Ari Pätsi Tietohallintopäällikkö Aulikki Hautsalo Johtava tietojärjestelmäsuunnittelija Terveydenhuollon ATK päivät 29. 30.05.2007 TURKU
Terveydenhuoltopiiristä lyhyesti Terveydenhuoltopiiri (Sosteri) aloitti toimintansa 1.1.2007 Samassa organisaatiossa: Erikoissairaanhoito Perusterveydenhuolto Sosiaalitoimen vanhustenhuolto, päihdehuolto sekä kasvatus- ja perheneuvola
Terveydenhuoltopiiristä lyhyesti Terveyden edistäminen sairauksien ehkäisy sairauksien tutkimus ja hoito - kuntoutus hoiva ja huolenpito Vakituista henkilöstöä n. 1.600 Sijaisia n. 450/kk
Käyttöoikeuksien hallinta VAHVA AUTENTIKOINTI VAHVA AUTENTIKOINTI KERTAKIRJAUTUMINEN TYÖASEMAPOHJAINEN KERTAKIRJAUTUMINEN WEB POHJAINEN IDENTITEETIN HALLINTA IDENTITEETIN HALLINTA Työnkulku ja käyttöliittymä Seuranta Raportointi Tietokanta
Vahva autentikointi toimikortilla Todentaa käyttäjän työasemaan kirjauduttaessa Käytössä Varsinais-Suomen sairaanhoitopiirin varmennepalvelu Toimikortti Kaikilla työntekijöillä käytössä n. 2.700 kpl kortteja jaettu Käytössä myös sijaisilla Kortit tehdään ja personoidaan sairaanhoitopiirissä Tietohallinto huolehtii korttien; jakamisen revokoinnin ongelmatilanteiden hallinnan käyttäjien opastuksen sulkulistan käytön
Vahva autentikointi toimikortilla Työasemien käyttö vaatii toimikortin käytön Sähköinen allekirjoitus Kokeilut: Viranhaltijapäätökset Potilastietojärjestelmä, lääkärin määräykset Kokeiluihin litttyy myös CDA arkiston käyttö
ISSHP:n PKI -ympäristö Käyttäjän työasema - Win 2000 - Kortinlukijaohjelmisto - Kortinlukija - Toimikortti Kortti tehdas Varmenteet, sulkulistat CA (SSH) Fujitsun palvelukeskus Varmennepyynnöt, sulkupyynnöt Varmenteet sulkulistat LDAP/ X500 W2K DC Sovellukset AD Rekisteröijän työasema - W2K - Personointi- Ohjelmisto (SSH) -Kortinlukijaohjelmisto - Kortinlukija Sulkulistapalvelun työasema - W2K / 2000 - Sulkulista-client Ulkoiset käyttäjät
Kertakirjautuminen 2 näkökulmaa: 1. Käyttäjä: yhdellä tunnuksella joka paikkaan Perinteisesti ollut kirjoitettava jokaiseen sovellukseen (eri) käyttäjätunnus ja salasana Lisäksi muita palveluja mm. kulunvalvonta ja työajanseuranta 2. Ylläpitäjä: tietoturva ja käyttäjien keskitetty ylläpito SSO:n avulla: Samalla käyttäjätunnuksella ja salasanalla päästään eri sovelluksiin ja windowsiin(salasanasynkronointi) Yhdellä kirjautumisella päästään kaikkiin sovelluksiin Kirjautuminen toimikortilla (PIN-koodi) Tietoturvan parantaminen Ylläpidon yksinkertaistaminen
Kertakirjautumisen vaatimukset 1. Tarve kirjautua useasti työpäivän kuluessa samalle tai eri työasemalla / sovelluksiin Jaetut työasemat (monta käyttäjää yhdellä työasemalla) Liikkuva työ (yhdellä käyttäjällä monta työasemaa) 2. Ei riitä pelkän sisään kirjautumisen kontrollointi pitää kontrolloida käyttäjän oikeuksia sovelluksiin ja sovelluksen sisälläkin: kenen potilaan tietoihin tässä yhteydessä saa mennä. 3. Pystyttävä käyttämään laajasti eri toiminnoissa Kulunvalvonta, allekirjoitus, työajanseuranta, tt-maksut yms. 4. Käyttäjän vaihtaminen oltava nopeaa
Kertakirjautumisen vaatimukset 5. Tuettava kulunvalvontaa 6. Tuettava toimikorttia 7. Ratkaisun oltava kattava (keskeiset sovellukset mukaan) 8. Tuettava digitaalista allekirjoitusta 9. Tuettava Web kirjautumista 10. Tuettava mobiili -kirjautumista
Toiminnallisuuden tavoitetila(1) Käyttäjän näkökulma / yleiskäytössä oleva työasema Työasema on valmiina käynnissä (windowsiin yleistunnuksella) Käyttäjä syöttää toimikortin ja antaa PIN-tunnuksen, jonka jälkeen SSO:n piirissä olevat sovellukset voidaan käynnistää ilman tunnuskyselyjä Kortin poistaminen sulkee kaikki SSO:n piirissä olevat istunnot sekä lukitsee Windowsin. Jos tallentamatta potilastietoja, ohjelmaa ei suljeta, käyttäjää huomautetaan tallentamatta olevista tiedoista Muut käyttäjät eivät pääse työasemalta SSO -sovelluksiin ilman edellisen käyttäjän uloskirjausta
Toiminnallisuuden tavoitetila(2) Käyttäjän näkökulma / henkilökohtainen työasema Käyttäjä kirjautuu työasemaan toimikortilla antaen PINtunnuksen (Windows käynnissä, ei oikeuksia sovelluksiin), jonka jälkeen kirjaudutaan sso järjestelmään antamalla PIN tunnus (käyttöoikeus sovelluksiin). Henkilökohtaiset palvelut ja SSO -sovellukset ovat automaattisesti käytössä vahvalla todentautumisella Kortin poistaminen lukitsee Windowsin ja uudelleensyöttö pyytää PIN-tunnusta (kaikki käytössä olevat sovellukset jäävät taustalle ajoon) Muut käyttäjät eivät pääse työasemalle ilman edellisen käyttäjän uloskirjausta työasemalta
Toiminnallisuuden tavoitetila(3) Ylläpitäjän näkökulma Käyttäjät luodaan kertaalleen yleiseen hakemistoon (AD) yleisillä käyttäjä-, rooli-, ryhmä- ja organisaatiotiedoilla Sovellukset on integroitu SSO-palveluun eivätkä ne edellytä erillistä sisäänkirjausta Sovellukset osaavat hyödyntää yleisen käyttäjähakemiston tietoja ja tarvittaessa liittää ne osaksi omaa rooli-/käyttöoikeustietoa (IDM) =tavoite Työaseman käyttöä muuhun kuin sallittuihin järjestelmiin estetty Tietoturvan lisääminen
Tekninen ratkaisu Käytetään Computer Associationin etrust Single Sign-On tuotetta Eri sovellukset liitetty ko. järjestelmään (n. 330 kpl ). SSO liitetty sairaanhoitopiirin AD:hen, josta käyttäjätiedot ryhmineen Käyttäjät saavat vain tietyt sovellukset käyttöönsä Käyttöoikeuksia työasemaan rajoitettu Työpöytä tyhjennetty Käynistä -valikko tyhjennetty (vain työaseman sammutus mahdollista) C- levylle pääsy estetty Tulevaisuudessa järjestelmä arpoo käyttäjien salasanat Toimikorttikirjautuminen pakotettuna Ellei korttia, ei järjestelmiä käyttöön Mahdollistaa digitaalisen allekirjoituksen
CA:n etrust Single Sign-On toiminnallisuus Win 2003 WIN2000 XP Vista Browsers Työasemat SSO Server automaattinen Login ohjelmiin Web Servers Win 2000 Authentication Ohjelmistopalvelimet
Kertakirjautuminen dk4&4j7%w#psikep84m$so Win 2003 PKI Certificate ju9$7%%a&u Web Servers Sign-On Server r2d2q3 &%$@((^g%$@#& encrypted passticket Win 2000 Ohjelmistopalvelimet
SSO järjestelmän toiminnallinen laajuus Allekirjoitus Kulunvalvonta Sign-On Server Sovellukset Työajanseu ajanseu- ranta Ruokalamak- sut Työasema asema- palvelut Tietosuoja
Identiteetin hallinta, tavoitteet Saada käyttäjien käyttäjätunnukset hallintaan Automaattinen uusien käyttäjien perustaminen oikeilla roolin mukaisilla oikeuksilla Automaattinen käyttäjän pääsyoikeuksien muutos roolin muuttuessa Automaattinen käyttäjätunnusten poisto työntekijän lähtiessä ta:n palveluksesta Ei roikkuvia, vanhoja tunnuksia Turvallisempi salasalojen hallinta Kaikkien käyttäjätunnuksiin tehtyjen muutoksien auditointi Käyttäjätunjnusten hallintaa käytettävien resurssien vähentäminen
Identiteetin hallintaprosessi 2. Hakemuksen tarkistus ja hyväksyminen 4. Tunnuksen tekninen toteutus järjestelmiin Pääkäyttäjä 8. Kuittaus 5. Kuittaus Pääkäyttäjä 1. Esimies täyttää/lähettää Käyttöoikeuspyyntölomakkeen Turvasähköpostin välityksellä 6. 3. Pyyntö Toimikortin luovutuspyyntö Pääkäyttäjä Pääkäyttäjä 7. Toimikortin luovutus ja käytön opastus käyttäjälle Pääkäyttäjä
Identiteetin hallintaprosessi, tavoite 2. Hakemuksen tarkistus ja hyväksyminen ActiveDirectory Levypalvelut SSO -järjestelmä Sähköposti 1. Esimies täyttää Käyttöoikeuspyyntö- Lomakkeen IDM järjestelmään Kuittaus 3. Pyyntö tunnuksen tekemisestä pääkäyttäjille Service Center järjestelmään 3. Käyttöoikeuden automaattinen luonti rooleineen Talous- ja henk. järjestelmät Kuittaus Service Senter Effica pot.järjestelmä 5. Toimikortin luovutuspyyntö 6. Toimikortin luovutus ja käytön opastus käyttäjälle 4. Tunnuksen tekninen toteutus järjestelmiin
Kiitos!