Terveydenhuollon ATK päivät TURKU

Transkriptio

1 Ari Pätsi Tietohallintopäällikkö Aulikki Hautsalo Johtava tietojärjestelmäsuunnittelija Terveydenhuollon ATK päivät TURKU

2 Terveydenhuoltopiiristä lyhyesti Terveydenhuoltopiiri (Sosteri) aloitti toimintansa Samassa organisaatiossa: Erikoissairaanhoito Perusterveydenhuolto Sosiaalitoimen vanhustenhuolto, päihdehuolto sekä kasvatus- ja perheneuvola

3 Terveydenhuoltopiiristä lyhyesti Terveyden edistäminen sairauksien ehkäisy sairauksien tutkimus ja hoito - kuntoutus hoiva ja huolenpito Vakituista henkilöstöä n Sijaisia n. 450/kk

4 Käyttöoikeuksien hallinta VAHVA AUTENTIKOINTI VAHVA AUTENTIKOINTI KERTAKIRJAUTUMINEN TYÖASEMAPOHJAINEN KERTAKIRJAUTUMINEN WEB POHJAINEN IDENTITEETIN HALLINTA IDENTITEETIN HALLINTA Työnkulku ja käyttöliittymä Seuranta Raportointi Tietokanta

5 Vahva autentikointi toimikortilla Todentaa käyttäjän työasemaan kirjauduttaessa Käytössä Varsinais-Suomen sairaanhoitopiirin varmennepalvelu Toimikortti Kaikilla työntekijöillä käytössä n kpl kortteja jaettu Käytössä myös sijaisilla Kortit tehdään ja personoidaan sairaanhoitopiirissä Tietohallinto huolehtii korttien; jakamisen revokoinnin ongelmatilanteiden hallinnan käyttäjien opastuksen sulkulistan käytön

6 Vahva autentikointi toimikortilla Työasemien käyttö vaatii toimikortin käytön Sähköinen allekirjoitus Kokeilut: Viranhaltijapäätökset Potilastietojärjestelmä, lääkärin määräykset Kokeiluihin litttyy myös CDA arkiston käyttö

7 ISSHP:n PKI -ympäristö Käyttäjän työasema - Win Kortinlukijaohjelmisto - Kortinlukija - Toimikortti Kortti tehdas Varmenteet, sulkulistat CA (SSH) Fujitsun palvelukeskus Varmennepyynnöt, sulkupyynnöt Varmenteet sulkulistat LDAP/ X500 W2K DC Sovellukset AD Rekisteröijän työasema - W2K - Personointi- Ohjelmisto (SSH) -Kortinlukijaohjelmisto - Kortinlukija Sulkulistapalvelun työasema - W2K / Sulkulista-client Ulkoiset käyttäjät

8 Kertakirjautuminen 2 näkökulmaa: 1. Käyttäjä: yhdellä tunnuksella joka paikkaan Perinteisesti ollut kirjoitettava jokaiseen sovellukseen (eri) käyttäjätunnus ja salasana Lisäksi muita palveluja mm. kulunvalvonta ja työajanseuranta 2. Ylläpitäjä: tietoturva ja käyttäjien keskitetty ylläpito SSO:n avulla: Samalla käyttäjätunnuksella ja salasanalla päästään eri sovelluksiin ja windowsiin(salasanasynkronointi) Yhdellä kirjautumisella päästään kaikkiin sovelluksiin Kirjautuminen toimikortilla (PIN-koodi) Tietoturvan parantaminen Ylläpidon yksinkertaistaminen

9 Kertakirjautumisen vaatimukset 1. Tarve kirjautua useasti työpäivän kuluessa samalle tai eri työasemalla / sovelluksiin Jaetut työasemat (monta käyttäjää yhdellä työasemalla) Liikkuva työ (yhdellä käyttäjällä monta työasemaa) 2. Ei riitä pelkän sisään kirjautumisen kontrollointi pitää kontrolloida käyttäjän oikeuksia sovelluksiin ja sovelluksen sisälläkin: kenen potilaan tietoihin tässä yhteydessä saa mennä. 3. Pystyttävä käyttämään laajasti eri toiminnoissa Kulunvalvonta, allekirjoitus, työajanseuranta, tt-maksut yms. 4. Käyttäjän vaihtaminen oltava nopeaa

10 Kertakirjautumisen vaatimukset 5. Tuettava kulunvalvontaa 6. Tuettava toimikorttia 7. Ratkaisun oltava kattava (keskeiset sovellukset mukaan) 8. Tuettava digitaalista allekirjoitusta 9. Tuettava Web kirjautumista 10. Tuettava mobiili -kirjautumista

11 Toiminnallisuuden tavoitetila(1) Käyttäjän näkökulma / yleiskäytössä oleva työasema Työasema on valmiina käynnissä (windowsiin yleistunnuksella) Käyttäjä syöttää toimikortin ja antaa PIN-tunnuksen, jonka jälkeen SSO:n piirissä olevat sovellukset voidaan käynnistää ilman tunnuskyselyjä Kortin poistaminen sulkee kaikki SSO:n piirissä olevat istunnot sekä lukitsee Windowsin. Jos tallentamatta potilastietoja, ohjelmaa ei suljeta, käyttäjää huomautetaan tallentamatta olevista tiedoista Muut käyttäjät eivät pääse työasemalta SSO -sovelluksiin ilman edellisen käyttäjän uloskirjausta

12 Toiminnallisuuden tavoitetila(2) Käyttäjän näkökulma / henkilökohtainen työasema Käyttäjä kirjautuu työasemaan toimikortilla antaen PINtunnuksen (Windows käynnissä, ei oikeuksia sovelluksiin), jonka jälkeen kirjaudutaan sso järjestelmään antamalla PIN tunnus (käyttöoikeus sovelluksiin). Henkilökohtaiset palvelut ja SSO -sovellukset ovat automaattisesti käytössä vahvalla todentautumisella Kortin poistaminen lukitsee Windowsin ja uudelleensyöttö pyytää PIN-tunnusta (kaikki käytössä olevat sovellukset jäävät taustalle ajoon) Muut käyttäjät eivät pääse työasemalle ilman edellisen käyttäjän uloskirjausta työasemalta

13 Toiminnallisuuden tavoitetila(3) Ylläpitäjän näkökulma Käyttäjät luodaan kertaalleen yleiseen hakemistoon (AD) yleisillä käyttäjä-, rooli-, ryhmä- ja organisaatiotiedoilla Sovellukset on integroitu SSO-palveluun eivätkä ne edellytä erillistä sisäänkirjausta Sovellukset osaavat hyödyntää yleisen käyttäjähakemiston tietoja ja tarvittaessa liittää ne osaksi omaa rooli-/käyttöoikeustietoa (IDM) =tavoite Työaseman käyttöä muuhun kuin sallittuihin järjestelmiin estetty Tietoturvan lisääminen

14 Tekninen ratkaisu Käytetään Computer Associationin etrust Single Sign-On tuotetta Eri sovellukset liitetty ko. järjestelmään (n. 330 kpl ). SSO liitetty sairaanhoitopiirin AD:hen, josta käyttäjätiedot ryhmineen Käyttäjät saavat vain tietyt sovellukset käyttöönsä Käyttöoikeuksia työasemaan rajoitettu Työpöytä tyhjennetty Käynistä -valikko tyhjennetty (vain työaseman sammutus mahdollista) C- levylle pääsy estetty Tulevaisuudessa järjestelmä arpoo käyttäjien salasanat Toimikorttikirjautuminen pakotettuna Ellei korttia, ei järjestelmiä käyttöön Mahdollistaa digitaalisen allekirjoituksen

15 CA:n etrust Single Sign-On toiminnallisuus Win 2003 WIN2000 XP Vista Browsers Työasemat SSO Server automaattinen Login ohjelmiin Web Servers Win 2000 Authentication Ohjelmistopalvelimet

16 Kertakirjautuminen dk4&4j7%w#psikep84m$so Win 2003 PKI Certificate ju9$7%%a&u Web Servers Sign-On Server r2d2q3 encrypted passticket Win 2000 Ohjelmistopalvelimet

17 SSO järjestelmän toiminnallinen laajuus Allekirjoitus Kulunvalvonta Sign-On Server Sovellukset Työajanseu ajanseu- ranta Ruokalamak- sut Työasema asema- palvelut Tietosuoja

18 Identiteetin hallinta, tavoitteet Saada käyttäjien käyttäjätunnukset hallintaan Automaattinen uusien käyttäjien perustaminen oikeilla roolin mukaisilla oikeuksilla Automaattinen käyttäjän pääsyoikeuksien muutos roolin muuttuessa Automaattinen käyttäjätunnusten poisto työntekijän lähtiessä ta:n palveluksesta Ei roikkuvia, vanhoja tunnuksia Turvallisempi salasalojen hallinta Kaikkien käyttäjätunnuksiin tehtyjen muutoksien auditointi Käyttäjätunjnusten hallintaa käytettävien resurssien vähentäminen

19 Identiteetin hallintaprosessi 2. Hakemuksen tarkistus ja hyväksyminen 4. Tunnuksen tekninen toteutus järjestelmiin Pääkäyttäjä 8. Kuittaus 5. Kuittaus Pääkäyttäjä 1. Esimies täyttää/lähettää Käyttöoikeuspyyntölomakkeen Turvasähköpostin välityksellä Pyyntö Toimikortin luovutuspyyntö Pääkäyttäjä Pääkäyttäjä 7. Toimikortin luovutus ja käytön opastus käyttäjälle Pääkäyttäjä

20 Identiteetin hallintaprosessi, tavoite 2. Hakemuksen tarkistus ja hyväksyminen ActiveDirectory Levypalvelut SSO -järjestelmä Sähköposti 1. Esimies täyttää Käyttöoikeuspyyntö- Lomakkeen IDM järjestelmään Kuittaus 3. Pyyntö tunnuksen tekemisestä pääkäyttäjille Service Center järjestelmään 3. Käyttöoikeuden automaattinen luonti rooleineen Talous- ja henk. järjestelmät Kuittaus Service Senter Effica pot.järjestelmä 5. Toimikortin luovutuspyyntö 6. Toimikortin luovutus ja käytön opastus käyttäjälle 4. Tunnuksen tekninen toteutus järjestelmiin

21 Kiitos!