Autentisering till verksamhetssystem inom vård & omsorg

Transkript

1 Sida 1 (5) Autentisering till verksamhetssystem inom vård & omsorg Beställare Beställare av detta underlag är Karin Bengtsson, KSL/IT-Forum. Syfte Syftet med detta dokument är att redovisa den inventering som är gjord med avseende på i tid kritiska verksamhetssystem inom vård och omsorg i kommunen. Inventeringen är gjord med huvudsakligt fokus på autentisering, katalogbehov och nättillhörighet. Bakgrund En teknisk arbetsgrupp är utsedd av KSL/IT-forum vars uppdrag är att ta fram ett beslutsunderlag till IT-Forums ägargrupp hur den nationella IT strategin säkerhetsmässigt bäst realiseras i Stockholmsregionen. Beslutsunderlaget skall innehålla rekommendationer som leder till harmonisering av befintliga lösningar och som skapar största möjliga interoperabilitet. Beslutsunderlaget skall också föreslå lösningar för digital samverkan kring individinformation mellan olika vårdgivare (regionens kommuner, landstinget, privata utförare) och mellan vårdgivare och medborgare. Inom ramen för arbetsgruppens arbete har ett antal problemområden identifierats, tillika viktiga byggstenar för samverkan: Informationsklassning Autentisering Katalogsamverkan Identitetsfederering Signering Kryptering Åtkomst Spårbarhet Transport Arbetsgruppen har inom ramen för dessa problemområden lyft fram och prioriterat ett antal viktiga vägval som flertalet berörda kommuner står inför och som rätt hanterat kan underlätta samverkan med landsting, utförare och givetvis kommuner i mellan. Vidare har arbetsgruppen identifierat att ett antal självklara vägval, grundförutsättningar, som ofta tas för givet men för att undvika att de är just självklara tillse att dessa dokumenteras. Kornhamnstorg 61 SE Stockholm Sweden Telefon: +46 (0) Telefon: +46 (0)

2 Sida 2 (5) Inom ramen för arbetsgruppens arbete har ett antal i tid kritiska verksamhetssystem för personal i kommunen inom vård och omsorg identifierats. Arbetsgruppen tillser att dessa inventeras med avseende på autentisering, katalogbehov och nättillhörighet. Avgränsningar Det är i huvudsak ur perspektivet användare - verksamhetssystem som inventeringen är gjord. I samtliga fall utom ett är det ett webbgränssnitt som är ansiktet på verksamhetssystemet och webbgränssnittet tillhandahålls av systemägaren i egen eller annans regi. I några fall kan det finnas behov av att integrera de inventerade verksamhetssystemen i andra verksamhetssystem, kanske lokala sådana hos kommunen. Detta är inte belyst. Identifierade verksamhetssystem Följande verksamhetssystem har identifierats som i tid i anses kritisk för personal i kommunen inom vård och omsorg: ASI-net E-dos Mina Vårdkontakter Nationell Patientöversikt. OptimaCare WebCare Svevac ASI-net (Råbe och Kobberstad AB) ASI-net är ett webbaserat datorstöd för att underlätta arbetet med ASI-metoden och för att bygga upp en databas som kan användas i behandlingsplanering, rapportering och forskning. ASI är en strukturerad intervjumetod för bedömning av alkohol- och narkotikarelaterade problem. ASI-net tillgodoser de olika behov som den enskilde klienten, handläggaren och verksamhetsansvarige har. Autentisering till ASI-net består av användarid och lösenord. Presentationsdelen i tjänsten, citrixservern, ställer inte krav på någon annan form av Ovanstående är ännu inte avstämt med Råbe och Kobberstad AB E-dos (Apoteket AB) För att lösa behovet av tvåvägskommunikation mellan apotek och vård har Apoteket tagit fram en webbapplikation kallad E-dos. Användarna är förskrivare, ansvariga sjuksköterskor och farmaceuter. I webbapplikationen kan man bland annat hantera ordinationer, beställa patientbundna originalförpackningar och skriva ut aktuellt dosrecept. E-dos kräver från och med stark autentisering och då i form av SITHS-kort, e- legitimation eller lösenordsdosa. Apoteket ser inte några problem att utöka antalet autentiseringsmöjligheter, exempelvis federationsstöd. Detta under förutsättning att det re-

3 Sida 3 (5) gelverk som omgärdar andra former av autentiseringslösningar lever upp till Apotekets högt ställda krav. Överlag verkar Apoteket mycket flexibel vad gäller anpassning till autentiserings- och integrationslösningar som efterfrågas. Ovanstående är avstämt med Jan-Olof Andrén, Apotekschef, Apoteket AB Distribution och Produktion. Mina vårdkontakter (SLL) Mina vårdkontakter är ett system för att exempelvis beställa tid, av- och omboka tid och förnya recept. Varje mottagning bestämmer vilka ärenden man kan utföra hos dem. I dialogen med vårdgivare/personal autentiserar man sig med personnummer och lösenord, HSA-id och lösenord, SITHS-kort eller eid. I dialogen med medborgaren autentiserar man sig med personnummer och lösenord eller eid. Det är möjligt att det framgent kommer att tillåtas federativa lösningar, så länge säkerhetkraven kan uppfyllas för olika autentiseringslösningar. Ovanstående är avstämt med Lars Palmberg, Vårdguiden, Stockholms läns landsting Nationell Patientöversikt (Sjukvårdsrådgivningen SVR AB) NPÖ, Nationell Patientöversikt, är en ny tjänst under uppbyggnad som skall ge behöriga användare möjlighet att med patientens samtycke hitta och titta på viktig patientinformation som registrerats i de olika vårdsystemen hos landstinget, kommunen och den privata vårdgivaren. Informationsmängder såsom diagnoser, undersökningsresultat, läkemedel, vårdplaner blir tillgängliga för alla anslutna huvudmän via en webbtillämpning eller via ordinarie verksamhetssystem genom en frågetjänst. Den lösning som sedan maj 2009 körs i Örebro kommun och Örebro läns landsting är en "hitta-och-titta-lösning". Den använder än så länge den säkerhetslösning som är inbyggd i NPÖ (HealthShare från InterSystems Corporation) i väntan på att de nationella säkerhetstjänsterna inom ramen för BIF (Bastjänster för Informationsförsörjning) är klara. BIF förutsätter anslutning till Sjunet, användning av HSA (Hälso- och Sjukvårdens Adressregister) och autentisering med SITHS-kort (Säker IT inom Hälso & Sjukvården). BIF använder dessutom SAML (Security Assertion Markup Language) som en hörnsten vilken är en av grundkomponenterna i en identitetsfederation vilket öppnar upp för än större flexibilitet. Ovanstående är avstämt med Sara Meunier, Chefsarkitekt, Sjukvårdsrådgivningen SVR AB

4 Sida 4 (5) OptimaCare omsorgssystem (OptimaCare AB) OptimaCare omsorgssystem är ett verktyg för att budgetera och följa upp resursbehov och kostnader för varje enhet, jämföra olika enheters relativa vårdtyngd och prognostisera framtida behov. Vidare har systemet funktioner för att för att ge ett verkligt stöd i de vardagsnära rutinerna samt rutinstöd för de som arbetar med att administrera boenderesurser och placeringar för permanent och korttidsboende. Autentisering till OptimaCare omsorgssystem består av användarid och lösenord. Ovanstående är ännu inte avstämt med OptimaCare AB Svevac (Smittskyddsinstitutet) Svevac är ett informationssystemsystem för vaccinationer som utvecklas av Smittskyddsinstitutet (SMI) i samråd med Socialstyrelsen, Läkemedelsverket och vården (alla typer av vårdgivare, SKL mfl). Systemet är webbaserat och ägs av SMI. Svevac stöder autentisering i form av användarid/lösen men förordar autentisering med SmartCard i form av SITHS eller Steria. Systemet går att och är delvis integrerat i ett befintligt journalsystem, men förutsätter fortsatt autentisering med SmartCard enligt ovan. Vidare har verksamhetssystemet stöd för SAML. Tjänsten är idag inte tillgänglig för medborgare med eid utan väntas bli det inom en snar framtid. nättillhörighet än Internet eller Sjunet. Överlag verkar SMI flexibel vad gäller anpassningar till autentiserings- och integrationslösningar som efterfrågas. Ovanstående är avstämt med Hans Lundin, Projektledare Svevac, Smittskyddsinstitutet. Webcare (SLL) Webcare är ett ärendehanteringssystem som förenklar den administrativa hanteringen och ökar säkerheten i informationsöverföringen vid utskrivning från slutenvården. Web- Care innehåller en adresskatalog över de sjukvårdande enheterna som har avtal med Stockholms läns landsting och över berörda enheter i länets kommuner. WebCare förenklar uppgiften att hitta rätt bland vård- och omsorgsgivare till en patient. Webcare försörjs av bland annat ListOn (husläkarlistningssystemet), PU (befolkningsregistersystemet) och EK (Stockholms läns landstings elektroniska katalog).

5 Sida 5 (5) WebCare använder EK för användaradministration och autentisering. Gränssnittet mellan Webcare och EK är väl definierat och förutsätter användande av klient- och servercertifikat. Vidare autentiseras varje förfrågan mot EK med användarid och lösen vilka också finns lagrade i EK. Det finns också en funktion där autentisering kan ske med SmartCards vilken kräver identifikation med hjälp av klientcertifikat även i relationen webbserver, användare. Meningen är att denna inloggning på sikt skall krävas av samtliga WebCareanvändare (dvs. även kommun/stadsdel). Det är endast SITHS som stöds i den dialogen. Ovanstående är avstämt med Ulf Palmgren, Stockholms läns landsting Certezza AB Thomas Nilsson