Potilastiedot ja tietoturvallisuus Tietoturvaselvitykset ja asiantuntijakonsultointi roolipohjaisen käyttäjähallinnan osalta

Transkriptio

1 Potilastiedot ja tietoturvallisuus Tietoturvaselvitykset ja asiantuntijakonsultointi roolipohjaisen käyttäjähallinnan osalta Terveydenhuollon atk-päivät , Redicom Oy

2 REDICOM Oy Redicom on riippumaton konsulttitalo, joka on keskittynyt käyttäjä- ja käyttövaltuushallinnan, kertakirjautumisen ja tietoturvan konsultointiin. Toimimme yleensä asiakkaan tukena tuottamalla esimerkiksi vaatimusmäärittelyjä sekä autamme kilpailutuksessa ja projektin läpiviennissä. 2

3 Redicomin konsultointiasiakkaita Valtiokonttori Primaca Partners Oy Haminan kaupunki OK Perintä Salon kaupunki Liikennevakuutuskeskus AX-Konsultit Oy TKP Tieto Oy Medi IT PÄIJÄT-HÄMEEN SOSIAALI- JA TERVEYSYHTYMÄ 3

4 Mistä on kyse IDM= Identity Management IAM = Identity and Access Management Käyttäjä- ja käyttövaltuushallinnointi SSO = Single Sign On ESSO = Enterprise Single Sign On Kertakirjautuminen 4

5 Miten käyttäjä- ja käyttövaltuushallintaa kannattaa lähestyä Seuraavassa ajatuksia roolipohjaisen käyttöhallinnan kehittämisestä Eli miten asia pitää määritellä ja ottaa käyttöön Ei ole pelkästään tekninen projekti(!!!), vaan mitä suurimmassa määrin toimintamallien ja prosessien kehittämistä. 5

6 Mistä on kyse Prosessi Tietokanta myönnetyistä käyttöoikeuksista Pääsynhallinta -SSO, Tunnistaminen Provisiointi Raportointi/ auditointi 6

7 Käyttäjähallinta (IDM) Salasanahallinta Provisioning Identiteetti- ratkaisut Provisiointi WEB pääsynhallinta Single Sign-On Resurssien hallinta Portaalit IDM Teknologia Pääsyn- hallinta & Auditointi Käyttäjä- hallinta SSO Roolipohjainen hallinta Roolipohjainen pääsynhallinta Delegoitu hallinta Federoitu tunnistaminen Työvuo Lokien seuranta & auditointi Itsepalvelu Tapahtuma Monitorointi Politiikka Notifiointi Tietoturva Käyttäjätiedon integrointi Federoitu Meta-hakemisto Hakemistopalvelut Prosessit 7

8 Workshop Nyky- ja tavoitetilan määrittely Kilpailutus Projekti (edetään vaiheittain) Jatkoprojekti Miten edetään 8

9 Käsitteet tutuksi => yhteinen kieli 1 pv, asian läpikäyntiä/koulutusta Workshop 9

10 Nyky- ja tavoitetilan määrittely Käydään nykyprosessit ja käytännöt käyttöoikeuksien myöntämisessä Etsitään ongelmakohdat ja niihin ratkaisut Määritellään tavoitetila ja hankesuunnitelma Asiat: Käyttövaltuuksien myöntämisprosessi Sovellusten omistajat Muutosten tiheys/määrä/ sovellus Master-sovellus ( Yleensä HR) Provisiointitarpeet ( automaattinen/manuaalinen) Pääsynhallinta Tarve vahvaan tunnistamiseen ( toimikortit, tokenit)» Korttiprosessit, yms. Kertakirjautuminen» Yhteiskäyttöiset työasemat, tietoturvapolitiikat Roolien määrittely 10

11 Nyky- ja tavoitetilan määrittely /2 Auditointi/ Raportointitarpeet Vaaralliset käyttöoikeusyhdistelmät Käyttöoikeuksien auditointi / raporttien suunnittelu Itsepalvelutarpeet / salasanan resetointi Viedäänkö idm-kantaan myös muita käyttäjälle luovutettuja asioita kuten avaimet, puhelin, työasema jne. Alustava hankesuunnitelma ja kustannusarvio 11

12 Kilpailutus Vaatimusmäärittely tavoitetilan määrittelystä Tekniset vaatimukset Prosessi- ja toiminnalliset vaatimukset Tarjouspyyntö Valintakriteerit Tarjouksen runko, jotta saadaan vertailukelpoisia tarjouksia Hinnoittelurunko Pakolliset vaatimukset Alustava projektisuunnitelma 12

13 Miksi kertakirjautumista (SSO) halutaan Salasanat unohtuvat, liian monta salasanaa muistettavaksi Tukipyynnöistä noin 40 % liittyy käyttäjätunnusten ja salasanojen hallintaan Käyttäjätunnukset ja salasanat ovat näppäimistön alla keltaisilla lapuilla tai muuten näkyvissä. ( Tietoturva!) Käyttäjä haluaa kertakirjautumista sovelluksiin! Kirjautumisaika nopeutuu Koneella useita käyttäjiä Vahva käyttäjän tunnistaminen toimikortilla (TEO), tietoturva lisääntyy. Tietoturvapolitiikkaa voidaan kiristää ilman, että käyttäjä kokee sen hankalaksi. 13

14 Projekti Vaiheittainen eteneminen Automaattisissa provisioinneissa määriteltävä vastaavuudet Mietittävä, missä ihan oikeasti tarvitaan automaattista provisiointi Kustannushyöty Tekninen kytkentä IDM/ sovellus Useita eri tapoja Roolit, jos ei ole määritelty aikaisemmin Käyttöönotto vaiheittain ( esim. osasto kerrallaan, sovellus kerrallaan) Kertakirjautumisen (SSO) käyttöönotto omana projektinaaan Koulutus! Käyttöoikeuksien hyväksyminen siirtyy esimiehille => muutosvastarinnan voittaminen Johdon tuki 14