhibiti wako wa ufikiaji ni nzuri tu kama watoa utambulisho unaowategemea na viwango vinavyowafunga pamoja. Swali hili linaiomba timu ichore mahali uaminifu unakabidhiwa: mashirika yapi yanathibitisha watumiaji gani, nini hutokea mchakato wa wanaojiunga/wanaohama/wanaoondoka wa mshirika unaposhindwa, na kuingia kwa shirikisho kunafutwa vipi mfanyakazi wa mwajiri mwingine anapoondoka. Pima uhamishaji unaoendelea kutoka kadi janja kuelekea uthibitishaji wa msingi wa viwango (CIS2 na MFA na OpenID Connect), na mvutano kati ya kukubali mwelekeo wa kitaifa na kuweka mtiririko wa kazi wa mahali ukifanya kazi saa tisa usiku. Fikiria pembe ya ustahimilivu pia: huduma ya utambulisho ya kitaifa ikiwa haipatikani, je, wahudumu wa kitabibu bado wanaweza kufikia kwa usalama rekodi wanazohitaji, au shirikisho linakuwa pointi moja ya kushindwa. Jibu zuri linaonyesha timu inajua hasa uhakiki wa nani inautegemea, imekubaliana jinsi kufuta na matukio ya mashirika mbalimbali yanavyoshughulikiwa, na inapanga hatua yake kuelekea uthibitishaji wa kisasa wa NHS kwa makusudi badala ya kubebwa nao. Ni halisi kuhusu sehemu za mazingira ambazo bado haziwezi kushirikiana na jinsi zinavyounganishwa wakati huo.

Kwa vitendo: mfano wa afya na huduma#

Meadowvale Integrated Care System inazindua rekodi ya pamoja ya huduma ili wafanyakazi wa hospitali, jamii, afya ya akili, GP, na huduma za jamii za watu wazima waone mtazamo mmoja wa kila mtu. Mapema katika ugunduzi programu inatambua kwamba hatari yake halisi si kujenga rekodi bali kudhibiti ufikiaji wake: mtazamo mmoja unaovuka mashirika matano huzidisha faida ya usalama ya mhudumu sahihi wa kitabibu kuona taarifa sahihi na madhara ya mtu asiyefaa kuona kitu nyeti.

Timu inafanya udhibiti wa ufikiaji kuwa mkondo wa kwanza wa usanifu. Wanakubaliana kielelezo cha majukumu kilichoonyeshwa kwa lugha ya kitabibu — "muuguzi wa jamii", "mtaalamu aliyeidhinishwa wa afya ya akili", "meneja wa nyumba ya utunzaji" — na kuweka ramani ya kila jukumu kwa data ndogo kabisa linayohitaji, rekodi za afya ya akili na afya ya uzazi zikiwa chini ya ufikiaji mkali zaidi, ulioidhinishwa kando. Uthibitishaji ni wa shirikisho: kila shirika mshirika huthibitisha wafanyakazi wake kupitia NHS Care Identity Service au mtoa utambulisho wake wa mahali kwa kutumia OpenID Connect, na rekodi ya pamoja inaamini madai hayo badala ya kutoa vitambulisho vyake, kwa hiyo hakuna nywila mpya ya kusimamia na wanaojiunga/wanaohama/wanaoondoka inabaki kwa shirika linaloajiri ambapo rekodi yenye mamlaka ya wafanyakazi ipo.

Kwa sababu mhudumu wa ambulensi au mhudumu wa kitabibu wa nje ya saa wakati mwingine atahitaji rekodi asiyoidhinishwa kuiona kwa kawaida, timu inajenga njia wazi ya vunja-kioo: ufikiaji wa dharura unatolewa kwa kuingiza sababu, kuwekewa bendera mara moja kwa shirika la nyumbani la rekodi, na kupitiwa ndani ya saa 48. Wanaanzisha kazi ndogo ya pamoja ya utawala wa taarifa na ukaguzi inayopitia matukio ya vunja-kioo, inaendesha tahadhari kwa kujitafuta mwenyewe na kutafuta watu waliowekewa bendera, na kuripoti kila robo mwaka kwa bodi ya ICS.

Miezi sita baada ya kuanza kutumika, tahadhari inamweka bendera mratibu wa huduma anayefungua mara kwa mara rekodi ya mtu asiye na ushiriki hai katika orodha yake ya kazi. Kazi ya ukaguzi inachunguza, inapata ufikiaji ulikuwa wa kibinafsi badala ya kitaaluma, na shirika linaloajiri linachukua hatua za kinidhamu. Hakuna tukio la usalama wa mgonjwa lililotokea, uvunjifu ulinaswa kwa kutangulia, na — kwa sababu vidhibiti vilifanya kazi kwa uthibitisho — imani ya umma katika rekodi ya pamoja ilishikilia. Bodi inabainisha kwamba uwezo huohuo wa ukaguzi sasa unatumika pia kama ushahidi wa uwasilishaji wake wa Data Security and Protection Toolkit (angalia Mada 1.7 — Utawala wa Taarifa, Ulinzi wa Data na Usalama wa Mtandao).

Mitazamo ya sekta#

Kampuni changa#

Kampuni ndogo ya afya ya kidijitali inayojenga, tuseme, programu ya ufuatiliaji wa mbali ina faida ya kutokuwa na mfumo wa zamani: inaweza kukubali uthibitishaji wa kisasa, MFA, na shirikisho la msingi wa viwango tangu siku ya kwanza, na kuunganisha na NHS login kwa raia na CIS2 kwa wahudumu wa kitabibu badala ya kubuni mfumo wake wa utambulisho. Hatari ni kasi kuzidi nidhamu — vitambulisho vya msimamizi vilivyoandikwa moja kwa moja, akaunti ya "mwanzilishi" ya mtumiaji mkuu inayoshirikiwa, akaunti za huduma zenye ufikiaji wa mungu-mfumo, na hakuna mchakato wa wanaoondoka kwa sababu "kila mtu anamjua kila mtu". Upendeleo mdogo na ukaguzi huhisiwa kama mzigo kwa watu kumi lakini huwa deni la kiufundi lisilorejeshwa kwa mia. Hatua ya vitendo ni kununua utambulisho kama huduma inayosimamiwa, kulazimisha MFA na RBAC tangu commit ya kwanza, na kuchukulia mahitaji ya DTAC (Digital Technology Assessment Criteria) kama kiwango cha chini kwa utumiaji wowote wa NHS.

Biashara ndogo#

Mtoa huduma mdogo aliyeimarika — zahanati ya GP, duka la dawa la jamii, nyumba ya wazee, wakala wa huduma za nyumbani, kliniki ya eneo moja, au muuzaji mdogo wa teknolojia ya afya aliyepita hatua ya kabla ya mapato — hubeba wajibu uleule wa usiri na udhibiti wa ufikiaji kama hospitali kubwa lakini ana wagonjwa halisi kwenye orodha, wafanyakazi wachache, na uwezo mdogo au bila uwezo wa TEHAMA maalumu wa kuutimiza. Hatari ya vitendo hapa si ya kigeni: ni kuingia kunakoshirikiwa kwenye dawati la mbele, nywila ya mfumo wa kitabibu iliyobandikwa kwenye kifuatiliaji, mhudumu wa muda aliyepewa kadi janja ya mwenzake kwa sababu kusajili mpya kunachukua muda mrefu mno, na anayeondoka ambaye akaunti yake haizimwi kamwe kwa sababu hakuna anayemiliki kazi hiyo. Njia ya vitendo ni kutegemea vipengele vya utambulisho vilivyojengwa tayari katika mifumo wanayonunua — lazimisha MFA na akaunti za kila mtu, washa kumbukumbu za ukaguzi za msambazaji, na utumie NHS CIS2 na NHS login badala ya vitambulisho vya nyumbani — na kuandika utaratibu rahisi wa wanaojiunga/wanaohama/wanaoondoka unaotaja mtu mmoja anayewajibika, hata kama ni meneja wa zahanati akifanya kwa mikono. Upendeleo mdogo na kufuta siku hiyohiyo kwa wanaoondoka ni muhimu sawa kwa wafanyakazi kumi kama elfu kumi; tofauti ni kwamba hapa lazima vipatikane kwa mchakato na usanidi badala ya timu maalumu ya utambulisho.

Biashara kubwa#

Hospitali kubwa ya NHS au ICS huendesha makumi ya mifumo ya kitabibu ya umri tofauti kabisa, kila moja na kielelezo chake cha utambulisho, na changamoto yake kuu ni uunganishaji na mzunguko wa maisha kwa ukubwa. Kadi janja, SSO, mtiririko wa "gusa ingia, gusa toka", na bomba la JML la kuaminika kutoka rekodi ya kielektroniki ya wafanyakazi vyote ni muhimu zaidi hapa kuliko kidhibiti chochote cha ujanja, kwa sababu njia za kushindwa ni za kiasi: maelfu ya akaunti zilizolala, mlipuko wa majukumu, na kumbukumbu za ukaguzi ambazo hakuna uwezo wa kuzipitia. Usimamizi wa ufikiaji wa upendeleo ni muhimu kutokana na idadi ya wasimamizi na wasambazaji wanaogusa mazingira. Maendeleo hutoka kwa mkakati wa utambulisho unaoboresha majukumu, unaounganisha kwa shirikisho kuvuka mifumo, na kutoa rasilimali kwa kazi ya ukaguzi ya kudumu — si kutoka suluhisho za pointi zilizoambatanishwa kwenye kila programu.

Serikali#

Chombo cha kitaifa kama NHS England huendesha utambulisho kama miundombinu ya pamoja kwa mfumo mzima: NHS Care Identity Service na CIS2 kwa wafanyakazi, NHS login kwa raia, na viwango na mifumo ya uhakiki inayoruhusu mamia ya mashirika kuaminiana. Maamuzi yake huweka mwelekeo wa safari — kuhama kutoka kadi janja hadi uthibitishaji wa kisasa, kukubali OpenID Connect, msukumo kuelekea uaminifu sifuri — na uwajibikaji wake ni kwa Bunge na umma kwa usalama na upatikanaji wa haki. Mvutano ni kati ya kusawazisha kutoka kati na unyumbulifu wa mahali: amuru kwa ukali kupita kiasi na unavunja mtiririko wa kazi wa mahali, amuru kwa ulegevu na shirikisho linaporomoka kuwa kutokuwa na uthabiti. Lenzi ya serikali kwa hiyo inahusu kuweka viwango vinavyoweza kuunganishwa (angalia Mada 4.3 — Uwezo wa Kuunganishwa na Viwango vya Data), kutoa huduma za pamoja zinazoaminika, na kuhakiki uzingatiaji bila kuongoza kwa kina kila hospitali.

Njia za kawaida za kushindwa#

• Akaunti yatima na zilizolala. Wanaoondoka, wafanyakazi waliozunguka, na wakandarasi wa zamani wanabakiza ufikiaji hai kwa sababu JML inategemea arifa ya mikono. Dawa ni kufuta kiotomatiki kutoka chanzo chenye mamlaka pamoja na uchunguzi wa mara kwa mara wa akaunti zilizolala.
• Mlipuko wa majukumu na kuongezeka kwa upendeleo. RBAC huoza kuwa mamia ya majukumu yanayopishana na watu hukusanya haki wasizotumia tena. Pinga kwa kuthibitisha upya mara kwa mara na urekebishaji uliopangwa wa majukumu.
• Kushiriki vitambulisho na vituo vya kazi vinavyoshirikiwa. Kuingia kwa polepole na kadi janja zisizofaa huwasukuma wafanyakazi kushiriki kadi na kuacha vikao wazi. Shughulikia chanzo kwa SSO, beji za ukaribu, na kubadilisha haraka badala ya kuwahimiza wafanyakazi kutenda vizuri.
• Upendeleo wa kudumu. Wasimamizi na wasambazaji wanashikilia akaunti za mungu-mfumo za kudumu zinazoweza kuzima vidhibiti vyenyewe. Hamia kwenye kuinua wakati-ule-ule, kwa muda uliowekwa, kunakorekodiwa.
• Ukaguzi kama pambo. Kumbukumbu zinakusanywa lakini hazipitiwi kamwe, kwa hiyo matumizi mabaya yanapatikana kwa kuitikia tu. Toa rasilimali kwa ukaguzi wa kutangulia wenye tahadhari kwa kujitafuta mwenyewe na kutafuta mashuhuri.
• Vunja-kioo kama mwanya. Ufikiaji wa dharura upo lakini haufuatiliwi, kwa hiyo unakuwa njia ya kawaida ya upinzani mdogo. Dai sababu, weka bendera kwa kila matumizi, na upitie baada ya tukio.
• Maigizo ya MFA. MFA imewashwa lakini kwa vipengele dhaifu, vinavyoweza kuhadaiwa, au imesamehewa kwa watumiaji wenye shughuli nyingi zaidi wa upendeleo. Pendelea vipengele vinavyopinga hadaa pale hatari ni kubwa zaidi.

Kielelezo cha ukomavu#

Orodha hakiki#

• Nguvu ya uthibitishaji na wigo wa uidhinishaji vimeamuliwa na kuandikwa kando kwa kila mfumo wa kitabibu.
• MFA inalazimishwa kwa ufikiaji wote wa mbali na wa upendeleo, ikitumia vipengele vinavyofaa mazingira ya kitabibu.
• Kuingia mara moja na kubadilisha kituo cha kazi haraka kumewekwa ili kuondoa msuguano wa kuingia na kushiriki vitambulisho.
• Kielelezo cha majukumu kimeonyeshwa kwa lugha ya kitabibu, kimewekewa ramani ya upendeleo mdogo, na kurekebishwa kwa ratiba.
• Wanaojiunga/wanaohama/wanaoondoka ni wa kiotomatiki kutoka chanzo chenye mamlaka cha wafanyakazi, kukiwa na kufuta siku hiyohiyo kwa wanaoondoka na waliosimamishwa.
• Kuthibitisha upya ufikiaji mara kwa mara kunaendeshwa na mameneja wanaowajibika, ufikiaji usiothibitishwa ukiondolewa kwa chaguo-msingi.
• Ufikiaji wa upendeleo unasimamiwa kama kundi tofauti: utambulisho tofauti, kuinua wakati-ule-ule, kurekodi vikao.
• Akaunti zisizo za binadamu na za uunganishaji zimeorodheshwa, zimepunguzwa kwa upendeleo mdogo, na vitambulisho vyake vinabadilishwa.
• Kumbukumbu kamili za ukaguzi zinazoonyesha uchezewaji zipo, zikiwa na tahadhari za kutangulia kwa kujitafuta mwenyewe, wenzako, na mashuhuri.
• Ufikiaji wa dharura wa vunja-kioo umebuniwa na sababu ya lazima, bendera ya papo hapo, na mapitio ya baada ya tukio.
• Uhamishaji kutoka kadi janja hadi uthibitishaji wa kisasa wa NHS (CIS2 / OpenID Connect) umepangwa na kupangwa mfuatano.
• Ramani ya uaminifu sifuri imekubaliwa na kulinganishwa na mkakati wa usanifu wa kiufundi.

Vyanzo muhimu#

• NHS England — mwongozo wa NHS Care Identity Service na Care Identity Service 2 (CIS2)
• NHS England — Data Security and Protection Toolkit
• National Cyber Security Centre (NCSC) — Zero Trust Architecture Design Principles
• National Cyber Security Centre (NCSC) — mwongozo wa uthibitishaji wa vipengele vingi na usimamizi wa utambulisho/ufikiaji
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — nyaraka za huduma ya uthibitishaji wa utambulisho wa raia
• DTAC — Digital Technology Assessment Criteria for health and social care
• Kanuni za Caldicott na wajibu wa sheria ya kawaida wa usiri (Uingereza)

Marejeo#

1. Identity management (identity and access management) — Wikipedia — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
3. Authorization — Wikipedia — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — Wikipedia — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — Wikipedia — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — Wikipedia — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — Wikipedia — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — Wikipedia — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — Wikipedia — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — Wikipedia — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — Wikipedia — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/