ehälsomyndighetens nya säkerhetslösning 2017-06-07
Agenda ehälsomyndighetens 2017-06-07 Tid Avsnitt Vem 09:00-09:30 Varför byter ehälsomyndigheten säkerhetslösning och varför har vi valt den lösning som vi har valt. Stefan Larsson 09:30-14.30 Vad är Sambi och vad är en tillitsgranskning Robert Sundin IIS 14.30-15.00 Hur ser vår nya säkerhetslösning ut Joakim Sandberg Lunch 11.30-12.15 Fika 14.00-14.15
och Sambi Agendapunkter 1. Motiv för ny säkerhetslösning 2. Hur påverkar detta våra kunder - en översikt av lösningen 3. Åtgärder för att underlätta införande
och Sambi Motiv för ny säkerhetslösning 1. Efterlevnad av personuppgiftslagen, receptregistret, läkemedelsförteckningen samt EU:s dataskyddsförordning 2. Datainspektionens granskning av befintlig lösning 2013 Projektet Säker åtkomst för vård- och apoteksaktörer syftar till att uppnå detta!
Hur detta påverkar våra kunder: Samtliga aktörer måste göra tekniska anpassningar i sina system Medlemskap i Sambi Kortfattat handlar det om: Förbättrad kvalitet på elektroniska identiteter Standardisering av attributanvändning Vissa generella krav avseende informationssäkerhet
En översikt av lösningen - kort fakta: a. ehms tjänsteplattform anpassas och driftsätts Q1 2017 b. ehms tjänster anpassas och driftsätts i Q4 2017 c. Dagens åtkomstlösning upphör genom release 19.1 våren 2019 d. Införande av en SAML-lösning baserad på standard (SAML 2.0, SAML2int, egov) (där den inloggade användarens identitet propageras oförändrat hela vägen till ehm på ett kryptografiskt säkert sätt) e. Reducera antalet SAML-intyg vid varje anrop (tre intyg används i dagsläget) f. Reducera och renodla dagens uppsättning behörighetsstyrande attribut (som ingår i SAML-intyget och används vid autentisering och auktorisation i samband med åtkomst till ehälsomyndighetens IT-tjänster som innehåller känsliga personuppgifter) g. Reglering av den federerade åtkomsten via gemensamt tillitsramverk, tekniska specifikationer samt tillitsgranskning uppnås genom medlemskap i Sambi-federationen
Säker åtkomst Plattform och tjänster Nuläge/problembild Rik klient Rik klient Vårdsystem Aktörssystem Trusts Webbaserat aktörssystem Biljettserver Biljettserver Biljett Biljett Intyg Biljettserver Trusts Tjänstebrygga SOAP, WSS (sessionshantering saknas) Trusts Dålig kravuppfyllnad Prestandapåverkan Ostandardiserat Trust store Bilateral tillit WSP Biljettstämpling 3 biljetter STP (ehms tjänsteplattform) Många attribut ehm Mycket kraft/resurser förbrukas. Resultatet = skenbar säkerhet.
Säker åtkomst Plattform och tjänster - målbilden Klient SAML-Intyg IdP SAML Aktörssystem Proof of technology Webbklient i SOAP-miljö Rik klient i SOAP-miljö) Trusts Metadata (Sambi/EID2) SAML Trusts SAML-Intyg SAML-Intyg NTjP SOAP, WSS WSP Uppfyller lagkrav Inloggning via etablerad identitetsutfärdare inom Sambi biljettstämpling försvinner. Originalintyget följer med i hela kedjan /intygspropagering 1 intyg Få attribut Reglerad tillit ehm STP (ehms tjänsteplattform) Biljettservrar kan avvecklas ehm kan konsumera orginalintyg
En översikt av lösningen - förarbeten: a. Förslag till anpassning av webservicegränssnitt för Apotekens Service Web Service Provider (WSP) b. Utredning av SAML och federationslösningar på Apotekens Service AB c. Proof of technology kring intygspropagering d. Förstudie - Identitets- och behörighetsfederation för vård och omsorg, Sambi
En översikt av lösningen - dialog och samarbete: Kring alla förarbeten a. SKL, Inera och Sveriges Apoteksförening Kring projektet Säker åtkomst a. Sv. Apoteksförening b. SKL c. Representanter från (samtliga) landsting (ansvariga e-recept) d. Systemleverantörer inom vården e. SKL/Inera, ny konstellation 16/11 Fortsättning under 2017 a. Sex informations-/utbildningsdagar under 2017
Detta är Sambi: Sambi (Samverkan för behörighet och identitet inom hälsa, vård och omsorg) är en federativ infrastrukturlösning för hela hälso-, vård- och omsorgssektorn. Initiativtagare är ehm, SKL, Inera samt IIS Kortfattat handlar det om: a. Federativ åtkomst baserat på gemensamt tillitsramverk b. Gemensamt regelverk baserat på internationell standard (för tekniska- och operationella frågor runt identiteter och behörigheter) c. Oberoende granskningar d. Användare av ehms tjänster måste bli medlemmar i Sambi
Kort statusinfo Status 2017-04-28 1. Referenstjänster framme i maj 2016 2. Release av anpassad plattform Q1 2017 (ej extern påverkan) 3. Release lösning och anpassade tjänster Q4 2017 4. Sista datum för dagens lösning våren 2019 5. Informations- och utbildningsprogram 2017 6. Diskussion om sammanhållet införandeprogram pågår
Status och helhetsbild En helhetsbild på uppfyllnad av aktuella lagkrav Webservice Privatpersoner III Säker kortinloggning Webservice Release Webservice rest Ping Prod.verifikation Städning Release II IV Interna Webappar Intern release Externa Webappar Extern release Nya läkemedelslistan V Batcher Extern release Säker åtkomst för vård- och apoteksaktörer I CSL Intern release CSL - Logg CSL - SIEM 17.1 19.1 20 - xx
Åtgärder för att underlätta införande Program för information och utbildning under 2017 Kurs 1: Introduktion Säker åtkomst till ehm och Sambi Vad är Sambi? Hur fungerar Sambi? Status Sambi Komma igång/praktiskt arbete Kurs 2: Tillitsgranskning - Fördjupat om tillitsgranskning och tillitsdeklaration. Genomgång av Sambi tillitsramverk och tillitsdeklaration Riskanalys-Riskhantering Ledningssystem Internrevision Kurs 3: Teknik Teknikpass om federationsteknik, integration och SAML med referensexempel
Åtgärder för att underlätta införande Genomfört samt kommande program 1. Åtta presentationer för vård och apoteksaktörer under 2016 2. Sambi-utbildningar maj 2017 a. Grundkurs 10e maj b. Tillitsdeklarationskurs 11e maj 3. Säker åtkomst och sambi a. Säker åtkomst och Sambi 2017-05-03 b. Säker åtkomst och Sambi 2017-06-07 c. Tillitsdeklarera för Säker åtkomst 2017-06-08 d. Säker åtkomst och Sambi 2017-09-26 e. Tillitsdeklarera för Säker åtkomst 2017-11-08 f. Säker åtkomst och Sambi 2017-11-09 4. Säker åtkomst och sambi a. Teknikpass om federationsteknik, höst 2017
Tack!