Chủ đề 4.2 — Quản lý danh tính và truy cập

Trong y tế và chăm sóc, kiểm soát ai có thể xem và làm gì với hồ sơ của bệnh nhân không phải là việc dọn dẹp của CNTT mà là yếu tố quyết định tuyến đầu của an toàn lâm sàng, bảo mật và niềm tin công chúng.

Vì sao điều này quan trọng trong y tế và chăm sóc#

Mọi quyết định lâm sàng đều dựa trên giả định rằng hồ sơ trước mặt bác sĩ là hồ sơ đúng, thuộc về đúng bệnh nhân, và được đúng người truy cập. Quản lý danh tính và truy cập (IAM) là bộ máy làm cho ba giả định đó đúng. Khi nó hoạt động, một nhân viên cứu thương thấy dị ứng kịp thời, một ghi chú bảo vệ người dễ bị tổn thương chỉ đến những người cần, và một dấu vết kiểm toán có thể trả lời câu hỏi "ai đã xem hồ sơ này và vì sao?". Khi nó thất bại, bệnh nhân bị hại bởi những hồ sơ được mở dưới sai tên, nhân viên soi mói người thân hay người nổi tiếng, và niềm tin vào cả công cuộc số hóa bị xói mòn.

Y tế và chăm sóc nâng rủi ro cao hơn trường hợp doanh nghiệp thông thường theo ba cách. Thứ nhất, dữ liệu là một trong những loại nhạy cảm nhất mà một người từng tạo ra — sức khỏe tâm thần, sức khỏe tình dục, sử dụng chất gây nghiện, bản dạng giới, các mối lo ngại bảo vệ người dễ bị tổn thương — nên một vụ vi phạm bảo mật không phải là bất tiện mà là tổn hại lâu dài. Thứ hai, lực lượng lao động di động, luân phiên và đa tổ chức: bác sĩ trẻ luân chuyển vài tháng một lần, nhân viên đại lý và tạm thời đến chỉ cho một ca, và chăm sóc tích hợp nghĩa là một điều dưỡng khu vực có thể cần chính đáng một hồ sơ bệnh viện. Thứ ba, nghĩa vụ chăm sóc không khoan nhượng với ma sát: một biện pháp kiểm soát truy cập quá chậm lúc 3 giờ sáng trong hồi sức tự nó là một mối nguy an toàn. IAM trong lĩnh vực này do đó là một cuộc thương lượng liên tục giữa khóa dữ liệu lại và cho đúng người vào nhanh.

Chủ đề này nói về chiều sâu kiểm soát truy cập nằm bên dưới các nghĩa vụ rộng hơn được đề cập ở Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng. Nơi chủ đề đó đặt khung pháp lý và tổ chức — Quy định Chung về Bảo vệ Dữ liệu của Vương quốc Anh, Bộ công cụ Bảo mật và Bảo vệ Dữ liệu, nghĩa vụ bảo mật — thì chủ đề này nói về cơ chế cụ thể của việc chứng minh danh tính và trao quyền truy cập tối thiểu cần để làm việc.

Các khái niệm cốt lõi#

Quản lý danh tính và truy cập là ngành và là tập công nghệ bảo đảm đúng cá nhân có đúng quyền truy cập vào đúng tài nguyên vào đúng thời điểm, và điều này có thể được chứng minh sau đó. Nó dựa trên một sự phân biệt dễ làm mờ và nguy hiểm khi đánh mất: sự khác biệt giữa xác thực và ủy quyền.

Xác thực trả lời "bạn có phải là người bạn tự nhận không?". Nó được chứng minh bằng các yếu tố: thứ bạn biết (mật khẩu hay PIN), thứ bạn có (thẻ thông minh, điện thoại, token phần cứng), và thứ bạn là (dấu vân tay hay khuôn mặt). Ủy quyền trả lời một câu hỏi khác — "giờ chúng tôi biết bạn là ai, bạn được phép xem và làm gì?". Một bác sĩ tư vấn và một nhân viên lễ tân có thể đều xác thực hoàn toàn tốt, nhưng họ được ủy quyền cho những phần rất khác nhau của một hồ sơ. Nhầm hai điều này dẫn đến các hệ thống kiểm tra danh tính mạnh rồi để mọi người xem mọi thứ.

Ủy quyền trong y tế và chăm sóc thường được tổ chức dưới dạng kiểm soát truy cập dựa trên vai trò (RBAC), nơi quyền gắn với vai trò — "điều dưỡng khoa cấp cứu", "bác sĩ gia đình", "thư ký y khoa" — và người ta thừa hưởng quyền bằng cách giữ một vai trò, thay vì được cấp từng quyền một. RBAC được chi phối bởi nguyên tắc đặc quyền tối thiểu: mỗi người, và mỗi tài khoản hệ thống, nên giữ quyền truy cập tối thiểu cần để làm việc và không hơn. Đặc quyền tối thiểu giới hạn cả sai sót vô ý lẫn bán kính ảnh hưởng của một tài khoản bị xâm phạm.

Xác thực hiện đại tăng cường bước "chứng minh bạn là ai" bằng xác thực đa yếu tố (MFA), kết hợp hai hoặc nhiều yếu tố để một mật khẩu bị đánh cắp một mình không đủ. Nó giảm ma sát bằng đăng nhập một lần (SSO), nơi một phiên xác thực cấp quyền truy cập nhiều ứng dụng mà không đăng nhập lặp lại — một lợi ích an toàn thực sự khi một bác sĩ phải chuyển giữa cả chục hệ thống trong một giờ. SSO xuyên ranh giới tổ chức dựa vào danh tính liên bang: một tổ chức bảo chứng cho một người dùng để tổ chức khác có thể tin họ mà không nắm thông tin xác thực của họ.

Hạ tầng của liên bang và xác thực hiện đại được xây trên các chuẩn mở. OAuth là chuẩn cho ủy quyền được ủy thác — cho phép một ứng dụng hành động thay bạn mà không phải trao mật khẩu. OpenID Connect xếp xác thực lên trên OAuth để một ứng dụng biết người dùng là ai, và Ngôn ngữ Đánh dấu Xác nhận An ninh (SAML) dựa trên XML cũ hơn làm công việc tương tự cho SSO doanh nghiệp. Vòng đời của một danh tính — việc cấp, thay đổi và thu hồi quyền truy cập khi người ta gia nhập, chuyển và rời đi — được xử lý bằng các quy trình cấp phát, thường gọi là gia nhập/chuyển/rời đi hay JML.

Hướng đi chiến lược là kiến trúc không tin cậy (zero trust): giả định rằng không người dùng hay thiết bị nào đáng tin chỉ vì nó nằm trong mạng. Mỗi yêu cầu được xác thực, ủy quyền và kiểm tra theo ngữ cảnh — tình trạng thiết bị, vị trí, độ nhạy cảm của dữ liệu — thay vì dựa vào một vành đai được gia cố. Trong một lĩnh vực nơi nhân viên làm việc từ phòng khám, nhà, xe cứu thương và địa điểm đối tác, vành đai về cơ bản đã tan biến, và không tin cậy gọi tên phản ứng trung thực với điều đó.

Thực hành tốt nhất#

1. Xem xác thực và ủy quyền là các quyết định thiết kế riêng biệt. Quyết định trước hết bạn phải chứng minh danh tính mạnh đến đâu cho một hệ thống nhất định, và riêng biệt bạn phải kiểm soát mịn đến đâu điều mỗi vai trò sau đó có thể làm. Đăng nhập mạnh trên một hệ thống cho mọi người toàn quyền là sự thoải mái giả, và các quyền mịn phía sau một mật khẩu yếu cũng rỗng như vậy. Ghi chép rõ ràng cả hai quyết định cho mọi hệ thống lâm sàng, và xem lại khi độ nhạy cảm của dữ liệu hay quần thể người dùng thay đổi.

2. Làm cho kiểm soát truy cập dựa trên vai trò phản chiếu các vai trò lâm sàng thực, rồi giữ nó sạch. Thiết kế các vai trò quanh cách chăm sóc thực sự được cung cấp — không phải quanh sơ đồ tổ chức hay ý thích mặc định cấu hình của nhà cung cấp — và ánh xạ mỗi vai trò tới các hồ sơ và chức năng tối thiểu nó cần. Theo thời gian RBAC phân rã thành "bùng nổ vai trò", nơi hàng trăm vai trò chồng chéo tích lũy và không ai nói được mỗi cái cấp gì. Lên lịch hợp lý hóa vai trò định kỳ, và cưỡng lại cám dỗ giải quyết mọi yêu cầu truy cập bằng cách tạo ra một vai trò đặt riêng.

3. Áp dụng đặc quyền tối thiểu cho cả con người và tài khoản máy. Đặc quyền tối thiểu thường được áp dụng cho bác sĩ rồi bị quên với các tài khoản dịch vụ, bộ máy tích hợp và công cụ báo cáo vốn thường nắm quyền truy cập rộng nhất. Một giao diện tự động lấy dữ liệu cho bảng điều khiển hiếm khi cần quyền ghi hay văn bản tự do có thể nhận dạng, thế nhưng thường được cấp. Kiểm kê các danh tính phi người, thu hẹp phạm vi của chúng, và xoay vòng thông tin xác thực của chúng theo lịch.

4. Bắt buộc xác thực đa yếu tố cho truy cập từ xa và đặc quyền, và chọn các yếu tố phù hợp với môi trường. Mật khẩu một mình không còn bảo vệ được cho bất cứ thứ gì chạm đến dữ liệu bệnh nhân từ ngoài một thiết bị đáng tin, và MFA nay là kỳ vọng cơ sở khắp các hệ thống NHS. Chọn các yếu tố sống sót trong môi trường lâm sàng: token phần cứng hoặc bộ xác thực nền tảng chống lừa đảo cho truy cập đặc quyền và từ xa, và thận trọng với mã SMS ở các khoa nơi tín hiệu kém và điện thoại dùng chung. Cân bằng lợi ích bảo mật với thực tế rằng một bác sĩ đang hồi sức không thể loay hoay tìm yếu tố thứ hai.

5. Dùng đăng nhập một lần để loại bỏ ma sát đẩy nhân viên về các cách xoay xở không an toàn. Khi nhân viên phải đăng nhập riêng vào mười hệ thống, họ viết mật khẩu lên giấy nhớ, dùng chung thẻ thông minh và để phiên mở — mỗi điều là một rủi ro an toàn và bảo mật. SSO được triển khai tốt, lý tưởng kết hợp với thẻ tiệm cận "chạm vào, chạm ra" tại các máy trạm lâm sàng dùng chung, vừa cải thiện bảo mật vừa trả lại thời gian cho bác sĩ. Hãy xem SSO là một can thiệp an toàn bệnh nhân, không chỉ sự tiện lợi, và đo thời gian đăng nhập bạn loại bỏ.

6. Hiện đại hóa danh tính NHS vượt ra ngoài thẻ thông minh, mà không phá vỡ những gì đang hoạt động. Dịch vụ Danh tính Chăm sóc của NHS (trước đây là Dịch vụ Danh tính Chăm sóc và, trước đó, chế độ Cơ quan Đăng ký xây trên thẻ thông minh) xác thực nhân viên NHS và điều khiển quyền truy cập các hệ thống quốc gia như Spine. Hướng đi quốc gia nay là xác thực hiện đại, dựa trên chuẩn — CIS2 với MFA và OpenID Connect — giảm sự phụ thuộc vào thẻ thông minh vật lý và đầu đọc thẻ vốn hỏng, bị dùng chung hoặc chặn chăm sóc. Lập kế hoạch di chuyển một cách có chủ đích: giữ sự nghiêm ngặt về đảm bảo và đăng ký của mô hình thẻ thông minh trong khi áp dụng sự linh hoạt của token hiện đại.

7. Chạy gia nhập/chuyển/rời đi như một quy trình được kiểm soát, có thể kiểm toán — đặc biệt là rời đi. Thất bại IAM nghiêm trọng phổ biến nhất trong y tế và chăm sóc là tài khoản tồn tại lâu hơn nhu cầu của người đó: bác sĩ trẻ đã luân chuyển, điều dưỡng đại lý đã rời đi, nhà thầu mà quyền truy cập chưa bao giờ bị thu hồi. Tự động hóa việc cấp phát từ một nguồn có thẩm quyền (thường là hồ sơ nhân viên điện tử) để bắt đầu, thay đổi và kết thúc một vai trò kích hoạt thay đổi truy cập tương ứng trong một khoảng thời gian xác định, ngắn. Xem việc thu hồi trong ngày cho người rời đi và nhân viên đang bị điều tra là yêu cầu cứng, không phải khát vọng.

8. Chứng nhận lại quyền truy cập định kỳ và làm cho quản lý chịu trách nhiệm. Quyền truy cập phù hợp vào ngày đầu trôi đi khi người ta đổi nhóm và tích lũy những quyền họ không còn cần — "leo thang đặc quyền". Chạy các rà soát truy cập định kỳ (chứng nhận lại) trong đó quản lý hoặc chủ hệ thống chịu trách nhiệm chủ động xác nhận mỗi người vẫn cần mỗi quyền, với sự im lặng mặc định là gỡ bỏ thay vì giữ lại. Làm cho rà soát có ý nghĩa bằng cách trình bày nó bằng ngôn ngữ vai trò lâm sàng dễ hiểu, không phải mã quyền thô mà không quản lý nào diễn giải được.

9. Quản trị truy cập đặc quyền như một loại riêng. Quản trị viên, chủ cơ sở dữ liệu và kỹ sư hạ tầng có thể đọc hoặc sửa mọi hồ sơ và vô hiệu hóa chính các biện pháp kiểm soát bảo vệ nó, nên quyền truy cập của họ cần xử lý mạnh hơn người dùng thường. Triển khai quản lý truy cập đặc quyền: tách danh tính quản trị khỏi tài khoản hằng ngày, cấp quyền nâng cao đúng lúc và có giới hạn thời gian thay vì thường trực, và ghi lại các phiên đặc quyền để rà soát độc lập. Đừng bao giờ để một nhà cung cấp hay một tài khoản "phá kính" trở thành một chìa khóa chủ vĩnh viễn, không được giám sát.

10. Làm cho mọi quyết định truy cập có thể kiểm toán, và thực sự đọc kiểm toán. Kiểm soát truy cập không thể rà soát sau đó chỉ là nửa biện pháp; khả năng trả lời "ai đã truy cập hồ sơ này, khi nào, và trên cơ sở nào?" nền tảng cho cả điều tra bảo mật lẫn an toàn bệnh nhân. Cấu hình ghi nhật ký kiểm toán toàn diện, chống can thiệp, và — quan trọng — cấp nguồn lực kiểm toán chủ động, gồm cảnh báo về tự tra cứu, tra cứu đồng nghiệp hoặc nhân vật quan trọng, và khối lượng truy cập bất thường. Một dấu vết kiểm toán không ai xem xét không răn đe được ai.

11. Thiết kế truy cập phá kính để các trường hợp khẩn cấp được phục vụ và lạm dụng bị bắt. Bác sĩ đôi khi cần chính đáng một hồ sơ mà họ không được ủy quyền thường lệ để xem — một bệnh nhân bất tỉnh, một trường hợp khẩn cấp xuyên tổ chức. Cung cấp một đường "phá kính" rõ ràng cấp quyền truy cập khẩn cấp với lý do bắt buộc, đánh dấu ngay, và rà soát bắt buộc sau sự việc, thay vì buộc nhân viên chọn giữa quy tắc và bệnh nhân. Mục tiêu là làm cho hành động khẩn cấp an toàn dễ dàng và hành động không chính đáng hữu hình.

12. Áp dụng không tin cậy như một hướng đi, và sắp xếp trình tự thực dụng. Chuyển từ "mạng đáng tin, mở bên trong" sang xác minh mọi yêu cầu theo danh tính, tình trạng thiết bị và ngữ cảnh, để một laptop bị xâm phạm trên LAN doanh nghiệp không còn tự động được tin. Đây là hành trình nhiều năm qua danh tính mạnh, tuân thủ thiết bị, truy cập có điều kiện và vi phân đoạn — không phải một sản phẩm bạn mua. Sắp xếp nó sau các nền tảng (MFA, đặc quyền tối thiểu, JML sạch), và căn chỉnh nó với công việc hệ thống ở Chủ đề 4.0 — Kiến trúc kỹ thuật, đám mây và hệ thống cũ.

Câu hỏi để thảo luận với nhóm của bạn#

1. Chúng ta đang cố ý đánh đổi ma sát truy cập với an toàn lâm sàng ở đâu, và ai đã quyết định sự cân bằng? Mỗi lần đăng nhập, yếu tố thứ hai hay bước ủy quyền bổ sung bảo vệ bảo mật nhưng tốn vài giây mà trong khẩn cấp tự nó là một rủi ro an toàn. Câu hỏi này buộc nhóm gọi tên các nơi cụ thể mà biện pháp kiểm soát bảo mật có thể trì hoãn chăm sóc — đăng nhập hồi sức, máy trạm khoa dùng chung, hệ thống ngoài giờ — và hỏi liệu sự cân bằng hiện tại có do những người hiểu cả hệ quả lâm sàng lẫn bảo mật chọn, hay mặc định theo cài đặt của nhà cung cấp. Hãy tranh luận căng thẳng một cách trung thực: một kiểm soát quá chặt đẩy mật khẩu giấy nhớ và thẻ thông minh dùng chung còn tệ hơn rủi ro nó giải quyết, trong khi một kiểm soát quá lỏng mời gọi sự soi mói và vi phạm. Hãy tìm các tín hiệu cụ thể của sự cân bằng xấu — nhân viên dùng chung thông tin xác thực, phiên bị để mở, phá kính dùng thường xuyên. Một câu trả lời tốt xác định ai sở hữu mỗi sự đánh đổi, cho thấy các bác sĩ có mặt trong phòng khi nó được đặt, và chỉ ra thời gian đăng nhập đo được và tỷ lệ cách xoay xở thay vì giả định. Nó cũng cam kết xem lại sự cân bằng khi vai trò, hệ thống và mối đe dọa thay đổi.

2. Chúng ta tự tin đến đâu rằng một người rời đi hay chuyển công tác mất đúng quyền truy cập, trong đúng khung thời gian, mọi lần? Tài khoản tồn tại lâu hơn nhu cầu của nó là thất bại IAM kinh điển, và trong một lực lượng y tế luân phiên, đa tổ chức rủi ro rất cấp bách. Câu hỏi này thăm dò liệu gia nhập/chuyển/rời đi có là một quy trình đáng tin, tự động từ một nguồn có thẩm quyền, hay một tập email thủ công lặng lẽ thất bại khi ai đó bận. Hãy thảo luận các ca khó: bác sĩ trẻ luân chuyển giữa các bệnh viện, điều dưỡng đại lý trong một ca, nhà thầu, nhân viên bị đình chỉ chờ điều tra. Hãy cân nhắc "đúng khung thời gian" nghĩa là gì với mỗi trường hợp — thu hồi trong ngày là không thể thương lượng với một đình chỉ nhưng có thể mềm hơn với một lần chuyển nội bộ thường lệ. Một câu trả lời tốt có thể chỉ ra bằng chứng, không phải ý định: kết quả kiểm toán người rời đi gần nhất, số tài khoản không hoạt động được tìm thấy và đóng, thời gian giữa khi ai đó rời đi và khi quyền truy cập của họ kết thúc. Nó trung thực về các khoảng trống và gọi tên ai chịu trách nhiệm đóng chúng.

3. Khi có điều gì sai với một hồ sơ, chúng ta thực sự có thể dựng lại ai đã làm gì không — và chúng ta có nhận ra sự lạm dụng nếu không có sự cố nhắc không? Kiểm toán là biện pháp kiểm soát làm cho bảo mật và an toàn có thể thực thi sau sự việc, nhưng nó chỉ hiệu quả nếu nhật ký đầy đủ, được bảo vệ và thực sự được xem xét. Câu hỏi này tách hai điều mà một nhóm thường gộp: khả năng điều tra phản ứng khi một khiếu nại đến, và năng lực phát hiện chủ động lạm dụng trước khi ai khiếu nại. Hãy khám phá nhật ký của bạn thực sự ghi gì, chúng có thể bị sửa không, giữ bao lâu, và — câu hỏi khó hơn — ai xem chúng khi không có sự cố. Hãy cân nhắc các mối đe dọa thực tế: một nhân viên tra cứu người thân, đồng nghiệp hay nhân vật công chúng; một tài khoản bị xâm phạm tuồn hồ sơ ở quy mô lớn. Một câu trả lời tốt cho thấy kiểm toán được cấp nguồn lực như một chức năng chủ động có cảnh báo, không phải một kho lưu trữ ngủ yên, và có thể trích dẫn một ví dụ thực về lạm dụng mà tổ chức đã phát hiện và hành động. Nó cũng nối kiểm toán với sự công bằng, bảo đảm các cuộc rà soát không nhắm không tương xứng vào các nhóm nhân viên cụ thể.

4. Khi một bác sĩ cần chính đáng một hồ sơ mà họ không được ủy quyền thường lệ để xem, đường phá kính của chúng ta có làm hành động an toàn dễ dàng và hành động không chính đáng hữu hình không? Y tế và chăm sóc khác CNTT doanh nghiệp thông thường chính vì các quy tắc đôi khi phải nhường cho bệnh nhân trước mặt bạn — một ca đến bất tỉnh, một trường hợp khẩn cấp xuyên tổ chức, một bác sĩ ngoài giờ trực một danh sách ca bệnh lạ. Câu hỏi này hỏi liệu truy cập khẩn cấp được thiết kế như một đường rõ ràng, có lý do, được đánh dấu, hay nhân viên bị lặng lẽ buộc chọn giữa chính sách truy cập và phúc lợi của bệnh nhân. Hãy thăm dò các kiểu thất bại ở cả hai đầu: một đường phá kính rườm rà đến mức bác sĩ tránh nó và dùng chung thông tin xác thực thay thế, hoặc một đường không ma sát, không được rà soát đến mức nó trở thành lối vào thường lệ và làm rỗng RBAC hoàn toàn. Hãy thảo luận ai rà soát các sự kiện phá kính, nhanh đến đâu, và tỷ lệ nào hóa ra không chính đáng — một tỷ lệ gần không có thể có nghĩa biện pháp kiểm soát không được dùng chứ không phải sạch. Một câu trả lời tốt có thể mô tả các bước chính xác một bác sĩ thực hiện, việc ghi lý do, đánh dấu ngay cho tổ chức nhà của hồ sơ, và rà soát sau sự việc khép vòng, và có thể cho thấy các trường hợp khẩn cấp thực sự được phục vụ trong khi lạm dụng thực sự bị bắt. Nó trung thực về việc khối lượng phá kính có đang đi theo hướng gợi ý một khoảng trống ủy quyền sâu hơn hay không.

5. Chúng ta có đang quản trị truy cập đặc quyền và phi người chặt như quản trị bác sĩ không — hay đó là nơi rủi ro thực sự nằm? Các biện pháp kiểm soát bảo vệ dữ liệu bệnh nhân tự chúng được ai đó quản trị, và quản trị viên, chủ cơ sở dữ liệu, bộ máy tích hợp và tài khoản báo cáo thường có thể đọc hoặc sửa mọi hồ sơ và tắt chính các biện pháp bảo vệ ràng buộc mọi người khác. Câu hỏi này kéo ra ánh sáng quyền truy cập mà kỷ luật đặc quyền tối thiểu dễ bỏ qua nhất: tài khoản quản trị thường trực, đăng nhập hỗ trợ từ xa của nhà cung cấp, tài khoản dịch vụ có quyền thần thánh, và giao diện tự động lặng lẽ lấy văn bản tự do có thể nhận dạng mà nó không bao giờ cần. Hãy thảo luận liệu danh tính quản trị có tách khỏi tài khoản hằng ngày không, việc nâng quyền là đúng lúc và có giới hạn thời gian hay vĩnh viễn, và các phiên đặc quyền có được ghi và rà soát độc lập không. Hãy cân nhắc riêng hệ thống phi người — ai sở hữu mỗi tài khoản dịch vụ, thông tin xác thực của nó được xoay vòng lần cuối khi nào, và liệu có ai có thể liệt kê chúng hôm nay không. Một câu trả lời tốt xem truy cập đặc quyền là một loại riêng với người sở hữu có tên, bằng chứng nâng quyền đúng lúc, và một bản kiểm kê thực về danh tính máy, thay vì giả định rằng các nguyên lý cơ bản áp dụng cho bác sĩ cũng bao phủ hậu trường. Nó thẳng thắn về các nhà cung cấp, và về bất kỳ tài khoản nào đã trở thành một chìa khóa chủ vĩnh viễn, không được giám sát.

6. Bao nhiêu danh tính của chúng ta phụ thuộc vào các bên ngoài tầm kiểm soát, và chúng ta có cố ý về sự phụ thuộc đó không? Danh tính y tế và chăm sóc hiện đại là liên bang theo thiết kế — một hồ sơ dùng chung tin các khẳng định từ mỗi tổ chức đối tác, các dịch vụ quốc gia như Dịch vụ Danh tính Chăm sóc của NHS và CIS2 bảo chứng cho nhân viên, và NHS login bảo chứng cho công dân — nghĩa là độ mạnh của kiểm soát truy cập của bạn chỉ tốt bằng các nhà cung cấp danh tính bạn dựa vào và các chuẩn ràng buộc các bạn với nhau. Câu hỏi này yêu cầu nhóm vẽ nơi niềm tin được ủy thác: tổ chức nào xác thực người dùng nào, điều gì xảy ra khi quy trình gia nhập/chuyển/rời đi của một đối tác thất bại, và một đăng nhập liên bang bị thu hồi thế nào khi nhân viên của nhà tuyển dụng khác rời đi. Hãy cân nhắc sự di chuyển đang diễn ra từ thẻ thông minh sang xác thực dựa trên chuẩn (CIS2 với MFA và OpenID Connect), và căng thẳng giữa áp dụng hướng quốc gia và giữ các quy trình địa phương hoạt động lúc 3 giờ sáng. Hãy cân nhắc cả khía cạnh chống chịu: nếu một dịch vụ danh tính quốc gia không khả dụng, bác sĩ vẫn có thể truy cập an toàn các hồ sơ họ cần không, hay liên bang trở thành điểm lỗi đơn. Một câu trả lời tốt cho thấy nhóm biết chính xác sự đảm bảo của ai nó đang dựa vào, đã thỏa thuận cách xử lý thu hồi xuyên tổ chức và sự cố, và đang sắp xếp việc chuyển sang xác thực NHS hiện đại một cách có chủ đích thay vì bị cuốn theo. Nó thực tế về các phần của hệ thống chưa thể liên bang hóa và cách chúng được bắc cầu trong thời gian đó.

Trong thực tế: một ví dụ về y tế và chăm sóc#

Hệ thống Chăm sóc Tích hợp Meadowvale đang triển khai một hồ sơ chăm sóc dùng chung để nhân viên bệnh viện, cộng đồng, sức khỏe tâm thần, bác sĩ gia đình và chăm sóc xã hội người lớn có thể thấy một cái nhìn thống nhất về mỗi người. Sớm trong khám phá chương trình nhận ra rằng rủi ro thực sự của nó không phải xây hồ sơ mà là kiểm soát truy cập vào nó: một cái nhìn duy nhất trải qua năm tổ chức nhân lên cả lợi ích an toàn của việc đúng bác sĩ thấy đúng thông tin lẫn tác hại của việc sai người thấy điều nhạy cảm.

Nhóm biến kiểm soát truy cập thành một luồng thiết kế hạng nhất. Họ thống nhất một mô hình vai trò diễn đạt bằng ngôn ngữ lâm sàng — "điều dưỡng cộng đồng", "chuyên gia sức khỏe tâm thần được phê duyệt", "quản lý nhà dưỡng lão" — và ánh xạ mỗi vai trò tới dữ liệu tối thiểu nó cần, với hồ sơ sức khỏe tâm thần và sức khỏe tình dục chịu truy cập chặt hơn, được ủy quyền riêng. Xác thực là liên bang: mỗi tổ chức đối tác xác thực nhân viên của chính mình qua Dịch vụ Danh tính Chăm sóc của NHS hoặc nhà cung cấp danh tính địa phương dùng OpenID Connect, và hồ sơ dùng chung tin các khẳng định đó thay vì tự cấp thông tin xác thực, nên không có mật khẩu mới để quản lý và gia nhập/chuyển/rời đi ở lại với tổ chức tuyển dụng nơi hồ sơ nhân viên có thẩm quyền nằm.

Vì một nhân viên cứu thương hay bác sĩ ngoài giờ đôi khi sẽ cần một hồ sơ mà họ không được ủy quyền thường lệ để xem, nhóm xây một đường phá kính rõ ràng: truy cập khẩn cấp được cấp khi nhập lý do, được đánh dấu ngay cho tổ chức nhà của hồ sơ, và được rà soát trong vòng 48 giờ. Họ dựng một chức năng quản trị thông tin và kiểm toán chung nhỏ rà soát các sự kiện phá kính, chạy cảnh báo về tự tra cứu và tra cứu những cá nhân được đánh dấu, và báo cáo hằng quý cho hội đồng ICS.

Sáu tháng sau khi vận hành, một cảnh báo đánh dấu một điều phối viên chăm sóc nhiều lần mở hồ sơ của người không có liên quan tích cực với ca bệnh của họ. Chức năng kiểm toán điều tra, thấy việc truy cập là cá nhân chứ không phải nghề nghiệp, và tổ chức tuyển dụng thi hành kỷ luật. Không có sự cố an toàn bệnh nhân nào xảy ra, vụ vi phạm bị bắt chủ động, và — vì các biện pháp kiểm soát chứng minh hoạt động — niềm tin công chúng vào hồ sơ dùng chung được giữ vững. Hội đồng ghi nhận rằng cùng năng lực kiểm toán này nay làm bằng chứng cho bản nộp Bộ công cụ Bảo mật và Bảo vệ Dữ liệu của mình (xem Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng).

Góc nhìn theo khu vực#

Công ty khởi nghiệp#

Một công ty y tế số nhỏ xây, chẳng hạn, một ứng dụng theo dõi từ xa có lợi thế là không có hệ thống cũ: nó có thể áp dụng xác thực hiện đại, MFA và liên bang dựa trên chuẩn từ ngày đầu, và tích hợp với NHS login cho công dân và CIS2 cho bác sĩ thay vì phát minh hệ thống danh tính của riêng mình. Mối nguy là tốc độ vượt kỷ luật — thông tin xác thực quản trị mã hóa cứng, một tài khoản siêu người dùng "nhà sáng lập" dùng chung, tài khoản dịch vụ có quyền thần thánh, và không có quy trình người rời đi vì "ai cũng biết ai". Đặc quyền tối thiểu và kiểm toán cảm giác như chi phí chung ở mười người nhưng trở thành nợ kỹ thuật không thể phục hồi ở một trăm. Nước đi thực dụng là mua danh tính như một dịch vụ được quản lý, thực thi MFA và RBAC từ commit đầu tiên, và xem các yêu cầu DTAC (Tiêu chí Đánh giá Công nghệ Số) là ngưỡng tối thiểu cho bất kỳ triển khai NHS nào.

Doanh nghiệp nhỏ#

Một nhà cung cấp nhỏ đã thành lập — một phòng khám bác sĩ gia đình, một hiệu thuốc cộng đồng, một nhà dưỡng lão, một cơ sở chăm sóc tại nhà, một phòng khám đơn lẻ, hoặc một nhà cung cấp công nghệ y tế nhỏ đã qua giai đoạn chưa có doanh thu — mang cùng nghĩa vụ bảo mật và kiểm soát truy cập như một bệnh viện lớn nhưng có bệnh nhân thật trong danh sách, một nhúm nhân viên, và ít hoặc không có năng lực CNTT chuyên trách để đáp ứng. Rủi ro thực tế ở đây không kỳ lạ: đó là tài khoản đăng nhập dùng chung ở quầy lễ tân, mật khẩu hệ thống lâm sàng dán trên màn hình, bác sĩ tạm thời được đưa thẻ thông minh của đồng nghiệp vì đăng ký thẻ mới quá lâu, và tài khoản của người rời đi không bao giờ bị vô hiệu hóa vì không ai sở hữu việc đó. Con đường thực dụng là dựa vào các tính năng danh tính đã được xây vào hệ thống họ mua — thực thi MFA và tài khoản theo từng người, bật ghi nhật ký kiểm toán của nhà cung cấp, và dùng NHS CIS2 và NHS login thay vì thông tin xác thực tự chế — và viết ra một quy trình gia nhập/chuyển/rời đi đơn giản gọi tên một người chịu trách nhiệm, ngay cả khi người đó là người quản lý phòng khám làm bằng tay. Đặc quyền tối thiểu và thu hồi người rời đi trong ngày quan trọng ở mười nhân viên cũng như ở mười nghìn; khác biệt là ở đây chúng phải đạt được bằng quy trình và cấu hình thay vì một nhóm danh tính chuyên trách.

Doanh nghiệp lớn#

Một bệnh viện NHS lớn hoặc ICS chạy hàng chục hệ thống lâm sàng có tuổi đời rất khác nhau, mỗi hệ thống có mô hình danh tính riêng, và thách thức trung tâm của nó là tích hợp và vòng đời ở quy mô lớn. Thẻ thông minh, SSO, quy trình "chạm vào, chạm ra", và một đường ống JML đáng tin từ hồ sơ nhân viên điện tử đều quan trọng ở đây hơn bất kỳ biện pháp kiểm soát thông minh đơn lẻ nào, vì các kiểu thất bại là thất bại về khối lượng: hàng nghìn tài khoản không hoạt động, bùng nổ vai trò, và nhật ký kiểm toán mà không ai đủ năng lực rà soát. Quản lý truy cập đặc quyền là then chốt do số lượng quản trị viên và nhà cung cấp chạm vào hệ thống. Tiến bộ đến từ một chiến lược danh tính hợp lý hóa vai trò, liên bang hóa xuyên hệ thống, và cấp nguồn lực cho một chức năng kiểm toán thường trực — không phải từ các giải pháp điểm gắn thêm vào từng ứng dụng.

Chính phủ#

Một cơ quan quốc gia như NHS England vận hành danh tính như hạ tầng dùng chung cho cả hệ thống: Dịch vụ Danh tính Chăm sóc của NHS và CIS2 cho nhân viên, NHS login cho công dân, và các chế độ chuẩn cùng đảm bảo cho phép hàng trăm tổ chức tin nhau. Các quyết định của nó đặt hướng đi — sự chuyển từ thẻ thông minh sang xác thực hiện đại, việc áp dụng OpenID Connect, thúc đẩy hướng tới không tin cậy — và trách nhiệm giải trình của nó là trước Nghị viện và công chúng về cả bảo mật lẫn tiếp cận công bằng. Căng thẳng nằm giữa chuẩn hóa trung tâm và tính linh hoạt địa phương: bắt buộc quá cứng nhắc thì phá vỡ quy trình địa phương, bắt buộc quá lỏng thì liên bang sụp đổ thành sự không nhất quán. Lăng kính chính phủ do đó là đặt các chuẩn tương tác được (xem Chủ đề 4.3 — Khả năng tương tác và chuẩn dữ liệu), cung cấp các dịch vụ dùng chung đáng tin, và đảm bảo tuân thủ mà không quản lý vi mô từng bệnh viện.

Các kiểu thất bại thường gặp#

• Tài khoản mồ côi và không hoạt động. Người rời đi, nhân viên đã luân chuyển và nhà thầu cũ giữ quyền truy cập còn sống vì JML dựa vào thông báo thủ công. Cách sửa là tự động hóa việc thu hồi từ nguồn có thẩm quyền cộng quét định kỳ tài khoản không hoạt động.
• Bùng nổ vai trò và leo thang đặc quyền. RBAC phân rã thành hàng trăm vai trò chồng chéo và cá nhân tích lũy quyền họ không còn dùng. Đối phó bằng chứng nhận lại định kỳ và hợp lý hóa vai trò theo lịch.
• Dùng chung thông tin xác thực và máy trạm dùng chung. Đăng nhập chậm và thẻ thông minh vụng về đẩy nhân viên dùng chung thẻ và để phiên mở. Giải quyết nguyên nhân gốc bằng SSO, thẻ tiệm cận và chuyển nhanh thay vì khuyến cáo nhân viên cư xử đúng.
• Truy cập đặc quyền thường trực. Quản trị viên và nhà cung cấp giữ tài khoản quyền thần thánh vĩnh viễn có thể vô hiệu hóa chính các biện pháp kiểm soát. Chuyển sang nâng quyền đúng lúc, có giới hạn thời gian, có ghi lại.
• Kiểm toán như đồ trang trí. Nhật ký được thu thập nhưng không bao giờ được rà soát, nên lạm dụng chỉ được phát hiện theo phản ứng. Cấp nguồn lực cho kiểm toán chủ động với cảnh báo cho tự tra cứu và tra cứu nhân vật quan trọng.
• Phá kính như một kẽ hở. Truy cập khẩn cấp tồn tại nhưng không được giám sát, nên nó trở thành con đường ít kháng cự thường lệ. Yêu cầu lý do, đánh dấu mọi lần dùng và rà soát sau sự việc.
• Sân khấu MFA. MFA được bật nhưng trên các yếu tố yếu, có thể bị lừa đảo, hoặc được miễn cho những người dùng đặc quyền bận rộn nhất. Ưu tiên các yếu tố chống lừa đảo nơi rủi ro cao nhất.

Mô hình trưởng thành#

Danh sách kiểm tra#

• Độ mạnh xác thực và phạm vi ủy quyền được quyết định và ghi chép riêng cho mọi hệ thống lâm sàng.
• MFA được thực thi cho mọi truy cập từ xa và đặc quyền, dùng các yếu tố phù hợp với môi trường lâm sàng.
• Đăng nhập một lần và chuyển máy trạm nhanh được triển khai để loại bỏ ma sát đăng nhập và dùng chung thông tin xác thực.
• Mô hình vai trò diễn đạt bằng ngôn ngữ lâm sàng, ánh xạ tới đặc quyền tối thiểu, và hợp lý hóa theo lịch.
• Gia nhập/chuyển/rời đi được tự động hóa từ nguồn nhân viên có thẩm quyền, với thu hồi người rời đi và đình chỉ trong ngày.
• Chứng nhận lại quyền truy cập định kỳ do các quản lý chịu trách nhiệm chạy, với mặc định gỡ bỏ cho truy cập chưa được xác nhận.
• Truy cập đặc quyền được quản lý như một loại riêng: danh tính tách biệt, nâng quyền đúng lúc, ghi lại phiên.
• Các tài khoản phi người và tích hợp được kiểm kê, giới hạn phạm vi theo đặc quyền tối thiểu, và xoay vòng thông tin xác thực.
• Ghi nhật ký kiểm toán toàn diện, chống can thiệp được thiết lập, với cảnh báo chủ động cho tự tra cứu, tra cứu đồng nghiệp và nhân vật quan trọng.
• Truy cập khẩn cấp phá kính được thiết kế với lý do bắt buộc, đánh dấu ngay và rà soát sau sự việc.
• Việc di chuyển từ thẻ thông minh sang xác thực NHS hiện đại (CIS2 / OpenID Connect) được lên kế hoạch và sắp xếp trình tự.
• Lộ trình không tin cậy được thỏa thuận và căn chỉnh với chiến lược kiến trúc kỹ thuật.

Nguồn chính#

• NHS England — hướng dẫn Dịch vụ Danh tính Chăm sóc NHS và Dịch vụ Danh tính Chăm sóc 2 (CIS2)
• NHS England — Bộ công cụ Bảo mật và Bảo vệ Dữ liệu
• Trung tâm An ninh Mạng Quốc gia (NCSC) — Các nguyên tắc thiết kế kiến trúc không tin cậy
• Trung tâm An ninh Mạng Quốc gia (NCSC) — hướng dẫn xác thực đa yếu tố và quản lý danh tính/truy cập
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — tài liệu dịch vụ xác minh danh tính công dân
• DTAC — Tiêu chí Đánh giá Công nghệ Số cho y tế và chăm sóc xã hội
• Các Nguyên tắc Caldicott và nghĩa vụ bảo mật theo thông luật (Vương quốc Anh)

Tài liệu tham khảo#

1. Identity management (identity and access management) — Wikipedia — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
3. Authorization — Wikipedia — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — Wikipedia — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — Wikipedia — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — Wikipedia — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — Wikipedia — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — Wikipedia — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — Wikipedia — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — Wikipedia — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — Wikipedia — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/