KanTa. Liittymismallit KanTa-palveluihin

Transkriptio

1 Liittymismallit 1 (21) KanTa Liittymismallit KanTa-palveluihin Dokumentin muutoshistoria Versio Pvm Tekijä / hyväksyjä Kuvaus KanTa-palveluryhmä, Kela KanTa-palveluryhmä, Kela Lisätty viittaus liitteeseen 1, korvattu viestinvälitys termillä integraatioratkaisu, tarkennettu KanTa-liityntäpisteen kuvausta, lisätty esimerkki apteekin tiedoista osoitehakemistossa KanTa-palveluryhmä, Kela Kpl 1.3 tarkennettu: suositeltu liityntäpisteiden lkm on 1, vaikka organisaatiolla olisi vastaanottopalveluita. Korjattu kuvia 5 ja KanTa-palveluryhmä, Kela Lisätty vastaanottopalveluiden portti KanTa-palveluryhmä, Kela Tarkennettu KanTa-liityntäpisteen määritelmää. Terveydenhuollon varmentaja vaihtunut alkaen..

2 Liittymismallit 2 (21) Sisällys Sisällys... 2 Lyhenteet Yleistä Peruskäsitteet KanTa-liittyjä Vastaanottopalvelut KanTa-liityntäpiste KanTa-välittäjä Palvelinvarmenne Järjestelmäallekirjoitusvarmenne KanTa-osoitehakemisto Tietoliikenteen koontipiste Liittymismallin valinta ja testaus Tietoliikenneyhteys Julkinen internet-yhteys Suljetun asiakasverkon yhteys Tietoliikenneosoitteet Tietoturva Varayhteys Symmetrinen yhteys Liittymän tiedonsiirtokapasiteetti Liittymismallit Liittyminen oman integraatioratkaisun kautta Liittyminen suoraan omassa hallinnassa olevasta potilastieto- tai apteekkijärjestelmästä Liittyminen ulkoistetun liityntäpisteen kautta Pienen organisaation liittyminen internetin kautta... 21

3 Liittymismallit 3 (21) Lyhenteet CA DMZ DNS IP ISO MPLS NAT OID certification authority varmentaja demilitarized zone demilitaroitu alue domain name system nimipalvelujärjestelmä internet protocol internet-yhteyskäytäntö International Organization for Standardization multiprotocol label switching network address translation IP-osoitteen muunnos object identifier yksilöintitunnus taho, joka myöntää varmenteen Lähde: Tiivis tietoturvasanasto (TSK 31, 2004) organisaation lähiverkon fyysinen tai looginen aliverkko, joka yhdistää lähiverkon internetiin järjestelmä, joka muuntaa tekstimuotoiset verkkotunnukset IP-osoitteiksi ja päinvastoin Lähde: Internetpuhelusanasto (TSK 37, 2007) standardiksi muodostunut internetin verkkokerroksen yhteyskäytäntö, joka hoitaa pakettien reitityksen ja loogisen osoitteistuksen Lähde: Matkaviestinsanasto (TSK 29, 2001) kansainvälinen standardisoimisjärjestö menetelmä, jolla kuljetetaan esimerkiksi IPpaketteja ennalta määriteltyjen yhteyksien ylitse nopean runkoverkon solmujen kautta ilman, että solmujen tarvitsee tehdä reititystä internetstandardin mukainen menettely, jossa IPosoitteet muunnetaan toisiksi IP-osoitteiksi yksikäsitteinen tunnus, jolla kohde, esim. esine tai asia, voidaan erottaa muista vastaavista SSL secure sockets layer salauskäytäntö, jolla voidaan suojata internetsovellusten tietoliikenne IP-verkkojen yli TCP transmission control protocol kuljetusyhteyskäytäntö, joka huolehtii tiedonsiirrosta ja varmistaa tiedon perillemenon lähettämällä tiedon tarvittaessa uudelleen Lähde: Internetpuhelusanasto (TSK 37, 2007) TLS transport layer security salauskäytäntö, jolla voidaan suojata internetsovellusten tietoliikenne IP-verkkojen yli URL uniform resource locator URL-osoite internetissä olevan tiedoston, hakemiston tai muun tiedon sekä näiden käyttöön tarvittavan yhteyskäytännön yksilöivä tunnus Lähde: Tietotekniikan termitalkoot,

4 Liittymismallit 4 (21) 1 Yleistä KanTa-palveluihin liittyviä organisaatioita on sekä kooltaan että teknisiltä valmiuksiltaan hyvin erilaisia pienistä apteekeista suuriin sairaanhoitopiireihin. Kela kuvaa yleiset mallit, joilla KanTa-palveluihin voi liittyä, mutta ei säätele organisaation liittymisen teknistä toteutusta yksityiskohtaisesti. Tässä ohjeessa esitellään neljä erilaista liittymismallia KanTa-palveluihin. Mallissa kuvataan yleisellä tasolla, miten tietoliikenne- ja sanomaliikenneyhteydet organisaation tietojärjestelmien ja KanTa-palvelujen välille voidaan toteuttaa. Ohjeessa kuvataan seuraavat liittymismallit: 1. liittyminen oman integraatioratkaisun (viestinvälitysratkaisun) kautta 2. liittyminen suoraan omassa konesalissa olevasta potilastieto- tai apteekkijärjestelmästä 3. liittyminen ulkoistetun liityntäpisteen kautta a. ulkoistettu tietojärjestelmä (esim. ulkoistettu konesali, Software as Service -palvelu) b. ulkoistettu integraatioratkaisu (viestinvälitysratkaisu) c. ulkoistettu tietoliikenne (tietoliikenteen koontipiste) 4. pienen organisaation liittyminen internetin kautta. Liittymismalli ohjaa organisaatiota varmenteiden ja tietoliikenneyhteyksien hankkimisessa. Jokaisessa mallissa on suosituksia ja vaatimuksia hankittaville tietoliikenne- ja sanomaliikenneyhteyksille. Liittymismallit ovat pelkistyksiä. Niissä kuvataan KanTa-liityntää eri näkökulmista. Mallit eivät sulje pois toisiaan, ja organisaation KanTa-liityntä voidaan toteuttaa myös usean mallin yhdistelmänä. Moninaisuutta KanTa-liityntöihin aiheuttavat organisaatioiden olemassa olevat ympäristöt ja yhteydet sekä niiden käyttämät erilaiset ulkoistusratkaisut. Periaatteessa organisaatio on voinut ulkoistaa minkä tahansa osan KanTa-liitynnästään kolmannen osapuolen ns. välittäjän, (ks. 2.4) toteutettavaksi.

5 Liittymismallit 5 (21) 2 Peruskäsitteet 2.1 KanTa-liittyjä KanTa-palveluihin liittyviä organisaatioita ovat terveydenhuollon toimintayksiköt ja pääapteekit. Terveydenhuollon toimintayksiköitä ovat mm. kuntien tai kuntayhtymien terveyskeskukset erikoissairaanhoidon palveluja tuottavat kuntayhtymät yksityiset lääkäriasemat. Apteekkien sivuapteekit ja terveydenhuollon toimintayksiköiden palveluyksiköt liittyvät KanTa-palveluihin sen apteekin tai terveydenhuollon toimintayksikön mukana, jonka alaisuuteen ne kuuluvat. Terveydenhuollon toimintayksikön palveluyksikkö tarkoittaa toimipistettä, jossa toimintayksikkö tuottaa potilaspalveluja. Kaikkien KanTa-palveluihin liittyvien organisaatioiden ja näiden mukana liittyvien palveluyksiköiden ja sivuapteekkien pitää olla rekisteröitynä Terveyden ja hyvinvoinnin laitoksen (THL) ylläpitämään valtakunnalliseen koodistopalveluun joko apteekkirekisteriin (Fimea apteekkirekisteri) tai terveydenhuollon organisaatiorekisteriin (THL SOTE-organisaatiorekisteri). Tätä kautta niiden ISO OID-yksilöintitunnukset ja muut rekisteröidyt tiedot tulevat KanTa-palvelujen käyttöön. 2.2 Vastaanottopalvelut Vastaanottopalveluilla tarkoitetaan web service -palveluja, joita organisaation järjestelmät tarjoavat KanTa-palveluille. Tällaisia ovat sähköisen lääkemääräyksen uusimispyyntöjen vastaanotto sekä earkiston lähetteiden ja notifikaatioiden vastaanotto. Vastaanottopalveluissa kutsuvana osapuolena on KanTa-palvelut ja palvelun tarjoajana organisaatio. Vastaanottopalveluiden tulee toimia https-portissa 443.

6 Liittymismallit 6 (21) 2.3 KanTa-liityntäpiste KanTa-liityntäpisteellä tarkoitetaan pistettä, josta organisaation tietojärjestelmä liittyy KanTa-palveluihin terveydenhuollon varmentajan palvelinvarmenteella salattua ja tunnistettua tietoliikenneyhteyttä pitkin. KanTa-liityntäpisteeseen on asennettu VRK:n tai Valviran myöntämä palvelinvarmenne. Jokaisella KanTa-palveluihin liittyvällä organisaatiolla on vähintään yksi KanTaliityntäpiste. Se voi olla joko organisaation omana toimintana toteutettu tai toisen organisaation toteuttama. Liityntäpisteitä (ja palvelinvarmenteita) voi olla useita, esim. jos organisaation yksiköt liittyvät KanTa-palveluihin suoraan eri tietojärjestelmistä ilman keskitettyä integraatioratkaisua (viestinvälitysratkaisua). organisaation vastaanottopalvelut (esim. uusimispyyntöjen vastaanotto) sijaitsevat eri palvelimessa kuin siinä, josta sen järjestelmät kutsuvat KanTapalveluja. organisaation järjestelmät käyttävät Valviran rooli- ja attribuuttipalvelua eri palvelimesta kuin siitä, josta ne kutsuvat KanTa-palveluja. KanTa-liityntäpisteelle annetaan yksilöivä OID-tunnus. Sitä käytetään myös liityntäpisteeseen asennettavan palvelinvarmenteen yksilöivänä tunnuksena (palvelinvarmenteen Subject-osion serialnumber-kenttä). Tunnus muodostetaan liityntäpisteen toteuttamisesta vastaavan organisaation tai organisaatioyksikön OID-tunnuksen alle solmuun 13. Suosituksena on käyttää eri palvelimilla eri palvelinvarmenteita. Jos kuitenkin on välttämätöntä käyttää samaa palvelinvarmennetta useassa eri palvelimessa (esimerkiksi klusteritoteutuksesta seuraavien rajoitusten vuoksi), kysymyksessä on sama KanTaliityntäpiste. Näin on, vaikka kaikki klusterin jäsenet näkyisivät ulospäin omilla tietoliikenneosoitteillaan (IP-osoite), ts. klusterille ei ole yhteistä virtuaaliosoitetta. Suosituksena on määritellä yhdelle liityntäpisteelle yksi tietoliikenneosoite (IP-osoite tai julkisesta nimipalvelusta löytyvä DNS-nimi, ks. kohta 4.3 Tietoliikenneosoitteet). Yhdelle liityntäpisteelle voidaan kuitenkin määritellä useampi osoite, jos se on tarpeen esimerkiksi varayhteyden järjestämiseksi. Tällöinkin yksi osoitteista on ensisijainen tietoliikenneosoite. Vastaanottopalveluita tarjoava liityntäpiste ei voi myöskään sijaita kuin yhdessä tietoliikenneosoitteessa.

7 Liittymismallit 7 (21) 2.4 KanTa-välittäjä Välittäjällä tarkoitetaan terveydenhuollon organisaation tai apteekin KanTaliityntäpisteen toteuttamisessa käyttämää palveluntarjoajaa, jolla on tässä roolissa mahdollisuus nähdä salaamattomia potilastietoja, esim. ylläpitotoimien yhteydessä. Terveydenhuollon varmentajan palvelinvarmenteella toteutettava SSL/TLS-salattu yhteys muodostetaan yleensä välittäjän ja KanTa-palvelujen välille. Välittäjäksi ei määritellä organisaatiota, joka toimii ainoastaan SSL/TLS-salatun tietoliikenteen reitittäjänä eikä voi nähdä salaamattomia potilastietoja. Välittäjän erityistapaus on organisaatio, joka on itse KanTa-liittyjä, esim. sairaanhoitopiiri tai sen liikelaitos. Välittäjien rekisteröinti ja auditointi toteutetaan sosiaali- ja terveysministeriön antamien ohjeiden mukaisesti. Terveydenhuollon varmentajan palvelinvarmenne voi olla joko liittyjän tai välittäjän nimissä. Jos välittäjä toteuttaa yhteisen liityntäpisteen ja siihen liittyvät palvelut usealle KanTa-liittyjälle, hankitaan palvelinvarmenne välittäjän nimiin. Välittäjä voi toteuttaa osan liityntäpisteen palveluista myös alihankintana. Sen välittäjä joka hallinnoi liityntäpistettä eli jonka nimissä palvelinvarmenne on, pitää olla sopimussuhteessa terveydenhuollon organisaation tai apteekin kanssa. 2.5 Palvelinvarmenne Välittäjän toteuttaman liityntäpisteen OID-tunnus muodostetaan välittäjän OIDtunnuksen alle solmuun 13. Palvelinvarmennetta tarvitaan, jotta voidaan muodostaa salattu SSL/TLS-yhteys KanTa-palvelujen ja KanTa-liityntäpisteen välille sekä tunnistaa KanTa-liityntäpiste. Jokaista KanTa-liityntäpistettä varten pitää hankkia oma palvelinvarmenne VRK:sta. Palvelinvarmenne ja KanTa-liityntäpiste kytketään toisiinsa palvelinvarmenteen Subject-osion serialnumber-kentän välityksellä. Sen arvoksi tulee KanTa-liityntäpisteen OID-tunnuksen arvo. Palvelinvarmenteen Subject-osion commonname-kenttään tulee arvoksi liityntäpisteen ensisijaisen tietoliikenneyhteyden (ks. kohta 2.3 KanTaliityntäpiste) tietoliikenneosoite. Palvelinvarmennetta voidaan käyttää myös organisaation ja ulkoistetun KanTaliityntäpisteen välisen liikenteen salaamisessa ja liikennöivien osapuolien tunnistamisessa.

8 Liittymismallit 8 (21) 2.6 Järjestelmäallekirjoitusvarmenne earkiston palveluja käytettäessä tarvitaan terveydenhuollon varmentajan myöntämä järjestelmäallekirjoitusvarmenne. Siihen liittyvällä yksityisellä avaimella allekirjoitetaan kaikki KanTaan lähetettävät asiakirjat, joita ei ole allekirjoitettu ammattihenkilön varmenteella. Järjestelmäallekirjoitusvarmenne on organisaatiokohtainen, ja earkistoon liittyvä terveydenhuollon toimintayksikkö tarvitsee ainoastaan yhden järjestelmäallekirjoitusvarmenteen. Jos organisaatiolla on useita potilastietojärjestelmiä, se voi käyttää kaikissa samaa järjestelmäallekirjoitusvarmennetta. 2.7 KanTa-osoitehakemisto Kela ylläpitää tietoja KanTa-liittyjien liityntäpisteistä osoitehakemistossaan. Organisaatio ilmoittaa käyttämiensä omien tai ulkoisten KanTa-liityntäpisteiden tiedot Kan- Ta-palvelujen liittymishakemuksessa. Osoitehakemisto toimii osoitteistona ja on osa KanTa-palvelujen pääsynhallintaa. Sinne tallennetaan organisaation vastaanottopalvelujen tietoliikenneosoitteet ja organisaation käytettävissä olevat KanTa-palvelut. Jokaisesta KanTa-liityntäpisteestä tallennetaan seuraavat tiedot: liityntäpistettä käyttävän organisaation tai organisaatioyksikön OID-tunnus liityntäpisteen OID-tunnus (solmu 13) järjestelmän tyyppi (potilastietojärjestelmä tai apteekkijärjestelmä) sallitut KanTa-palvelut (Kela määrittelee nämä) vastaanottopalvelujen URL-osoitteet. tietoliikenneosoitteet (IP-osoitteet) Osoitehakemistossa ylläpidetään tietoa siitä, mikä organisaatioyksikkö käyttää mitäkin liityntäpistettä. Organisaatioyksikkö, jolle ei ole määritelty omaa liityntäpistettä, perii ylemmällä tasolla olevan organisaatioyksikön liityntäpisteen eli on liittynyt KanTapalveluihin sen kautta. Kuvassa 1 organisaation yksi organisaatioyksikkö on liittynyt KanTa-palveluihin oman liityntäpisteen kautta ja muut organisaatioyksiköt organisaation ylimmälle tasolle määritellyn liityntäpisteen kautta.

9 Liittymismallit 9 (21) KanTa-liityntäpiste 1 TERVEYSKESKUS KanTa-liittyjä OID y-tunnus.10.0 TERVEYSASEMA Palveluyksikkö 1 OID y-tunnus.10.1 TERVEYSASEMA Palveluyksikkö 2 OID y-tunnus.10.2 SAIRAALA Palveluyksikkö 3 OID y-tunnus.13.0 järjestelmän tyyppi sallitut KanTa-palvelut vastaanottopalvelujen URLosoitteet IP-osoitteet käyttää ylemmän organisaatiotason KanTa-liityntäpistettä KanTa-liityntäpiste 2 OID y-tunnus.13.1 tai OID y-tynnus OID y-tunnus.10.3 Kuva 1. Organisaatiolla on kaksi omaa KanTa-liityntäpistettä. järjestelmän tyyppi sallitut KanTa-palvelut vastaanottopalvelujen URLosoitteet KanTa-liityntäpiste APTEEKKI KanTa-liittyjä OID apteekkinro1 OID apteekkinro järjestelmän tyyppi sallitut palvelut KanTasta IP-osoitteet SIVUAPTEEKKI OID apteekkinro2 käyttää ylemmän organisaatiotason KanTa-liityntäpistettä Kuva 2. Apteekki ja sen sivuapteekki liittyvät KanTa-palveluihin oman KanTaliityntäpisteen kautta.

10 Liittymismallit 10 (21) Organisaation tietoihin tallennetaan sen käyttämän KanTa-liityntäpisteen tiedot myös silloin, kun liityntäpiste on toisen organisaation hallussa. Kuvassa 3 terveyskeskus on liittynyt KanTa-palveluihin sairaanhoitopiirin KanTa-liityntäpisteen kautta. SHP KanTa-liittyjä OID SHP:n y-tunnus.10.0 TERVEYSKESKUS KanTa-liittyjä OID Kunnan y-tunnus.10.0 käyttää toisen organisaation KanTa-liityntäpistettä SHP:N LIITYNTÄPISTE KanTa-liityntäpiste OID SHP:n y- tunnus.13.0 järjestelmän tyyppi sallitut KanTa-palvelut IP-osoitteet Kuva 3. Organisaatio käyttää ulkoista KanTa-liityntäpistettä. 2.8 Tietoliikenteen koontipiste Tietoliikenteen koontipisteellä tarkoitetaan palvelua, jossa eri organisaatioista KanTapalveluihin kulkeva TCP/IP-tietoliikenne kootaan yhteen ja reititetään KanTapalveluihin yhteistä tietoliikenneyhteyttä pitkin ja jossa vastaavasti KanTa-palveluista tuleva liikenne reititetään vastaanottajan IP-osoitteen perusteella eri organisaatioihin. Tietoliikenteen reitityksellä ei ole vaikutusta yhteyksien SSL/TLS-salaukseen: salausta ei pureta eikä muodosteta koontipisteessä, eivätkä resepti- ja potilastiedot näy salaamattomina. Tietoliikenteen koontipisteessä voidaan tarvittaessa tehdä osoitteenmuunnos niin, että kaikki koontipisteen kautta kulkeva liikenne näyttää tulevan samasta osoitteesta. Näissä tapauksissa KanTa-liityntäpisteen palvelinvarmenne ja tietoliikenneosoite sijaitsevat eri organisaatioissa, palvelinvarmenne liittyvässä organisaatiossa tai välittäjällä ja tietoliikenneosoite koontipistettä hallinnoivassa organisaatiossa.

11 Liittymismallit 11 (21) 3 Liittymismallin valinta ja testaus Liittymismallin valinta edellyttää, että organisaatio määrittelee organisaatioyksikköhierarkiansa, selvittää KanTa-palveluihin liitettävät tietojärjestelmänsä sekä näiden käyttämät liityntäpisteet ja tietoliikenneyhteydet. Määrittelyssä on suositeltavaa edetä ylhäältä alas, organisaation tasolta tietoliikenneratkaisuihin: 1. organisaation OID-tunnusten ja organisaatioyksiköiden välisen hierarkian määrittely 2. KanTa-palveluihin liittyvien tietojärjestelmien määrittely/kuvaaminen 3. KanTa-palveluille tarjottavien palvelujen, integraatio- (viestinvälitys-) ja ulkoistusratkaisujen määrittely 4. tietoliikenneratkaisujen (mm. kapasiteetti, varayhteydet) määrittely. Liitynnän toteutuksen jälkeen testauksessa edetään päinvastaiseen suuntaan, tietoliikenteen tasolta organisaation tasolle. Testauksen vaiheet ovat 1. TCP/IP-yhteyden testaus 2. SSL/TLS-yhteyden testaus (palvelinvarmenteet, molempiin suuntiin vastaanottopalveluiden osalta) 3. viestinvälityksen testaus (myös vastaanottopalvelusanomien) 4. OID-tunnusten oikeellisuuden testaus sanomissa (sovellustaso). Suunnittelu ja testaus Organisaatio Tietojärjestelmät Liityntäpisteet Organisaatioyksiköt (OID-tunnukset) Liittyvät tietojärjestelmät (ja käytettävät palvelut) Palvelurajapinnat, integraatio- ja ulkoistusratkaisut Tietoliikenne Tietoliikenneratkaisut, kapasiteetti, varajärjestely Kuva 4. Liittymismallin suunnittelu ja testaus.

12 Liittymismallit 12 (21) 4 Tietoliikenneyhteys Liittyvä organisaatio vastaa tietoliikenneoperaattorilta hankkimastaan tietoliikenteestä ja määrittelee käyttämiensä yhteyksien ominaisuudet omien kapasiteetti-, laatu- ja palvelutasovaatimustensa mukaisiksi. Kela vastaa palvelun sisäisestä tietoliikenteestä tietoliikenneoperaattorin rajapintaan asti. Tässä kappaleessa on esitetty tietoliikenneyhteydelle asetetut keskeiset vaatimukset ja suositukset yleisellä tasolla. Tarkempaa ohjeistusta tietoliikenneyhteyksien määrittelemisen ja hankkimisen tueksi löytyy liitteestä 1: KanTa-tietoliikenneyhteyksien suunnittelu ja toteutus. 4.1 Julkinen internet-yhteys KanTa-palveluihin voi liittyä julkisen internetin kautta. Vaihtoehto on kuitenkin tarkoitettu ensisijaisesti pienille apteekeille tai terveydenhuollon organisaatioille, jotka eivät tarjoa vastaanottopalveluja. Vastaanottopalveluja tarjoava organisaatio joutuu avaamaan palomuurissaan portin ulkoverkosta sisäverkkoonsa, mikä tavallista internetliittymää käytettäessä altistaa organisaation palvelunestohyökkäyksille. 4.2 Suljetun asiakasverkon yhteys Suljetun asiakasverkon liittymälle tietoliikenneoperaattori takaa tietyn kapasiteetin koko liittymän matkalle. Suljetun verkon liittymä (MPLS tai vastaava) tilataan tietoliikenneoperaattorilta yhden organisaation, organisaatioiden yhteisen KanTa-liityntäpisteen tai tietoliikennesolmun ja KanTa-palvelujen välille. Organisaatiossa on varauduttava siihen, että yhteyden toteuttaminen voi kestää useita viikkoja. Yhteyden pitää olla valmis silloin, kun organisaatio tekee liittymishakemuksen KanTa-palveluihin. 4.3 Tietoliikenneosoitteet 4.4 Tietoturva KanTa-liityntäpisteelle määriteltyjen IP-osoitteiden pitää olla kiinteitä ja julkisia. Ylläpidon helpottamiseksi ja virhemahdollisuuksien minimoimiseksi varmenteissa on parempi käyttää DNS-nimiä kuin IP-osoitteita. KanTa-liityntäratkaisun tulee täyttää tieto- ja sanomaliikenteen tietoturvavaatimukset (ks. KanTa tietoliikenteen tietoturva: KanTa-liittymän sanomaliikenteen tietoturvavaatimukset -dokumentti) sekä sosiaali- ja terveysministeriön auditointikriteereissä tietoturvalle asetetut muut vaatimukset. Näihin kuuluu mm. tilallinen palomuuri ja virustorjunnasta huolehtiminen.

13 Liittymismallit 13 (21) 4.5 Varayhteys Organisaation ja KanTa-palvelujen välisen tietoliikenneyhteyden kahdentaminen on suositeltavaa. Liittymän tilaajan kannattaa varmistaa tietoliikenneoperaattoriltaan, että ensisijainen yhteys ja varayhteys kulkevat aidosti eri reittejä koko matkan. Varmistaminen voi olla mahdotonta, jos liittymät ostetaan eri operaattoreilta, koska operaattorit eivät yleensä paljasta liittymiensä fyysisiä yhteyksiä. Jos yhteyden toteuttaminen täysin kahdennettuna ei ole mahdollista, on suositeltavaa kahdentaa yhteys niin pitkälle kuin on taloudellisesti järkevää. Yhteyksien kahdentamisessa on muistettava myös, että organisaation vastaanottopalveluilla (esim. uusimispyynnön vastaanotto) pitää olla yksikäsitteiset osoitteet. Yhteyksien kahdennus pitää siis toteuttaa siten, että varayhteyden ja ensisijaisen yhteyden tietoliikenneosoitteet ovat samat niissä liityntäpisteissä, joissa vastaanottopalvelut sijaitsevat. 4.6 Symmetrinen yhteys Suositeltavaa on käyttää nopeudeltaan symmetristä tietoliikenneyhteyttä. Tämä tarkoittaa sitä, että siirtokapasiteetti on kumpaankin suuntaan yhtä suuri. 4.7 Liittymän tiedonsiirtokapasiteetti Liittymän tiedonsiirtokapasiteettitarpeen määrittely on KanTa-liittyjän vastuulla. Kapasiteettitarpeen arvioinnissa tulee huomioida liikennöintimäärä ja toiminnan kriittisyys. Tarkempaa ohjeistusta tiedonsiirtokapasiteetin arviointiin löytyy liitteestä 1. Terveydenhuollon organisaatioiden tulee varmistua myös liittymän skaalautuvuudesta, koska liikenteen määrät kasvavat earkiston palveluiden käyttöönoton yhteydessä.

14 Liittymismallit 14 (21) 5 Liittymismallit Tässä esitellyt liittymismallit eivät sulje pois toisiaan, ja organisaation KanTa-liityntä voi olla yhdistelmä eri malleja. 5.1 Liittyminen oman integraatioratkaisun kautta Tässä mallissa KanTa-liittyjällä tai KanTa-välittäjällä on integraatioratkaisu (viestinvälitysratkaisu), jonka kautta KanTa-palveluihin liittyy useita järjestelmiä, organisaatioyksiköitä tai organisaatioita. Integraatioratkaisun tehtävänä on reitittää sanomat sovelluspalvelimille, jotka voivat sijaita eri organisaatioyksiköissä tai organisaatioissa. Terveydenhuollon varmentajan myöntämä palvelinvarmenne asennetaan integraatioratkaisun yhteyteen. Tällä palvelinvarmenteella muodostetaan tunnistettu ja salattu yhteys KanTa-palveluihin. Palvelinvarmennetta voidaan tarvita myös integraatioratkaisun ja liitettävien tietojärjestelmien välillä osapuolten identiteetin varmistamisessa ja tiedonsiirron salaamisessa. Integraatioratkaisun käyttö mahdollistaa useiden järjestelmien, organisaatioyksiköiden tai organisaatioiden liittymisen KanTaan samaa tietoliikenneyhteyttä pitkin. Tapausesimerkkinä on sairaanhoitopiiri tai alueellinen IT-palveluntuottaja, jolla on tai joka hallinnoi useita potilastietojärjestelmiä ja tarjoaa alueensa terveyskeskuksille liityntäpisteen KanTa-palveluihin (kuva 5). ORGANISAATIO Potilastietojärjestelmä -järjestelmäallekirjoitusvarmenne KELA SHP KanTa-palvelut (DMZ) Potilastietojärjestelmä -järjestelmäallekirjoitusvarmenne Viestinvälitystuote KanTa-liityntäpiste -palvelinvarmenne Potilastietojärjestelmä -järjestelmäallekirjoitusvarmenne Kuva 5. Organisaatiolla on useita tietojärjestelmiä, ja se tarjoaa liityntäpisteen KanTapalveluihin toiselle organisaatiolle.

15 Liittymismallit 15 (21) Malli soveltuu organisaatiolle, jolla on useita KanTaan liitettäviä tietojärjestelmiä jonka kautta KanTaan liittyy myös muita organisaatioita. Vaatimukset liittymälle: suljetun asiakasverkon yhteys, esim. MPLS kiinteät ja julkiset tietoliikenneosoitteet tilallinen palomuuri ja muu tietoturva palvelinvarmenne integraatioratkaisun yhteydessä tai erillisessä aktiivilaitteessa järjestelmäallekirjoitusvarmenne potilastietojärjestelmän yhteydessä (earkistoon liityttäessä) integraatioratkaisun ja tietojärjestelmien välillä osapuolten identiteetin varmistaminen, esim. terveydenhuollon varmentajan palvelinvarmenteella SSL/TLS-salattu tai vastaavasti suojattu yhteys organisaatioiden välillä, toteutettu esim. terveydenhuollon varmentajan palvelinvarmenteella. Suositukset liittymälle: kahdennettu, nopeudeltaan symmetrinen liittymä kapasiteettitarpeen ja toiminnan kriittisyyden mukaiset tekniset ja ylläpidolliset laatuvaatimukset.

16 Liittymismallit 16 (21) 5.2 Liittyminen suoraan omassa hallinnassa olevasta potilastieto- tai apteekkijärjestelmästä Tässä mallissa organisaation KanTaan liitettävä järjestelmä ja KanTa-liityntäpiste ovat organisaation omassa hallinnassa. Palvelinvarmenne asennetaan suoraan sovelluspalvelimelle tai erilliseen aktiivilaitteeseen potilastieto- tai apteekkijärjestelmän yhteyteen. Organisaatiolla voi olla useita KanTa-liityntäpisteitä, jos sillä on useita liitettäviä tietojärjestelmiä eikä niille ole mahdollista toteuttaa yhteistä liityntäpistettä tai jos organisaatio vastaanottaa sähköisen lääkemääräyksen uusimispyynnöt tai käyttää Valviran rooli- ja attribuuttipalvelua eri osoitteessa kuin siinä, josta se kutsuu KanTa-palveluja. Tapausesimerkkinä mallista on terveydenhuollon organisaatio, joka liittyy KanTapalveluihin suoraan omassa hallinnassa olevasta potilastietojärjestelmästä (kuva 6). ORGANISAATIO KELA Potilastietojärjestelmä KanTa-liityntäpiste palvelinvarmenne järjestelmäallekirjoitusvarmenne KanTa-palvelut (DMZ) Kuva 6. Suoraan omassa hallinnassa olevasta potilastietojärjestelmästä KanTaan liittynyt terveydenhuollon organisaatio. Malli soveltuu organisaatiolle, jolla on yksi omassa hallinnassa oleva potilastieto- tai apteekkijärjestelmä. Vaatimukset liittymälle: suljetun asiakasverkon yhteys, esim. MPLS kiinteät ja julkiset tietoliikenneosoitteet tilallinen palomuuri ja muu tietoturva palvelinvarmenne/liityntäpiste

17 Liittymismallit 17 (21) järjestelmäallekirjoitusvarmenne potilastietojärjestelmän yhteydessä (earkistoon liityttäessä). Suositukset liittymälle: kahdennettu, nopeudeltaan symmetrinen liittymä kapasiteettitarpeen ja toiminnan kriittisyyden mukaiset tekniset ja ylläpidolliset laatuvaatimukset.

18 Liittymismallit 18 (21) 5.3 Liittyminen ulkoistetun liityntäpisteen kautta Tässä mallissa organisaatio on liittynyt KanTa-palveluihin välittäjän toteuttaman Kan- Ta-liityntäpisteen kautta. Organisaatio on voinut ulkoistaa välittäjälle tietojärjestelmän (esim. jaettu tietojärjestelmä SaaS-palveluna) viestinvälityksen ja/tai tietoliikenteen. Palvelinvarmenne on yleensä välittäjän nimissä, ja se asennetaan liityntäpisteen yhteyteen. Tapausesimerkkejä tietojärjestelmän tai viestinvälityksen ulkoistamisesta ovat alueellisen IT-palveluntuottajan kautta KanTa-palveluihin liittynyt terveydenhuollon toimintayksikkö (kuva 7) tai apteekkiverkon kautta liittynyt apteekki. ORGANISAATIO Potilastietojärjestelmä -järjestelmäallekirjoitusvarmenne VÄLITTÄJÄ Viestinvälitystuote KanTaliityntäpiste -palvelinvarmenne KELA KanTa-palvelut (DMZ) ORGANISAATIO Potilastietojärjestelmä -järjestelmäallekirjoitusvarmenne Kuva 7. Kaksi alueellisen IT-palveluntuottajan välityksellä KanTa-palveluihin liittynyttä terveydenhuollon organisaatiota. Vaatimukset liittymälle: SSL/TLS-salaus tai vastaava liittyvän organisaation ja välittäjäorganisaation välillä, esim. terveydenhuollon varmentajan palvelinvarmenteella integraatioratkaisun (viestinvälitysratkaisun) ja tietojärjestelmien välillä osapuolten identiteetin varmistaminen, esim. terveydenhuollon varmentajan palvelinvarmenteella suljetun asiakasverkon yhteys, esim. MPLS, välittäjäorganisaation ja KanTapalvelujen välillä

19 Liittymismallit 19 (21) edellyttää välittäjäorganisaation auditointia palvelinvarmenne välittäjäorganisaation nimissä järjestelmäallekirjoitusvarmenne potilastietojärjestelmän yhteydessä joko liittyjällä tai välittäjäorganisaatiolla, kuitenkin liittyvän organisaation nimissä (earkistoon liityttäessä). Suositukset liittymälle: kahdennettu, nopeudeltaan symmetrinen liittymä kapasiteettitarpeen ja toiminnan kriittisyyden mukaiset tekniset ja ylläpidolliset laatuvaatimukset. Ulkoistettu tietoliikenne Tietoliikenteen koontipisteellä tarkoitetaan palvelua, jossa eri organisaatioista KanTapalveluihin kulkeva tietoliikenne kootaan yhteen ja ohjataan KanTa-palveluihin yhteistä tietoliikenneyhteyttä pitkin ja jossa vastaavasti KanTa-palveluista tuleva liikenne reititetään eri organisaatioihin. Tietoliikenteen reititys ei vaikuta yhteyksien SSL/TLSsalaukseen: salausta ei pureta eikä muodosteta koontipisteessä, eivätkä resepti- ja potilastiedot näy salaamattomina. Tällaisen tietoliikenteen koontipisteen toteuttavia palveluntarjoajia eivät myöskään koske samat auditointivaatimukset kuin KanTavälittäjiä tai KanTa-liittyjiä. Koontipisteellä on vaikutusta KanTa-palveluihin liittymiseen ainoastaan, jos liityntäpisteen tietoliikenneosoite määräytyy koontipisteessä. Välittäjän tai liittyvän organisaation pitää silloin ilmoittaa palvelinvarmennehakemuksessa koontipisteen tietoliikenneosoite. Vaatimukset koontipisteelle: Vastaanottopalvelujen (esim. uusimispyyntöjen vastaanotto) osoitteiden pitää olla yksikäsitteiset myös koontipisteen kautta liikennöitäessä. Palvelinvarmenne on liittyvällä organisaatiolla tai välittäjällä.

20 Liittymismallit 20 (21) ORGANISAATIO Potilastietojärjestelmä KanTa-liityntäpiste palvelinvarmenne järjestelmäallekirjoitusvarmenne PALVELUN- TARJOAJA KELA Tietoliikenteen koontipiste KanTa-palvelut (DMZ) ORGANISAATIO Potilastietojärjestelmä KanTa-liityntäpiste palvelinvarmenne järjestelmäallekirjoitusvarmenne Kuva 8. Ulkoisen koontipisteen kautta KanTa-palveluihin liittyneitä terveydenhuollon organisaatioita.

21 Liittymismallit 21 (21) 5.4 Pienen organisaation liittyminen internetin kautta Tässä mallissa organisaatio liittyy KanTa-palveluihin julkisen internetin kautta. Palvelinvarmenne asennetaan joko suoraan sovelluspalvelimelle tai verkon DMZ-alueelle (demilitarisoitu alue). Tapausesimerkkinä liittymismallista on pieni apteekki (kuva 9). APTEEKKI KELA Apteekkijärjestelmä KanTa-liityntäpiste palvelinvarmenne KanTa-palvelut Kuva 9. Internetin kautta KanTa-palveluihin liittynyt apteekki. Vaatimukset liittymälle: kiinteät ja julkiset tietoliikenneosoitteet tilallinen palomuuri ja muu tietoturva palvelinvarmenne/liityntäpiste järjestelmäallekirjoitusvarmenne potilastietojärjestelmän yhteydessä. Suositukset liittymälle: kahdennettu, nopeudeltaan symmetrinen liittymä toiminnan kriittisyyden mukainen SLA-taso.