La presentazione è in caricamento. Aspetta per favore

La presentazione è in caricamento. Aspetta per favore

Carta Regionale dei Servizi Sistema Informativo Socio Sanitario Il Progetto e gli aspetti di sicurezza Riccardo Ranza Roma, 10 maggio 2005.

Presentazioni simili


Presentazione sul tema: "Carta Regionale dei Servizi Sistema Informativo Socio Sanitario Il Progetto e gli aspetti di sicurezza Riccardo Ranza Roma, 10 maggio 2005."— Transcript della presentazione:

1 Carta Regionale dei Servizi Sistema Informativo Socio Sanitario Il Progetto e gli aspetti di sicurezza Riccardo Ranza Roma, 10 maggio 2005

2 2 Agenda Le finalità del Progetto CRS-SISS I numeri del Progetto Sicurezza: -Security Management -Sicurezza della Sessione Applicativa -Sicurezza Fisica e Sicurezza di Rete

3 3 Per migliorare la qualità dei servizi sanitari offerti al cittadino, attraverso la Carta Regionale dei Servizi, consegnata ai cittadini della Lombardia. Per rinnovare il settore Socio-Sanitario Per fornire un aggiornamento degli strumenti professionali agli operatori socio-sanitari Perché nasce il Progetto?

4 4 Carta Regionale dei Servizi: il Progetto è realtà La Carta Regionale dei Servizi è uno strumento innovativo che la Regione Lombardia offre ad ogni cittadino per migliorare la qualità della sua vita -nella gestione della salute -nei rapporti con la Pubblica Amministrazione -nella vita di ogni giorno

5 5 Regione Farmacia ASL ASSI Cittadini MMG/PLS H Ospedale Il SISS: la Sanità in comunicazione

6 6 Il SISS, Sistema Informativo Socio-Sanitario: è un sistema altamente tecnologico che permette di ottimizzare i servizi del Sistema Sanitario Regionale mettendo a disposizione di applicazioni esistenti una piattaforma infrastrutturale (“rete”) per l'integrazione delle funzionalità applicative. funziona attraverso una “rete” di comunicazione che usa le modalità tipiche di Internet, ma riservata ad operatori e strutture aderenti (Extranet). Si tratta di una “rete aperta” già studiata per arricchirsi via via di nuovi servizi Il SISS: la Sanità in comunicazione

7 7 qualità ed efficienza dei processi di diagnosi e cura semplicità di accesso ai servizi socio-sanitari programmazione precisa dei servizi sul territorio snellimento dei processi amministrativi Per gli OPERATORIPer le STRUTTURE Per il CITTADINO Per la P.A. I vantaggi

8 8 Sistema Informativo Socio Sanitario - Principali Aree Applicative - Sistema di gestione della medicina di base Scelta e Revoca (anagrafe assistiti, medici) Esenzioni (patologia, invalidità, reddito) Pagamenti medici Sistema di Gestione Processi di Rendicontazione Ambulatoriale Ricoveri Farmaceutica Sistema di gestione del Debito Informativo Automazione Flussi di rendicontazione (Ambulatoriale, Ricovero, ministeriali) Sistema per la gestione attività socio-assistenziali Gestione ASSI, Invalidità Civile, Minori, ecc. Sistema Direzionale Controllo della spesa e della qualità/appropriatezza prestazioni erogate Sistemi Informativi Aziendali ASL, AO

9 9 Le chiavi di accesso al sistema OPERATORECITTADINO

10 10 Carta Regionale dei Servizi Tessera Sanitaria Nazionale Carta Nazionale dei Servizi Tessera Europea di Assicurazione Malattia Carta di pagamento ad elevata sicurezza (in via di attivazione) Tesserino del Codice Fiscale Sostituisce il tesserino sanitario cartaceo Consente l'accesso al Sistema Informativo Socio-Sanitario regionale Permette di usufruire dei servizi della Regione Lombardia e della Pubblica Amministrazione Consente l'autenticazione digitale del cittadino in rete e la firma elettronica Carta Regionale dei Servizi Dati amministrativi Dati sanitari di emergenza Dati anagrafici Possibilità di inserire la firma digitale Tutto il resto è sulla rete 6 Kb per servizi privati

11 11 Carta SISS Identifica ed autentica l’operatore Consente all’operatore sanitario di utilizzare il SISS Permette l’accesso ai dati clinici dei cittadini (conformemente al ruolo dell’operatore) Permette di aggiornare la storia clinica dei cittadini Permette la firma digitale (“firma forte”) dei documenti elettronici Dati anagrafici Firma digitale Cifratura

12 12 Agenda Le finalità del Progetto CRS-SISS I numeri del Progetto Sicurezza: -Security Management -Sicurezza della Sessione Applicativa -Sicurezza Fisica e Sicurezza di Rete

13 13 Dimensioni del Progetto Cittadini Operatori Sanitari Medici di Medicina Generale e Pediatri di Libera Scelta Farmacie 15 ASL 42 Enti Erogatori Pubblici 2500 Enti Erogatori Privati e ASSI

14 14 Stato dell’arte Carte distribuite in tutti i territori della Regione Lombardia Servizi SISS per un totale di: Cittadini Operatori sanitari MMG e PLS 15 ASL 10 Enti erogatori pubblici Avviata In corso di attivazione In fase di avvio

15 15 Prescrizioni sui territori attivi Fonte: LISIT – aggiornamento al 31/03/05

16 16 Transazioni totali Fonte: LISIT – aggiornato al30/04/05 Più della metà delle transazioni sono sottoscritte con firma digitale

17 17 Agenda Le finalità del Progetto CRS-SISS I numeri del Progetto Sicurezza: -Security Management -Sicurezza della Sessione Applicativa -Sicurezza Fisica e Sicurezza di Rete

18 18 La Sicurezza Il Progetto di sicurezza Mondo realeRequisiti Obiettivi di sicurezza Minacce Contromisure IT Progettazione e Sviluppo Distribuzione, Configurazione, Avvio ed Esercizio Leggi e regolamenti Contromisure non-IT Analisi Esercizio Realizzazione

19 19 Sicurezza - Architettura - Security Management e Privacy Sicurezza della Sessione Applicativa -Single Sign on / User Management -Public Key Infrastructure (PKI) -Smart Card Sicurezza Fisica e Sicurezza di Rete

20 20 Security Management e Privacy Il Security Management definisce approcci, procedure, metodi, modalità entro cui si esprimeranno le attività progettuali e si svolgeranno quelle operative, per gli aspetti di sicurezza, garantendo l’applicazione del d. lgs. 196/03.

21 21 Sicurezza della Sessione Applicativa Le scelte organizzative Sicurezza User Management −Organizzazione Single Sign On −identificazione ed autenticazione primaria dell’operatore −identificazione ed autenticazione secondaria dell’operatore −autorizzazione (controllo accessi) −log/accounting PKI −riservatezza e integrità dei dati −non ripudio dei documenti −firma elettronica avanzata per gli ordinatori di spesa −attestazione per i cittadini Sicurezza locale −autenticazione mutua fra smart card di operatore e cittadino Sicurezza Fisica e Sicurezza di Rete

22 22 SSO e User Management - Organizzazione - L’organizzazione è descritta nella Base Dati di Sicurezza secondo lo standard X521. I parametri di sicurezza ricavati dall’organizzazione ed utilizzati nel controllo accessi sono: credenziali utenti  ruolo  distinguished name Access Control List costruite attraverso i legami relazionali tra credenziali e servizi esposti dall’Aderente. R1 S1 SISS AO Reparto R2 Dominio dell’Aderente Servizi Sn PPPP R R R Ruoli Persone Base Dati Sicurezza

23 23 SSO e User Management - Dettaglio dell’Organizzazione - O = Farmacie OU = Farmacia 1 Organizzazione del SIB OU = SEByyOU = SEBxx OU = MMG/PLS L = Milano OU = ASL di Lecco O = AO Lecco C = Lombardia O = SISS L = Lecco OU = Farmacia n OU = Presidio di Merate OU = Rep. n OU = Rep. 1 OU = Rep n.OU = Rep. 1 OU = Domini Centrali OU = Presidio di Lecco

24 24 PSEPSE SSO e User Management - I&A Primaria - SSO Server Base Dati Sicurezza (SIB) FRONTEND (Server) ACL Servizio Postazione Utente (Client) I&A Primaria Ch/R I&A Secondaria Smart card Credenziale Certificato di Aut. Secondaria Cookie cifrato di Sessione CA

25 25 SSO e User Management - I&A Secondaria A-to-A (Web Service) - Postazione Utente (Client) I&A Secondaria SOAP/HTTPS (SSL v3) sulla base del Cert. Aut. Secondaria Credenziale Smart card FRONTEND (Server) ACL Servizio I&A Primaria CA SSO Server Base Dati Sicurezza (SIB) PSEPSE

26 26 SSO e User Management - I&A Secondaria Web Application - Postazione Utente (Client) I&A Secondaria SOAP/HTTPS (SSL v2 + Cookie) Smart card SSO Server I&A Primaria CA Base Dati Sicurezza (SIB) Reverse Proxy (Server) ACL Servizio PSEPSE

27 27 SSO e User Management - Autorizzazioni (A-to-A) - Credential Server Base Dati Sicurezza (SIB) Postazione Utente ACL Distibuted Credential Controller Servizio FRONTEND (Server) Credenziale OK/NOK OK SSO Server PSEPSE

28 28 SSO e User Management - Autorizzazioni (Web Application) - Credential Server Base Dati Sicurezza (SIB) Postazione Utente ACL Web Agent Servizio REVERSE PROXY (Server) OK/NOK OK SSO Server Cookie Credenziale PSEPSE OK/NOK cachecache

29 29 SSO e User Management - Log Accounting - Vengono tracciati sempre gli eventi di : I&A (Logon) Primaria (positiva e negativa) I&A (Logon) Secondaria (positiva e negativa) Vengono tracciati a fronte di richieste esplicita e selettiva dell’amministratore: Autorizzazioni concesse e negate

30 30 Public Key Infrastructure (PKI) PKI fornisce i certificati a supporto della sicurezza: Certificati finalizzati alla sicurezza del documento applicativo -funzioni di firma, cifratura per archiviazione, marcatura temporale -certificati memorizzati sulla smart card dell’operatore Certificati finalizzati alla sicurezza della comunicazione fra componenti distribuite di piattaforma -funzioni di autenticazione, integrità, riservatezza, autorizzazione

31 31 Materiale Crittografico degli Operatori della Socio Sanità (1) Carta operatore -Coppia di chiavi e certificato di sottoscrizione -Coppia di chiavi e certificato di autenticazione e crittografia -Autenticazione primaria al sistema di SSO/UM -Posta sicura secondo il formato S/MIMEv2 -Cifratura permanente di documenti

32 32 Contesto di sicurezza della stazione di lavoro e nel server -Coppia di chiavi e certificato di autenticazione e crittografia: -Autenticazione secondaria -Riservatezza -“Proof of origin” Il contesto di sicurezza della sessione di lavoro vale per la durata della sessione applicativa Materiale Crittografico degli Operatori della Socio Sanità (2)

33 33 Certification Authority - Operatori - Pd R SSO/UM CA Operatori DIR. Extranet DIR TS CA TSS Esterno CA Reg. FEP DB FEP Provisioning

34 34 Certificati Digitali - Cittadini - Certificato e chiave privata contenuti nella smartcard del cittadino sono utilizzati per: Connessioni con i principali web server di mercato tramite il protocollo SSLv3 (requisito CNS); Processi di autenticazione in modalità Challenge/Response in cui l’applicazione utente firma, con la chiave privata relativa a tale certificato, quantità ricevute da un server remoto (requisito CNS); Processi di attestazione ovvero di firma elettronica non avanzata per attestare, nel dominio SISS, la presenza del cittadino durante l’erogazione di una prestazione.

35 35 La presenza del cittadino - Attestazione - Servizio Postazione Operatore Cittadino Documento firmato dall’Operatore e attestato dal Cittadino

36 36 Sicurezza locale Carta Operatore SISS Carta Regionale dei Servizi Posto di Lavoro dell’operatore socio sanitario Chiavi di GruppoChiavi derivate Processo di Mutua Autenticazione

37 37 Sicurezza fisica Concetti generali Protegge i beni identificati come asset aziendali a livello di accesso fisico e ambientale Presidia e controlla le aree ed i locali in cui si svolgono le attività (uffici, CED, sale operative, ecc.) Previene, rileva, neutralizza le minacce di natura ambientale (incendio, allagamento, surriscaldamento, ecc.) Implementa le contromisure derivanti dalla Risk Analysis, analogamente agli altri aspetti di sicurezza contemplati dalla norma BS7799

38 38 Sicurezza di rete Concetti generali Ulteriore stratificazione della sicurezza Definisce e protegge i Domini di Sicurezza di Rete Previene, rileva, neutralizza le minacce interne ed esterne che arrivano dalla rete Aumenta sensibilmente la disponibilità e la continuità di servizio dei servizi erogati in rete Recepisce le policy di sicurezza emesse dal Security Management e collabora alla loro implementazione e miglioramento


Scaricare ppt "Carta Regionale dei Servizi Sistema Informativo Socio Sanitario Il Progetto e gli aspetti di sicurezza Riccardo Ranza Roma, 10 maggio 2005."

Presentazioni simili


Annunci Google