Post on 03-May-2015
transcript
Carta Regionale dei ServiziSistema Informativo Socio Sanitario
Il Progetto e gli aspetti di sicurezza
Riccardo RanzaRoma, 10 maggio 2005
2
Agenda
• Le finalità del Progetto CRS-SISS• I numeri del Progetto • Sicurezza:
- Security Management
- Sicurezza della Sessione Applicativa
- Sicurezza Fisica e Sicurezza di Rete
3
• Per migliorare la qualità dei servizi sanitari offerti al cittadino, attraverso la Carta Regionale dei Servizi, consegnata ai cittadini della Lombardia.
• Per rinnovare il settore Socio-Sanitario
• Per fornire un aggiornamento degli strumenti professionali agli operatori socio-sanitari
Perché nasce il Progetto?
4
Carta Regionale dei Servizi:il Progetto è realtà
La Carta Regionale dei Servizi è uno strumento innovativo che la Regione Lombardia offre ad ogni cittadino per migliorare la qualità della sua vita
- nella gestione della salute- nei rapporti con la Pubblica Amministrazione- nella vita di ogni giorno
5
Regione
Farmacia
ASL
ASSI
CittadiniMMG/PLS
H
Ospedale
Il SISS:la Sanità in comunicazione
6
Il SISS, Sistema Informativo Socio-Sanitario:
• è un sistema altamente tecnologico che permette di ottimizzare i servizi del Sistema Sanitario Regionale mettendo a disposizione di applicazioni esistenti una piattaforma infrastrutturale (“rete”) per l'integrazione delle funzionalità applicative.
• funziona attraverso una “rete” di comunicazione che usa le modalità tipiche di Internet, ma riservata ad operatori e strutture aderenti (Extranet). Si tratta di una “rete aperta” già studiata per arricchirsi via via di nuovi servizi
Il SISS:la Sanità in comunicazione
7
qualità ed efficienza
dei processi
di diagnosi e cura
semplicità
di accesso ai servizi socio-sanitari
programmazione
precisa dei servizi
sul territorio
snellimento
dei processi
amministrativi
Per gli OPERATORI Per le STRUTTURE
Per il CITTADINO
Per la P.A.
I vantaggi
8
Sistema Informativo Socio Sanitario- Principali Aree Applicative -
• Sistema di gestione della medicina di base
• Scelta e Revoca (anagrafe assistiti, medici)
• Esenzioni (patologia, invalidità, reddito)
• Pagamenti medici
• Sistema di Gestione Processi di Rendicontazione
• Ambulatoriale• Ricoveri• Farmaceutica
• Sistema di gestione del Debito Informativo
• Automazione Flussi di rendicontazione (Ambulatoriale, Ricovero, ministeriali)
• Sistema per la gestione attività socio-assistenziali
• Gestione ASSI, Invalidità Civile, Minori, ecc.
• Sistema Direzionale• Controllo della spesa e della
qualità/appropriatezza prestazioni erogate
• Sistemi Informativi Aziendali ASL, AO
9
Le chiavi di accesso al sistema
OPERATORECITTADINO
10
Carta Regionale dei Servizi• Tessera Sanitaria Nazionale• Carta Nazionale dei Servizi• Tessera Europea di Assicurazione
Malattia• Carta di pagamento ad elevata sicurezza
(in via di attivazione)• Tesserino del Codice Fiscale• Sostituisce il tesserino sanitario cartaceo• Consente l'accesso al Sistema
Informativo Socio-Sanitario regionale• Permette di usufruire dei servizi della
Regione Lombardia e della Pubblica Amministrazione
• Consente l'autenticazione digitale del cittadino in rete e la firma elettronica
Carta Regionale dei Servizi
Dati amministrativi Dati amministrativi
Dati sanitari di emergenzaDati sanitari di emergenza
Dati anagraficiDati anagrafici
Possibilità di inserire la firma Possibilità di inserire la firma digitaledigitale
Tutto il resto è sulla rete
6 Kb per servizi privati6 Kb per servizi privati
11
Carta SISS
Carta SISS
• Identifica ed autentica l’operatore
• Consente all’operatore sanitario di utilizzare il SISS
• Permette l’accesso ai dati clinici dei cittadini (conformemente al ruolo dell’operatore)
• Permette di aggiornare la storia clinica dei cittadini
• Permette la firma digitale (“firmaforte”) dei documenti elettronici
Dati anagrafici Dati anagrafici
Firma digitale Firma digitale
Cifratura Cifratura
12
Agenda
• Le finalità del Progetto CRS-SISS• I numeri del Progetto • Sicurezza:
- Security Management
- Sicurezza della Sessione Applicativa
- Sicurezza Fisica e Sicurezza di Rete
13
Dimensioni del Progetto
• 9.200.000 Cittadini• 145.000 Operatori Sanitari• 8.150 Medici di Medicina Generale
e Pediatri di Libera Scelta • 2.500 Farmacie• 15 ASL• 42 Enti Erogatori Pubblici• 2500 Enti Erogatori Privati e ASSI
14
Stato dell’arte
Carte distribuite in tutti i territori della
Regione Lombardia
Servizi SISS per un totale di:• 3.500.000 Cittadini• 9.940 Operatori sanitari• 1.820 MMG e PLS• 15 ASL • 10 Enti erogatori pubblici
Avviata
In corso di attivazione
In fase di avvio
15
Prescrizioni sui territori attivi
0
100.000
200.000
300.000
400.000
500.000
600.000
700.000
800.000
apr-04 mag-04 giu-04 lug-04 ago-04 set-04 ott-04 nov-04 dic-04 gen-05 feb-05 mar-05
Mese
Ope
razi
oni
Farmaceutiche 240.730 218.047 292.635 339.016 290.073 425.346 489.183 554.906 612.548 587.530 631.728 727.863
Ambulatoriali 88.101 78.828 90.633 94.021 92.929 180.964 196.973 207.766 173.242 222.358 245.649 287.671
apr-04 mag-04 giu-04 lug-04 ago-04 set-04 ott-04 nov-04 dic-04 gen-05 feb-05 mar-05
Fonte: LISIT – aggiornamento al 31/03/05
16
Transazioni SISS
-
200.000
400.000
600.000
800.000
1.000.000
1.200.000
apr-
04
mag
-04
giu-
04
lug-
04
ago-
04
set-
04
ott-
04
nov-
04
dic-
04
gen-
05
feb-
05
mar
-05
apr-
05
Mese
Nu
mer
o T
ran
sazi
on
i S
ISS
Transazioni totali
Fonte: LISIT – aggiornato al30/04/05
Più della metà delle transazioni sono sottoscritte con firma digitale
17
Agenda
• Le finalità del Progetto CRS-SISS• I numeri del Progetto • Sicurezza:
- Security Management
- Sicurezza della Sessione Applicativa
- Sicurezza Fisica e Sicurezza di Rete
18
La SicurezzaIl Progetto di sicurezza
Mondo reale Requisiti
Obiettivi di sicurezza
Minacce
Contromisure IT
Progettazione e Sviluppo
Distribuzione, Configurazione, Avvio ed Esercizio
Leggi e regolamenti
Contromisure non-IT
Analisi
Esercizio
Realizzazione
19
Sicurezza- Architettura -
• Security Management e Privacy
• Sicurezza della Sessione Applicativa- Single Sign on / User Management- Public Key Infrastructure (PKI)- Smart Card
• Sicurezza Fisica e Sicurezza di Rete
20
Security Management e Privacy
Il Security Management definisce approcci, procedure, metodi, modalità entro cui si esprimeranno le attività progettuali e si svolgeranno quelle operative, per gli aspetti di sicurezza, garantendo l’applicazione del d. lgs. 196/03.
I dentificazione e
Autenticazione
Security Security ManagementManagement
Autorizzazione(ControlloAccessi)
Non Ripudio
AuditDisponibilità
Integrità
SicurezzaFisica
Riservatezza
I dentificazione e
Autenticazione
Security Security ManagementManagement
Autorizzazione(ControlloAccessi)
Non Ripudio
AuditDisponibilità
Integrità
SicurezzaFisica
Riservatezza
21
Sicurezza della Sessione Applicativa
Le scelte organizzativeS
icu
rezz
a• User Management
− Organizzazione
• Single Sign On− identificazione ed autenticazione primaria dell’operatore− identificazione ed autenticazione secondaria dell’operatore− autorizzazione (controllo accessi)− log/accounting
• PKI− riservatezza e integrità dei dati− non ripudio dei documenti− firma elettronica avanzata per gli ordinatori di spesa − attestazione per i cittadini
• Sicurezza locale− autenticazione mutua fra smart card di operatore e
cittadino
• Sicurezza Fisica e Sicurezza di Rete
22
SSO e User Management- Organizzazione -
L’organizzazione è descritta nella Base Dati di Sicurezza secondo lo standard X521.I parametri di sicurezza ricavati dall’organizzazione ed utilizzati nel controllo accessi sono:• credenziali utenti
ruolo distinguished name
• Access Control List costruite attraverso i legami relazionali tra credenziali e servizi esposti dall’Aderente.
R1
S1
SISS
AO
Reparto R2
Dominiodell’Aderente
Servizi Sn
P P P P
RR
RRuoli
Persone
Base Dati Sicurezza
23
SSO e User Management- Dettaglio dell’Organizzazione -
O = Farmacie
OU = Farmacia 1
Organizzazione del SIB
OU = SEByyOU = SEBxx
OU = MMG/PLSL = Milano
OU = ASL di Lecco
O = AO Lecco
C = Lombardia
O = SISS
L = Lecco
OU = Farmacia n
OU = Presidio di Merate
OU = Rep. nOU = Rep. 1 OU = Rep n. OU = Rep. 1
OU = Domini Centrali
OU = Presidio di Lecco
24
PSE
SSO e User Management- I&A Primaria -
SSOServer
Base DatiSicurezza
(SIB)
FRONTEND(Server)
ACL
Servizio
Servizio
PostazioneUtente(Client)
I&A PrimariaCh/R
I&A Secondaria
Smart card
CredenzialeCertificato di Aut. SecondariaCookie cifrato di Sessione
CA
25
SSO e User Management- I&A Secondaria A-to-A (Web Service) -
PostazioneUtente(Client)
I&A Secondaria
•SOAP/HTTPS (SSL v3) sulla base del Cert. Aut. Secondaria•Credenziale
Smart card
FRONTEND(Server)
ACL
Servizio
Servizio
I&A Primaria
CASSO
Server
Base DatiSicurezza
(SIB)
PSE
26
SSO e User Management- I&A Secondaria Web Application -
PostazioneUtente(Client)
I&A Secondaria
SOAP/HTTPS(SSL v2 + Cookie)
Smart card
SSOServer
I&A Primaria
CA Base DatiSicurezza
(SIB)
ReverseProxy
(Server)
ACL
Servizio
Servizio
PSE
27
SSO e User Management- Autorizzazioni (A-to-A) -
CredentialServer
Base DatiSicurezza
(SIB)
PostazioneUtente
ACL
DistibutedCredentialController
ServizioFRONTEND
(Server)Credenziale
OK/NOK
OK
SSO Server
PSE
28
SSO e User Management- Autorizzazioni (Web Application) -
CredentialServer
Base DatiSicurezza
(SIB)
PostazioneUtente
ACL
Web Agent
ServizioREVERSE PROXY
(Server)
OK/NOK
OK
SSO ServerCookie
Credenziale
PSE
OK/NOK
cache
29
SSO e User Management- Log Accounting -
Vengono tracciati sempre gli eventi di :
• I&A (Logon) Primaria (positiva e negativa)
• I&A (Logon) Secondaria (positiva e negativa)
Vengono tracciati a fronte di richieste esplicita e selettiva dell’amministratore:
• Autorizzazioni concesse e negate
30
Public Key Infrastructure (PKI)
PKI fornisce i certificati a supporto della sicurezza:
• Certificati finalizzati alla sicurezza del documento applicativo
- funzioni di firma, cifratura per archiviazione, marcatura temporale
- certificati memorizzati sulla smart card dell’operatore
• Certificati finalizzati alla sicurezza della comunicazione fra componenti distribuite di piattaforma
- funzioni di autenticazione, integrità, riservatezza, autorizzazione
31
Materiale Crittograficodegli Operatori della Socio Sanità (1)
• Carta operatore
- Coppia di chiavi e certificato di sottoscrizione
- Coppia di chiavi e certificato di autenticazione e crittografia
- Autenticazione primaria al sistema di SSO/UM
- Posta sicura secondo il formato S/MIMEv2
- Cifratura permanente di documenti
32
• Contesto di sicurezza della stazione di lavoro e nel server
- Coppia di chiavi e certificato di autenticazione e crittografia:
- Autenticazione secondaria- Riservatezza- “Proof of origin”
Il contesto di sicurezza della sessione di lavoro vale per la durata della sessione applicativa
Materiale Crittograficodegli Operatori della Socio Sanità (2)
33
Certification Authority- Operatori -
PdR
PdR
SSO/UM
CAOperatori
DIR.Extranet
DIR
TS CA
TSSEsterno
CAReg.FEP
DBFEP
Provisioning
34
Certificati Digitali- Cittadini -
Certificato e chiave privata contenuti nella smartcard del cittadino sono utilizzati per:
• Connessioni con i principali web server di mercato tramite il protocollo SSLv3 (requisito CNS);
• Processi di autenticazione in modalità Challenge/Response in cui l’applicazione utente firma, con la chiave privata relativa a tale certificato, quantità ricevute da un server remoto (requisito CNS);
• Processi di attestazione ovvero di firma elettronica non avanzata per attestare, nel dominio SISS, la presenza del cittadino durante l’erogazione di una prestazione.
35
La presenza del cittadino- Attestazione -
ServizioPostazioneOperatore
Operatore
Cittadino
Documentofirmato dall’Operatore
e attestato dal Cittadino
36
Sicurezza locale
CartaOperatore
SISS
CartaRegionale
deiServizi
Postodi
Lavorodell’operatoresocio sanitario
Chiavi di Gruppo Chiavi derivate
Processo diMutua
Autenticazione
37
Sicurezza fisica
Concetti generali• Protegge i beni identificati come asset aziendali a
livello di accesso fisico e ambientale • Presidia e controlla le aree ed i locali in cui si
svolgono le attività (uffici, CED, sale operative, ecc.)• Previene, rileva, neutralizza le minacce di natura
ambientale (incendio, allagamento, surriscaldamento, ecc.)
• Implementa le contromisure derivanti dalla Risk Analysis, analogamente agli altri aspetti di sicurezza contemplati dalla norma BS7799
38
Sicurezza di rete
Concetti generali• Ulteriore stratificazione della sicurezza• Definisce e protegge i Domini di Sicurezza di Rete• Previene, rileva, neutralizza le minacce interne ed
esterne che arrivano dalla rete• Aumenta sensibilmente la disponibilità e la
continuità di servizio dei servizi erogati in rete• Recepisce le policy di sicurezza emesse dal
Security Management e collabora alla loro implementazione e miglioramento