Dimitris Gritzalis (a), Costas Lambrinoudakis (b)

Transcript

1 Dimitris Gritzalis (a), Costas Lambrinoudakis (b) a Department of Informatics, Athens University of Economics and Business, 76 Patission Street, Athens GR 10434, Greece b Department of Information and Communication Systems Engineering, University of the Aegean, Samos GR 83200, Greece International Journal of Medical Informatics, Volume 73, Issue 3, 31 March 2004, Pages

2 Introduzione La maggior parte delle malattie croniche ed ereditarie necessitano trattamenti continui e spesso complicati. La cura del paziente può essere affidata a diversi centri ( Health Care Units HCU ) a volte lontani fra loro. Ogni struttura registrerà i dati del paziente nei propri archivi e questo porterà ad una enorme quantità di informazioni i i relative lti alla stessa persona e inaccessibili ibili agli altri centri che l hanno in cura. L introduzione dell Information and Communication Technologies (ICT) in campo medico sanitario ha permesso di risolvere questo problema, facilitando la comunicazione tra le varie strutture. L Electronic Health lh Care Record (EHR) e tutte le applicazioni i i mediche che utilizzano internet come standard di comunicazione hanno agevolato la comunicazione tra le diverse strutture sanitarie, anche se molto distanti tra loro. Questa semplificazione nello scambio di informazioni riservate, che consiste nella possibilità di accedervi in remoto, è stata causa dell insorgere di problemi relativi alla sicurezza. 2

3 Scopo del progetto L idea di base del lavoro svolto da Dimitris Gritzalis (Università di Atene, Grecia) e da Costas Lambrinoudakis (Università di Aegean, Grecia) e qui presentato, è stata lo sviluppo di un sistema di sicurezza atto a proteggere lo scambio di infomazioni mediche tra strutture sanitarie. L architettura del sistema descritto nel seguito prevede l esistenza di un agente centrale, security agent, che ha il compito di sorvegliare il dominio di sua competenza ed impedire gli accessi a utenti non provvisti i delle credenziali necessarie. 3

4 Premessa Prima di realizzare a e il progetto di interconnessione ess o e ta tra i sste sistemi EHR è necessario prestare attenzione a ciò che segue: L interconnessione facilita la comunicazione tra HCU. Ogni struttura è responsabile bl dl del proprio dominio al quale deve garantire la presenza di un sistema di sicurezza contro i tentativi di acceso non autorizzati; La rete di interconnessione non deve essere statica in quanto, in ogni momento, deve essere possibile per una nuova HCU entrare a farne parte; Non ci deve essere un sistema di amministrazione centrale; Il trattamento dei dati deve essere in accordo con la politica di sicurezza che è stata loro assegnata; Non sono ammesse relazioni confidenziali tra strutture che entrano a far parte del sistema. Queste relazioni si potranno sviluppare in seguito e dovranno essere dinamiche. 4

5 Requisiti itiper la sicurezza dei didti dati I requisiti che il sistema deve possedere per garantire la sicurezza dei dati sono: la possibilità di ogni HCU di possedere una personale politica di sicurezza all interno del proprio domino. L interconnessione di più domini crea un ambiente a politiche di sicurezza multiple Conseguenza: nascono conflitti fra di esse ed emerge l esigenza di un meccanismo di risoluzione i di questi; le politiche di sicurezza devono essere il più possibile adattabili ai cambiamenti del sistema; devono essere garantite l integrità e la riservatezza dei dati medici; quando viene inviata un informazione ad una HCU remota deve essere protetta dal proprio sistema di sicurezza; gli utenti, per poter accedere al sistema, devono essere autenticati nel proprio dominio i e per consultare dati appartenenti ti ad un altro dominio i non dovranno ripetere l operazione di autenticazione; la possibilità di eseguire una single sign on cioè una singola autenticazione; i meccanismi di sicurezza devono essere trasparenti a tutti gli utenti. 5

6

7 Componenti tidlit del sistema Security Domain: è responsabile della politica di sicurezza del dominio in cui si trova. Il numero dei domini di sicurezza coincide con il numero delle HCU che fanno parte del sistema. Security Agent: è un agente che controlla tutte le decisioni in merito alla sicurezza del proprio dominio; in particolare scambia informazioni relative alla sicurezza e riceve servizi di sicurezza dal SSP. In ogni dominio c è un security agent che offre i seguenti servizi: User authentication: i l utente si può connettere al server EHR di una HCU digitando le proprie credenziali (user id, password, certificato digitale, ). Il security agent locale autentica l utente e gli concede un certificato temporaneo. Da ora in poi l utente potrà richiedere informazioni contenute nel dominio locale l ma anche informazioni i i presenti altrove senza bisogno di una nuova autenticazione. User authorization: i securiry agents controllano completamente le risorse locali e si occupano delle autorizzazioni all interno del dominio, in accordo con la sua politica di sicurezza. La caratteristica principale del processo di autorizzazione è che il security agent locale non possiede informazioni riguardanti gli utenti remoti: ogni agente conosce tutto ciò che riguarda gli utenti del proprio dominio e non oltre. Security logging: ogni security agent genera ed immagazzina tutte le informazioni che sono necessarie per realizzare periodiche verifiche del sistema. 7

8 Politiche di immagazzinamento e di sicurezza dati: ogni security domain possiede una politica generale di immagazzinamento dei dati e di sicurezza. In questo modo si evitano, all interno di una stessa HCU, conflitti i tra le politiche di gestione dati locali e remoti di ogni gruppo di utenti. Security Service Provider: sistema indipendente che fornisce servizi di sicurezza (in forma di web service) agli agenti locali. Questi servizi includono: Security agent directory services: lo SSP possiede una lista di tutti i security agents allo scopo di facilitare la comunicazione tra di essi; Certificate provision: per i security agents lo SSP rappresenta l autorità certificante (per l autenticazione reciproca vengono usati certificati digitali); Policy conflict resolution: lo SSP fornisce servizi per facilitare la risoluzione i dei conflitti interni i al dominio. i 8

9 Il sistema soddisfa i requisiti di sicurezza desiderati Questo sistema è in grado di soddisfare i requisiti di sicurezza esposti nel lucido 5, in particolare: Riservatezza dei dati: le comunicazioni tra servers EHR ed i corrispondenti security agents, servers EHR e gli utenti sono criptate; Integrità dei contenuti e controllo degli accessi: per proteggere l integrità dei contenuti si utilizzano firme XML, mentre per il controllo degli accessi si utilizza XACML (extensible access control markup language); g Servizi di autenticazione single sign on : l utente, per ottenere le informazioni che desidera, deve autenticarsi; questo significa inviare le proprie credenziali al security agent del dominio in cui si trova; 9

10 Role based access control: l accesso ai contenuti ed ai servizi avviene sulla base del ruolo assegnato all utente e non della sua identità; Smart authorization: i security agents locali hanno il compito di decidere se consentire o meno ad un utente l accesso ad informazioni che si trovano all interno di un altro dominio, del quale però possiedono scarse informazioni delle politiche di accesso. Per prendere questa decisione l agente dovrà considerare diversi fattori, come: Tipologia delle credenziali usate dall utente per l autenticazione; Dominio di provenienza dell utente; Auditing: i security agents registrano ed immagazzinano tutte tt le informazioni i i necessarie alla revisione ii ed al controllo del sistema. 10

11 Conclusioni i Recentemente si è registrato un aumento della mobilità in campo sanitario i da parte dei pazienti i che invece di scegliere le strutture mediche vicine al loro domicilio, preferiscono affidarsi alle cure di centri specialistici. Questo aspetto, combinato al fatto che si sta diffondendo sempre più questa tipologia di strutture, ha portato allo sviluppo di software web based per la memorizzazione dei dati medici. Questi sistemi sono molto utili dal punto di vista della comunicazione. Tuttavia, per quanto riguarda la sicurezza dei dati scambiati (es: privacy e loro integrità), hanno generato numerosi problemi. L articolo presentato descrive l architettura di un sistema di sicurezza per la comunicazione tra sistemi informativi sanitari. Esso è basato su security agents in grado di supportare sistemi web based distribuiti. L articolo descrive principalmente i gli aspetti di autenticazione i ed autorizzazione degli utenti in un ambiente che supporta al suo interno politiche di sicurezza differenti. 11