ehälsomyndighetens nya säkerhetslösning

Transkript

1 ehälsomyndighetens nya säkerhetslösning

2 Agenda ehälsomyndighetens Tid Avsnitt Vem 09:00-09:30 Varför byter ehälsomyndigheten säkerhetslösning och varför har vi valt den lösning som vi har valt. Stefan Larsson 09: Vad är Sambi och vad är en tillitsgranskning Robert Sundin IIS Hur ser vår nya säkerhetslösning ut Joakim Sandberg Lunch Fika

3 och Sambi Agendapunkter 1. Motiv för ny säkerhetslösning 2. Hur påverkar detta våra kunder - en översikt av lösningen 3. Åtgärder för att underlätta införande

4 och Sambi Motiv för ny säkerhetslösning 1. Efterlevnad av personuppgiftslagen, receptregistret, läkemedelsförteckningen samt EU:s dataskyddsförordning 2. Datainspektionens granskning av befintlig lösning 2013 Projektet Säker åtkomst för vård- och apoteksaktörer syftar till att uppnå detta!

5 Hur detta påverkar våra kunder: Samtliga aktörer måste göra tekniska anpassningar i sina system Medlemskap i Sambi Kortfattat handlar det om: Förbättrad kvalitet på elektroniska identiteter Standardisering av attributanvändning Vissa generella krav avseende informationssäkerhet

6 En översikt av lösningen - kort fakta: a. ehms tjänsteplattform anpassas och driftsätts Q b. ehms tjänster anpassas och driftsätts i Q c. Dagens åtkomstlösning upphör genom release 19.1 våren 2019 d. Införande av en SAML-lösning baserad på standard (SAML 2.0, SAML2int, egov) (där den inloggade användarens identitet propageras oförändrat hela vägen till ehm på ett kryptografiskt säkert sätt) e. Reducera antalet SAML-intyg vid varje anrop (tre intyg används i dagsläget) f. Reducera och renodla dagens uppsättning behörighetsstyrande attribut (som ingår i SAML-intyget och används vid autentisering och auktorisation i samband med åtkomst till ehälsomyndighetens IT-tjänster som innehåller känsliga personuppgifter) g. Reglering av den federerade åtkomsten via gemensamt tillitsramverk, tekniska specifikationer samt tillitsgranskning uppnås genom medlemskap i Sambi-federationen

7 Säker åtkomst Plattform och tjänster Nuläge/problembild Rik klient Rik klient Vårdsystem Aktörssystem Trusts Webbaserat aktörssystem Biljettserver Biljettserver Biljett Biljett Intyg Biljettserver Trusts Tjänstebrygga SOAP, WSS (sessionshantering saknas) Trusts Dålig kravuppfyllnad Prestandapåverkan Ostandardiserat Trust store Bilateral tillit WSP Biljettstämpling 3 biljetter STP (ehms tjänsteplattform) Många attribut ehm Mycket kraft/resurser förbrukas. Resultatet = skenbar säkerhet.

8 Säker åtkomst Plattform och tjänster - målbilden Klient SAML-Intyg IdP SAML Aktörssystem Proof of technology Webbklient i SOAP-miljö Rik klient i SOAP-miljö) Trusts Metadata (Sambi/EID2) SAML Trusts SAML-Intyg SAML-Intyg NTjP SOAP, WSS WSP Uppfyller lagkrav Inloggning via etablerad identitetsutfärdare inom Sambi biljettstämpling försvinner. Originalintyget följer med i hela kedjan /intygspropagering 1 intyg Få attribut Reglerad tillit ehm STP (ehms tjänsteplattform) Biljettservrar kan avvecklas ehm kan konsumera orginalintyg

9 En översikt av lösningen - förarbeten: a. Förslag till anpassning av webservicegränssnitt för Apotekens Service Web Service Provider (WSP) b. Utredning av SAML och federationslösningar på Apotekens Service AB c. Proof of technology kring intygspropagering d. Förstudie - Identitets- och behörighetsfederation för vård och omsorg, Sambi

10 En översikt av lösningen - dialog och samarbete: Kring alla förarbeten a. SKL, Inera och Sveriges Apoteksförening Kring projektet Säker åtkomst a. Sv. Apoteksförening b. SKL c. Representanter från (samtliga) landsting (ansvariga e-recept) d. Systemleverantörer inom vården e. SKL/Inera, ny konstellation 16/11 Fortsättning under 2017 a. Sex informations-/utbildningsdagar under 2017

11 Detta är Sambi: Sambi (Samverkan för behörighet och identitet inom hälsa, vård och omsorg) är en federativ infrastrukturlösning för hela hälso-, vård- och omsorgssektorn. Initiativtagare är ehm, SKL, Inera samt IIS Kortfattat handlar det om: a. Federativ åtkomst baserat på gemensamt tillitsramverk b. Gemensamt regelverk baserat på internationell standard (för tekniska- och operationella frågor runt identiteter och behörigheter) c. Oberoende granskningar d. Användare av ehms tjänster måste bli medlemmar i Sambi

12 Kort statusinfo Status Referenstjänster framme i maj Release av anpassad plattform Q (ej extern påverkan) 3. Release lösning och anpassade tjänster Q Sista datum för dagens lösning våren Informations- och utbildningsprogram Diskussion om sammanhållet införandeprogram pågår

13 Status och helhetsbild En helhetsbild på uppfyllnad av aktuella lagkrav Webservice Privatpersoner III Säker kortinloggning Webservice Release Webservice rest Ping Prod.verifikation Städning Release II IV Interna Webappar Intern release Externa Webappar Extern release Nya läkemedelslistan V Batcher Extern release Säker åtkomst för vård- och apoteksaktörer I CSL Intern release CSL - Logg CSL - SIEM xx

14 Åtgärder för att underlätta införande Program för information och utbildning under 2017 Kurs 1: Introduktion Säker åtkomst till ehm och Sambi Vad är Sambi? Hur fungerar Sambi? Status Sambi Komma igång/praktiskt arbete Kurs 2: Tillitsgranskning - Fördjupat om tillitsgranskning och tillitsdeklaration. Genomgång av Sambi tillitsramverk och tillitsdeklaration Riskanalys-Riskhantering Ledningssystem Internrevision Kurs 3: Teknik Teknikpass om federationsteknik, integration och SAML med referensexempel

15 Åtgärder för att underlätta införande Genomfört samt kommande program 1. Åtta presentationer för vård och apoteksaktörer under Sambi-utbildningar maj 2017 a. Grundkurs 10e maj b. Tillitsdeklarationskurs 11e maj 3. Säker åtkomst och sambi a. Säker åtkomst och Sambi b. Säker åtkomst och Sambi c. Tillitsdeklarera för Säker åtkomst d. Säker åtkomst och Sambi e. Tillitsdeklarera för Säker åtkomst f. Säker åtkomst och Sambi Säker åtkomst och sambi a. Teknikpass om federationsteknik, höst 2017

16 Tack!