La sicurezza nel Progetto CRS-SISS Fulvio Barbarito Milano, 20 ottobre 2005

Transcript

1 Carta Regionale dei Servizi Sistema Informativo Socio Sanitario La sicurezza nel Progetto CRS-SISS Fulvio Barbarito Milano, 20 ottobre 2005

2 2 Agenda Le finalità del Progetto CRS-SISS I numeri del Progetto Sicurezza: - Security Management - Sicurezza della Sessione Applicativa - Sicurezza Fisica e Sicurezza di Rete

3 3 Perché nasce il Progetto? Per migliorare la qualità dei servizi sanitari offerti al cittadino, attraverso la Carta Regionale dei Servizi, consegnata ai cittadini della Lombardia. Per rinnovare il settore Socio-Sanitario Per fornire un aggiornamento degli strumenti professionali agli operatori socio-sanitari

4 4 Carta Regionale dei Servizi: il Progetto è realtà La Carta Regionale dei Servizi è uno strumento innovativo che la Regione Lombardia offre ad ogni cittadino per migliorare la qualità della sua vita - nella gestione della salute - nei rapporti con la Pubblica Amministrazione - nella vita di ogni giorno

5 5 Il SISS: la Sanità in comunicazione Regione Farmacia Ospedale H MMG/PLS Cittadini ASL ASSI

6 6 Il SISS: la Sanità in comunicazione Il SISS, Sistema Informativo Socio-Sanitario: è un sistema altamente tecnologico che permette di ottimizzare i servizi del Sistema Sanitario Regionale mettendo a disposizione di applicazioni esistenti una piattaforma infrastrutturale ( rete ) per l'integrazione delle funzionalità applicative. funziona attraverso una rete di comunicazione che usa le modalità tipiche di Internet, ma riservata ad operatori e strutture aderenti (Extranet). Si tratta di una rete aperta già studiata per arricchirsi via via di nuovi servizi

7 7 I vantaggi Per gli OPERATORI Per le STRUTTURE Per la P.A. qualità ed efficienza dei processi di diagnosi e cura snellimento dei processi amministrativi programmazione precisa dei servizi sul territorio Per il CITTADINO semplicità di accesso ai servizi socio-sanitari

8 8 Sistema Informativo Socio Sanitario - Principali Aree Applicative - Sistema di gestione della medicina di base Scelta e Revoca (anagrafe assistiti, medici) Esenzioni (patologia, invalidità, reddito) Pagamenti medici Sistema di Gestione Processi di Rendicontazione Ambulatoriale Ricoveri Farmaceutica Sistema di gestione del Debito Informativo Automazione Flussi di rendicontazione (Ambulatoriale, Ricovero, ministeriali) Sistema per la gestione attività socio-assistenziali Gestione ASSI, Invalidità Civile, Minori, ecc. Sistema Direzionale Controllo della spesa e della qualità/appropriatezza prestazioni erogate Sistemi Informativi Aziendali ASL, AO

9 9 Le chiavi di accesso al sistema CITTADINO OPERATORE

10 10 Carta Regionale dei Servizi Dati amministrativi Dati sanitari di emergenza Dati anagrafici Possibilità di inserire la firma digitale 6 Kb per servizi privati Carta Regionale dei Servizi Tessera Sanitaria Nazionale Carta Nazionale dei Servizi Tessera Europea di Assicurazione Malattia Carta di pagamento ad elevata sicurezza (in via di attivazione) Tesserino del Codice Fiscale Sostituisce il tesserino sanitario cartaceo Consente l'accesso al Sistema Informativo Socio-Sanitario regionale Permette di usufruire dei servizi della Regione Lombardia e della Pubblica Amministrazione Consente l'autenticazione digitale del cittadino in rete e la firma elettronica Tutto il resto è sulla rete

11 11 Carta SISS Dati anagrafici Firma digitale Cifratura Carta SISS Identifica ed autentica l operatore Consente all operatore sanitario di utilizzare il SISS Permette l accesso ai dati clinici dei cittadini (conformemente al ruolo dell operatore) Permette di aggiornare la storia clinica dei cittadini Permette la firma digitale ( firma forte ) dei documenti elettronici

13 13 Dimensioni del Progetto Cittadini Operatori Sanitari Medici di Medicina Generale e Pediatri di Libera Scelta Farmacie 15 ASL 42 Enti Erogatori Pubblici 2500 Enti Erogatori Privati e ASSI

14 14 Stato dell arte Carte distribuite in tutti i territori della Regione Lombardia Avviata In corso di attivazione Servizi SISS per un totale di: Cittadini Operatori sanitari MMG e PLS 15 ASL 19Entierogatoripubblici In fase di avvio

15 15 Prescrizioni sui territori attivi Numero di operazioni (prescrizioni farmaceutiche e ambulatoriali) 1,400,000 1,200,000 1,000,000 Operazioni 800, , , ,000 - set-04 ott-04 nov-04 dic-04 gen-05 feb-05 mar-05 apr-05 mag-05 giu-05 lug-05 ago-05 set-04 ott-04 nov-04 dic-04 gen-05 feb-05 mar-05 apr-05 mag-05 giu-05 lug-05 ago-05 Farmaceutiche 425, , , , , , , ,378 1,197,009 1,187,403 1,145,142 1,030,334 Ambulatoriali 180, , , , , , , , , , , ,623 Mese Fonte: LISIT aggiornamento al 31/08/05

16 16 Transazioni totali Transazioni SISS 2005 Numero Transazioni SISS Gen Feb Mar Apr Mag Giu Lug Ago Set Fonte: LISIT aggiornato al 30/09/05 Mese Più della metà delle transazioni sono sottoscritte con firma digitale

18 18 La Sicurezza Il Progetto di sicurezza Mondo reale Requisiti Minacce Obiettivi di sicurezza Leggi e regolamenti Analisi Contromisure non-it Contromisure IT Progettazione e Sviluppo Distribuzione, Configurazione, Avvio ed Esercizio Realizzazione Esercizio

19 19 Sicurezza - Architettura - Security Management e Privacy Sicurezza della Sessione Applicativa - Single Sign on / User Management - Public Key Infrastructure (PKI) - Smart Card Sicurezza Fisica e Sicurezza di Rete

20 20 Security Management e Privacy Il Security Management definisce approcci, procedure, metodi, modalità entro cui si esprimeranno le attività progettuali e si svolgeranno quelle operative, per gli aspetti di sicurezza, garantendo l applicazione del d. lgs. 196/03. Identificazione e Autenticazione Autorizzazione (Controllo Accessi) Integrità Non Ripudio Security Management Sicurezza Fisica Disponibilità Audit Riservatezza

21 21 Sicurezza Sicurezza della Sessione Applicativa User Management Organizzazione Le scelte organizzative Single Sign On identificazione ed autenticazione primaria dell operatore identificazione ed autenticazione secondaria dell operatore autorizzazione (controllo accessi) log/accounting PKI riservatezza e integrità dei dati non ripudio dei documenti firma elettronica avanzata per gli ordinatori di spesa attestazione per i cittadini Sicurezza locale autenticazione mutua fra smart card di operatore e cittadino Sicurezza Fisica e Sicurezza di Rete

22 22 SSO e User Management - Organizzazione - L organizzazione è descritta nella Base Dati di Sicurezza secondo lo standard X521. I parametri di sicurezza ricavati dall organizzazione ed utilizzati nel controllo accessi sono: credenziali utenti ruolo distinguished name Access Control List costruite attraverso i legami relazionali tra credenziali e servizi esposti dall Aderente. Reparto Ruoli R Persone AO Base Dati Sicurezza R1 R2 P P P P SISS Servizi R R S1 Dominio dell Aderente Sn

23 23 SSO e User Management - Dettaglio dell Organizzazione - C = Lombardia O = SISS OU = Domini Centrali L = Lecco L = Milano OU = MMG/PLS OU = Presidio di Merate O = AO Lecco OU = Presidio di Lecco OU = ASL di Lecco OU = Farmacia 1 O = Farmacie OU = Farmacia n OU = SEBxx OU = SEByy OU = Rep. 1 OU = Rep. n OU = Rep. 1 OU = Rep n. Organizzazione del SIB

24 24 SSO e User Management -I&APrimaria - CA SSO Server Base Dati Sicurezza (SIB) I&A Primaria Ch/R Credenziale Certificato di Aut. Secondaria ACL P S E Postazione Utente (Client) I&A Secondaria FRONTEND (Server) Servizio Smart card Servizio

25 25 SSO e User Management -I&ASecondaria - CA SSO Server Base Dati Sicurezza (SIB) I&A Primaria ACL P S E Smart card Postazione Utente (Client) I&A Secondaria SOAP/HTTPS (SSL v3) sulla base del Cert. Aut. Secondaria Credenziale FRONTEND (Server) Servizio Servizio

26 26 SSO e User Management - Autorizzazioni - Credential Server ACL Base Dati Sicurezza (SIB) SSO Server Credenziale Distibuted Credential Controller FRONTEND (Server) OK Servizio OK/NOK P S E Postazione Utente

27 27 SSO e User Management - Autorizzazioni - Autorizzazioni basate su una espressione booleana su circa 6 attributi (ruolo, territorio, struttura, ) della credenziale Processo di autorizzazione del tutto analogo sia per accesso a Web Application (WA) che a Web Service (WS) Amministrazione accessi integrata per gli ambienti WA-WS Valutazione delle regole sul front end Autorizzazione tracciata in modo selettivo sugli utenti e discrezionale da parte degli amministratori

28 28 SSO e User Management - Log Accounting - Vengono tracciati sempre gli eventi di : I&A (Logon) Primaria (positiva e negativa) I&A (Logon) Secondaria (positiva e negativa) Vengono tracciati a fronte di richieste esplicita e selettiva dell amministratore: Autorizzazioni concesse e negate

29 29 Public Key Infrastructure (PKI) PKI fornisce i certificati a supporto della sicurezza: Certificati finalizzati alla sicurezza del documento applicativo - funzioni di firma, cifratura per archiviazione, marcatura temporale - certificati memorizzati sulla smart card dell operatore Certificati finalizzati alla sicurezza della comunicazione fra componenti distribuite di piattaforma - funzioni di autenticazione, integrità, riservatezza, autorizzazione

30 30 Materiale Crittografico degli Operatori della Socio Sanità (1) Carta operatore - Coppia di chiavi e certificato di sottoscrizione - Coppia di chiavi e certificato di autenticazione e crittografia - Autenticazione primaria al sistema di SSO/UM - Posta sicura secondo il formato S/MIMEv2 - Cifratura permanente di documenti

31 31 Materiale Crittografico degli Operatori della Socio Sanità (2) Contesto di sicurezza della stazione di lavoro e nel server - Coppia di chiavi e certificato di autenticazione e crittografia: - Autenticazione secondaria - Riservatezza - Proof of origin Il contesto di sicurezza della sessione di lavoro vale per la durata della sessione applicativa

32 32 Certification Authority - Operatori - PdR DIR. Extranet Reg. FEP CA CA Operatori DIR SSO/UM DB FEP TS CA TSS Esterno PdR Provisioning

33 33 Certificati Digitali -Cittadini - Certificato e chiave privata contenuti nella smartcard del cittadino sono utilizzati per: Connessioni con i principali web server di mercato tramite il protocollo SSLv3 (requisito CNS); Processi di autenticazione in modalità Challenge/Response in cui l applicazione utente firma, con la chiave privata relativa a tale certificato, quantità ricevute da un server remoto (requisito CNS); Processi di attestazione ovvero di firma elettronica non avanzata per attestare, nel dominio SISS, la presenza del cittadino durante l erogazione di una prestazione.

34 34 La presenza del cittadino - Attestazione - Operatore Postazione Operatore Documento firmato dall Operatore e attestato dal Cittadino Servizio Cittadino

35 35 Sicurezza locale Carta Operatore SISS Chiavi di Gruppo Posto di Lavoro dell operatore socio sanitario Processo di Mutua Autenticazione Carta Regionale dei Servizi Chiavi derivate

36 36 Sicurezza fisica Concetti generali Protegge i beni identificati come asset aziendali a livello di accesso fisico e ambientale Presidia e controlla le aree ed i locali in cui si svolgono le attività (uffici, CED, sale operative, ecc.) Previene, rileva, neutralizza le minacce di natura ambientale (incendio, allagamento, surriscaldamento, ecc.) Implementa le contromisure derivanti dalla Risk Analysis, analogamente agli altri aspetti di sicurezza contemplati dalla norma BS7799

37 37 Sicurezza di rete Concetti generali Ulteriore stratificazione della sicurezza Definisce e protegge i Domini di Sicurezza di Rete Previene, rileva, neutralizza le minacce interne ed esterne che arrivano dalla rete Aumenta sensibilmente la disponibilità e la continuità di servizio dei servizi erogati in rete Recepisce le policy di sicurezza emesse dal Security Management e collabora alla loro implementazione e miglioramento