Identiteter och roller inom vård och omsorg
Varför behövs rollbaserad behörighet?
(roll och roll?)
Europoint, seminarium 16 oktober 2014
Identitetstjänster och Federationer
Ulf Palmgren, SKL
2014-10-16
Bakgrund: Landskapet
Privatpersoner och Medarbetare
Inloggning
Inloggning
eTjänster
Invånare
eTjänster
Medarbetare
Tjänsteplattformen
SAMBI, Offentlig och privata federationer
Gemensamma E-tjänster
Gemensam och regionala tjänsteplattform
Spärr
TGP
Logg
…
Gemensamma stödtjänster
System
1
System
2
System
3
Anslutna Vårdgivare
Lagren
Inloggning
Inloggning
eTjänster
Invånare
eTjänster
Medarbetare
Identitetsfederation
-Svensk e-legitimation
Identitets- och behörighetsfederation
-SAMBI
-Skolfederation
Tjänsteplattformen
Federation
”Informationsutbytesfederation”
Spärr
TGP
Logg
…
System
1
System
2
System
3
Visionen: En säkerhetslösning till allt?
Kommun
Ekonomi
Miljö &
Hälsa
Vård &
Omsorg
Skola
Bygglov
Social-tjänst
Barnomsorg
Gata &
Park
Överförmyndare
Visionen: En säkerhetslösning till allt?
Molntjänst
Myndigheter
Skola
Ekonomi
SHS
Kommun
Ekonomi
Skola
Barnomsorg
Privata
utförare
Vård &
Omsorg
Miljö &
Hälsa
Socialtjänst
Bygglov
Gata &
Park
Överförmyndare
Ekonomi
Vård &
Omsorg
Skola
Gata &
Park
RIV
Vård och
Omsorg
Migration
SKV
FK
AF
Landsting
Nationella
system
Privat
vårdgivare
eHM
SAML
Övriga
Apotek
Invånare
E-handel
Företag
e-tjänstelegitimation
Medarbetare
Webbläsare
Gemensam tjänst
eTjänst
Uppgifter från certifikatet
•HSAID Person
•Organisation
•Organisationsenhet
•Legitimerad Yrkestitel
e-legitimation
Medarbetare
Webbläsare
Gemensam tjänst
eTjänst
Behörighet
Uppgifter från certifikatet
•HSAID Person
Identitets och behörighetsfederation
Medarbetare
Webbläsare
Gemensam tjänst
Intygsutgivare
Katalog
Behörighet
Intyg
-vem
-vad
E-tjänst
eTjänst
Uppgifter i Intyget
•HSAID Person
•HSAID VG/VE
•Medarbetaruppdrag
•Förskrivarkod
•Arbetsplatskod
•…..
E-legitimation
Idag
En lösning för Vård och Omsorg
SITHS
Imorgon?
Valfrihet för alla sektorer
Svensk e-legitimation?
Behörighetsgrundande
egenskaper
AA eller Intyg?
Skola: Exempel utan federation
Läromedelsförlag
Kommun/Skola
Inloggning
Läromedelsplattform
Elever
Lärare/pedagog
elevkatalog
Inloggning
•Användarnamn
•Lösenord
Läromedelsförlag
Läromedelsförlag
Läromedelsförlag
elevkatalo
elevkatalo
g
elevkatalog
g
Affärsavtal, (Personuppgiftsbiträdesavtal)
Skola: Idenitet via Svensk elegitimation, funkar det?
Federationsoperatör e-nämnden
Inloggning
IDP
Tillsyn
Medlemsregister
Metadata
Läromedelsförlag
Kommun/Skola
Läromedelsplattform
Elever
Anvisningstjänst
Lärare/pedagog
elevkatalog
Intyg
•Personnummer
•Namn
•Adress
•….
elevkatalo
elevkatalo
g
elevkatalog
g
Läromedelsförlag
Läromedelsförlag
Läromedelsförlag
alt
Ställ en fråga till AA
För att få veta vilken
skola/klass eleven
tillhör
Affärsavtal, (Personuppgiftsbiträdesavtal)
Skola: Identitets och behörighetsfederation, www.skolfederation.se
Federationsoperatör .SE
Medlemsregister
Metadata
Tillsyn
Anvisningstjänst
Läromedelsförlag
Kommun/Skola
Inloggning
IDP
Läromedelsplattform
Elever
Intyg
•Pseudonym
•Skola
•Årskurs
Läromedelsförlag
Läromedelsförlag
Läromedelsförlag
Lärare/pedagog
elevkatalog
Affärsavtal, (Personuppgiftsbiträdesavtal)
När roll blev
Medarbetaruppdrag
Egenskapsbaserad rättighetshantering
ABAC (Attribute Based Access Control)
Aktör
Resurs
Kontroll
Aktörsegenskaper
HSA-id
Legitimation
Organisation
Verksamhetsområde
Syfte
Regeltillämpning
Resursegenskaper
Patientid
Organisation
Verksamhetsområde
Datum
Regler
Basregel 2 skriva
Aktör
Regel
(Subject)
Unik ID
Legitimation
Förskrivarkod
Arbetsbeskrivning
Organisation
=
Verksamhetsområde
=
Syfte
=Hälso- och sjukvård
Resurs
(Resource)
Aktivitet
PatientId
(Activity)
Organisation
Läsa
Verksamhetsområde
Skapa
Infotyp
Skriva
Tid
Ordinera
AnsvarigId
SkapandeId
Resursid
Behörighetsstyrning
• Utgångspunkten är att behörigheten ska
begränsas till vad som behövs för att
användaren ska kunna fullgöra sina
arbetsuppgifter inom hälso- och sjukvården.
• Krav på att vårdgivaren ska ha rutiner för att
tilldela, förändra, ta bort och regelbundet
följa upp individuella (tekniska) behörigheter
för åtkomst till patientuppgifter.
18
070116
Stockholms läns landsting
GVD-programmet
Förslag till behörighetskategorier
Särskild behörighet: Information om
rättspsykiatriska utredningar, könsbyte och
LVU-ärenden.
Hög
Allmän
Översiktlig
Anteckningar av känslig karaktär,
psykoterapisamtal, sexuella övergrepp, HIV
Anteckningar om medicinsk vital
information, diagnos och social
anamnes.
Översikt över personuppgifter
och tidigare vårdkontakter.
Patientdatalagen
Personal med Medarbetaruppdrag
Stark Autentisering
Behörighet
Patient-/Vårdrelation
Tillgänglig patient (TGP)
Aktivt Val
Vårdgivarens undantag
Patientens begärda spärrar
Patientens samtycke
Patientens ställningstagande (SHJ)
Sammanhållen
Journal (SHJ)
Vårdgivare
Egen
Vårdenhet
Patient
uppgift
Andra
Vårdenhet
Patient
uppgift
Andra
Vårdgivare
Åtkomstkontroll (Loggning/Logguppföljning)
Patient
uppgift
Regler använder sig av
HSA Vårdgivare / Vårdenhet
Medarbetaruppdrag
Vårdgivare
Vårdgivare
Vårdenhet
Vårdenhet
Patient
uppgift
Sammanhållen
Journal (SHJ)
Vårdgivare
Egen
Vårdenhet
Patient
uppgift
Andra
Vårdenhet
Patient
uppgift
Andra
Vårdgivare
Patient
uppgift
Medarbetaruppdrag 2.0
Kodverk
Kodverk
Personliga
Förskrivarkod
Yrkestitel
Vårdgivare
Vårdenhet
Arbetsplatskod
Behörighets
Domän
Områdesomfång
•VE
•VG
•SHJ
Inforesursaktivitet
•Läsa
•Skriva
•…
Inforesurs
•Lab
•LF
•…
Ändamål/Syfte
•VoB
•Admin
•…
Hög behörighet
(fritext)
HoS; SHJ;Läsa;LAB;VoB
HoS;VE;Skriva;LAB;VoB
Medarbetaruppdrag
Behörighetgrundande
Använda fler fack i SAML-intyget
Behovet är att förutom identiteten hantera behörigheten.
Framtagna modeller för
Medarbetaruppdrag
• Sammanhållen journalföring (NPÖ)
– Status Klar.
– RIV-spec finns
• Samordnad vårdplanering.
– Påbörjad och parkerad.
• Administrativa uppdrag
– Pågår
http://www.inera.se/TJANSTER--PROJEKT/HSA/Dokument/HSA-innehall/
E-remiss utkast
Nummer
A1:1
A1:2
A1:2.1
A1:2.2
A1:2.3
A1:3
A1:4
A1:5
A1:6
A1:6.1
A1:7
A1:8
A1:9
A1:10
A2:1
A2:2
A2:3
A2:4.1
A2:4.2
A2:5
A2:5.1
A2:5.2
A2:6
A2:7
A2:8
A2:9
Beteckning
Val av patient
Val av mottagande vårdenhet
Urval av vårdenhet - vårdtyp
Sortering på väntetider
Sortering på geografi
Registrera remittent
Registrera remisstidpunkt
Registrera remissidentitet
Skapa remissinnehåll
Hämta krav på remissinnehåll
Spara remiss
Ändring av remiss
Signera remiss
Skicka remiss
Ankomstregistrering av remiss
Vidarebefordra till bedömare
Bedöma och prioritera remiss
Begär komplettering av remiss
Vidareskicka till annan enhet
Acceptera remiss
Lägga till intern information
Skicka remissbekräftelse
Vidarebefordra till tidbokning
Vidarebefordra till utförare
Läsa accepterad remiss
(Avsluta inkommen remiss)
Rem
Rem
Rem
Rem
Rem
Rem
Rem
Rem
ORem
ORem
ORem
ORem
ORem
ORem
ORem
ORem
APe
APe
APe
APe
Rem
Rem
Rem
Rem
Rem
Rem
ORem
ORem
ORem
ORem
APe
APe
APe
APe
ORem
APe
APe
APe
AMo
AMo
APe
AMo
APe
APe
APe
APe
AMo
AMo
System AMo
Bed
Utf
Bed
Bed
Bed
Bed
Bed
Bed
Bed
Bed
Bed
Bed
Utf
Utf
APe
APe
System
RSA
ASv
RSm
ORSm RKo
Attribut som önskas i SAML-biljett till
Beställningsportalen, fas 1
• Obligatoriska attribut för alla användare
– Hsa-id (behöver ej vara HSA-id som finns i EK) – id för
användaren. Finns möjlighet att koppla ihop användaren med
befintlig användare i Beställningsportalen.
– Förnamn – användarens förnamn
– Efternamn – användarens efternamn
– Epostadress – användarens e-postadress
– Telefon – telefonnummer där användaren kan nås.
– Användarroll – en till flera användarroller krävs för användaren.
Följande roller är möjliga: Förskrivare, FörskrivareLäs,
Leverantör, LeverantörLäs, Controller, Helpdeskanvändare,
Talonganvändare.
– UppdragsId – kan detta vara klart att komma med i fas 1? Detta
är mer en fråga för federationen.
Attribut som önskas i SAML-biljett till
Beställningsportalen, fas 1
• Obligatoriska attribut för användare med användarroll Förskrivare
– Yrkesroll – ett värde av följande krävs för förskrivare: arbetsterapeut,
sjukgymnast, logoped, sjuksköterska, läkare, distriktssköterska, uroterapeut,
synpedagog, optiker, dietist, diabetessjuksköterska, lymfterapeut.
– EnhetKombikakod – kombikakod för den enhet som användaren avser
förskriva för.
– EnhetNamn – namn på den enhet som användaren avser förskriva för.
– EnhetKommun – anger om förskrivande enheten är kommunal eller inte.
– EnhetEpost – e-postadress till arbetsledare/chef för förskrivande enheten.
– EnhetArbetsledare – namn på arbetsledare/chef för förskrivande enheten.
– Attributen nedan kan komma att önskas i en senare fas
– Enhetstyp – anger typen på enheten, något av följande värden - Närsjukvård,
Privata sjg, log, Habilitering, Sjukhus, Kommun, Leverantörer, Övriga.
– EnhetKommun/Stadsdel/Område – anger geografisk tillhörighet för
förskrivande enheten.
– EnhetAdress - Adressuppgifter till förskrivande enheten.
Pascal: Leg yrkesgrupp / Förskrivarkod
ApSe: Argos
• Roll
– FORSKRIVARE
– LEG_VARDPERSONAL
– EJ_LEG_VARDPERSONAL
– FARMACEUT_APOTEK
– PERSONAL_APOTEK
– PRIVATPERSON
Apse: Argos
Attributnamn
Max längd Beskrivning
efternamn
35
Efternamn.
fornamn
35
Förnamn.
forskrivarkod
7
legitimationskod
6
Förskrivarens individuella legitimationskod eller
förskrivarens gruppförskrivarkod då individuell kod
saknas.
Legitimationskod för vårdpersonal.
organisationsnummer
12
Organisationsnummer.
postort
35
Arbetsplatsens postort.
postnummer
5
Arbetsplatsens postnummer.
postadress
35
Arbetsplatsens gatuadress (Adress 2).
personnummer
12
Personnummer för privatperson som anropar tjänst.
telefonnummerDirekt
15
Telefonnummer direkt till användaren.
telefonnummer
15
Telefonnummer till användaren eller arbetsplatsen.
yrkeskod
2
Yrkeskod
Standardegenskaper, går det?
Personliga egenskaper
- HSA ID
- Legitimerad (Läkare, Sjuksköterska)
- Arbetsplatskod (för läkemedel)
Uppdragsspecifika personliga egenskaper
- Tilldelade behörighetsgrundande egenskaper
- Kommer över överskådlig tid ej att kunna standardiseras
- Låt parterna själva komma överens om vad som ska användas.
Organisationens egenskaper
- Vårdgivare
- Vårdenhet
Sambi Identitets och behörighetsfederation
Var ligger ansvaret och för vad?
www.sambi.se
Federationsoperatör .SE
Anvisningstjänst
Tillsyn
Medlemsregister
Medlem uppfyller Regelverk, Tillitsramverk, Policys,
Inloggning
Intygsutfärdare
IDP
Intyg
- Vem
- Vad
Katalog
eTtjänst
AA
HSA
Behörighetstyra
nde attribut
Vårdgivare
Auktorisation
Avtal
Gemensam tjänst
Slut
Extra mtrl.
Brygga federationer
2014-05-13
Använda Svensk e-legitimation som
e-legitimation i tjänsten
E-tjänst
Privatpersoner
Identitet
Anvisningstjänst
Intygsutgivare
(IDP/CA)
Attribut-
tjänst
e-legitimation privat
e-legitimation i tjänsten
Brygga (SP)
Intygsutgivare
(IDP/CA)
Attributtjänst
Identitet och behörighet
E-tjänst
Anställda
Driver på flera federationer för etjänstelegitimation
E-tjänst
Privatpersoner
Identitet
Anvisningstjänst
Intygsutgivare
(IDP/CA)
Medlemsregister
Offentlig sektor
e-legitimation privat
e-legitimation i tjänsten
Attributtjänst
Medlemsregister
Privat sektor
Brygga (SP)
Intygsutgivare
(IDP/CA)
Attributtjänst
Identitet och behörighet
Medlemsregister
SAMBI
Medlemsregister
skolfederation
Medlemsregister
….
E-tjänst
Anställda
Fråga: Hur många federationer blir det?
Svensk e-legitimation
•
•
•
Test/Certifiering
Tillsyn/Revision
Avgifter, LIS …
Skolfederation
•
•
•
Test/Certifiering
Tillsyn/Revision
Avgifter, LIS …
Vårdfederation
•
•
•
Test/Certifiering
Tillsyn/Revision
Avgifter, LIS …
Federation X Y Z ?
•
•
•
Test/Certifiering
Tillsyn/Revision
Avgifter, LIS …
Kommun
Klient Server
eHM POT
SAML Metadata
Webb
klient
SP
NPÖ
Pascal
IDP
CS
Uthopp
Rik
klient
TP Metadata
TP
Medarbetaruppdragsval
STS
WS Metadata
Katal
og
Server
WS Soap
WS
Produce
nt
Mål
• ID användare
• Organisation VG/
• Medarbetaruppdr
• Instans System
SAML Metadata
Webb
klient
SP
NPÖ
Pascal
IDP SAML 2.0
CS
Uthopp
Rik
klient
TP Metadata
WS Trust 1.3
STS
Katal
(intyg SAML)
og
WS Metadata
Server
WS Soap
WS Basic Profile WS
Produce
TP 1.1
Version
nt
Mål
• ID användare
• Organisation VG/
• Medarbetaruppdr
• Instans System
