Den nationale sundhedsføderation - Kort fortalt
Den nationale sundhedsføderation anvendes når en medarbejder skal tilgå en patients sundhedsdata via de nationale sundhedsportaler (eksempelvis Sundhed.dk, FMK-online, SEI2, Dansk PatientSikkerhedsDatabase, Den Nationale Henvisningsformidling mm.) eller via service-integration til nationale sundhedsservices (eksempelvis fra et EPJ-, EOJ- eller LPS-fagsystem).
De primære komponenter i den nationale sundhedsføderationer er SEB og SOSI STS.
SEB (Sundhedsvæsenets elektroniske brugerstyring) har to funktioner:
- IdP-Broker – sender bruger videre til login hos brugerens hjemme-IdP (Nemlogin, en regional-IdP eller en kommunal-IdP).
- Bruger-rettigheds-administration. Lokal administrator kan tildele specifikke roller rettet mod en konkret web-applikation (fx sagsbehandler i DPSD), samt Nationale roller rettet mod service-integration (dvs. en ikke sundhedsfaglig autoriseret medarbejder, der skal have adgang til patientdata qua arbejdsfunktionen. Fx sekretær).
SOSI STS udsteder adgangsbilletter (SOSI IdKort). Et SOSI IdKort er medarbejderens personlige adgangsbillet der medsendes ved service-integration og knapløsningsadgang. SOSI IdKortet er et bevis for at medarbejderen:
- Er autentificeret
- Har en sundhedsfaglig autorisation (læge, sygeplejerske, Social- og sundhedsassistent mm.)
- eller national rolle (dvs. en ikke sundhedsfaglig autoriseret medarbejder, der skal have adgang til patientdata qua arbejdsfunktionen. Fx sekretær)
Den nationale sundhedsføderation er adskilt fra den fælles offentlige føderation (OCES/NemId/Nemlog-in).
- Den nationale sundhedsføderation benytter den fælles offentlige føderation til bruger-autentifikation (log-in)
- Den nationale sundhedsføderation har eget adgangsrolle-koncept, egen sessionsmodel og egne adgangsbilletter (SOSI IdKort).
Den fællesoffentlige føderation - Overgangen fra NemID/OCES2 til MitId/OCES3
Ved overgangen fra NemID/OCES2 til MitId/OCES3 ændres den fællesoffentlige føderation:
- NemId erstattes af MitId
- Medarbejdere oprettes i MitId Erhverv
- OCES2 erstattes af OCES3 (MOCES2 erstattes af MOCES3 og FOCES2 samt VOCES2 erstattes af VOCES3)
- Nemlogin understøtter ikke medarbejdersignatur (MOCES3)
- Store brugerorganisationer kan etablere egne IdentityProviders (IdP’er)
- NSIS erstattes af NIST (Standard for Identiteters Sikringsniveauer)
- OIOSAML2 erstattes af OIOSAML3
Den nationale sundhedsføderation, som benytter den fællesoffentlige føderation til bruger-autentifikation, skal tilpasse sig ovenstående ændringer.
Hvad påvirkes/påvirkes ikke i den nationale sundhedsføderation ved overgangen til MitId/OCES3?
Et bærende princip har været at minimere forandringerne i den nationale sundhedsføderationen, som følge af overgangen fra NemID/OCES2 til MitId/OCES3.
Da den nationale sundhedsføderation benytter den fællesoffentlige føderation til bruger-autentifikation, så sker de største ændringer i forhold til bruger-autentifikation, samt i forhold til omveksling af adgangsbilletter(tokens) fra den fællesoffentlige føderation til adgangsbilletter, der kan benyttes i den nationale sundhedsføderationen. Tokens (SOSI IdKort) og sikkerhedsprotokol (DGWS) anvendt indenfor sundhedsføderationen ændres ikke.
Ovenstående er illustreret i nedenstående figur og uddybes i teksten nedenfor.
Medarbejder- og borger-autentifikation
Som illustreret på figuren så ændres konceptet for medarbejder- og borger-autentifikation, og dette påvirker alle brugerorganisationer indenfor sundhedsområdet.
Medarbejder-authentifikation:
Indenfor sundhedsområdet skal de enkelte brugerorganisationer vælge eller etablere en Identity Provider (IdP) samt egen model til 2-faktor nøgler (eksempelvis chip-, kodeviser- eller app-baseret 2-faktor).
- Små brugerorganisationer, som eksempelvis lægepraksis og apoteker, forventes at anvendes Nemlog-in som IdP samt at anvende MitId enhver til brugeradministration. Nemlog-in tilbyder forskellige standard 2-faktor nøgler (jf. https://migrering.nemlog-in.dk og https://www.mitid.dk/kom-i-gang-med-mitid/mitid-identifikationsmidler/)
- Regionerne realiserer egen lokale IdP’er til medarbejder-autentifikation. Et par af regionerne forventer at blive klar med en såkaldt NSIS registreret IdP. Resten af regionerne forventer i en overgang at erstatte deres MOCES2 infrastruktur med en MOCES3 infrastruktur.
- Kommunerne samarbejder om at blive klar med en fælles kommunal NSIS registreret IdP (omtalt Context-handleren), som den enkelte kommune IdP tilkobles.
Borger-autentifikation:
Borgere anvender Nemlog-in som IdP, hvorfra det anvendes deres nye MitId og MitId app som 2-faktor.
System-autentifikation:
Funktioncertifikaterne (FOCES2) nedlægges.
Virksomhedscertifikater VOCES2 erstattes med VOCES3.
SEB: IdentityProvider
SEB-IdP'en er en såkaldt broker, der forbinder en serviceprovider (den tjeneste brugeren tilgår - eksempelvis en webportal som sundhed.dk, fmk-online, DPSD, SEI2, eller et fagsystem som EOJeller LPS) med brugerens login-sted (brugerens hjemme-IdP, hvilket kan være Nemlog-in, en regional IdP eller kommunernes context-handler).
Ved overgange til MitId opdeles SEB i en SEB-borger-IdP og en SEB-medarbejder-IdP. Med opsplitningen opnås en mere robust løsning, hvor medarbejdere login ikke påvirket af høj trafik på borger login.
Web-portaler som har været tilsluttet SEB-medarbejder-IdP fra før MitId:
De fleste af de Web-portaler, som har været tilsluttet SEB-IdP'en fra før overgangen til MitId, de skal ikke lave ændringer i overgangen til MitID. Dvs. deres tilslutning til SEB-IdP vil være den samme OIOSAML2-baserede snitflade som de benytte idag.
Medarbejderen vil derimode opleve en anden brugerrejse, da medarbejderen skal tage stillig til hvilke hjemme-IdP der skal anvendes til log-in. Tidligere havde SEB ingen brugergrænseflade og sendte bare brugeren videre til login i Nemlog-in. I fremtiden vil medarbejdere skulle vælge hjemme-IdP (Nemlog-in, en regional IdP eller en kommunal IdP) via en grænsefalde i SEB.
Nye Web-portaler som ikke tidligere har været tilsluttet SEB-medarbejder-IdP:
Nye SP'er, som ikke tidligere har været tilsluttet SEB-IdP, de tilbydes nogle nye OIOSAML3 baserede snitflader til SEB.
Web-portaler tilsluttet SEB-borger-IdP:
Eksisterende og nye SP'er tilsluttest SEB-borger-IdP vil ikke opleve ændringer i forbindelse med overgangen til Mitid.
Fagsystemer (i kommuner, lægepraksis og apoteker) skal tilsluttet SEB-medarbejder-IdP ved adgang til patientdata fra en en national sundhedstjeneste:
Fagsystemer skal anvende et SOSI idkort på medarbejderen for at kunne tilgå patientdata fra en national sundhedstjeneste. Fremover skal kommuner, lægepraksis og apoteker hente en Bootstraptoken fra SEB-medarbejder-IdP'en, som efterfølgende kan omveksles til et SOSI IdKort via SOSI STS'en.
Omveksling til SOSI IdKort via SOSI STS
OIOSAML2SOSI snitfladen på SOSI STS’en udfases. Udfasningen bunder i at OIOSAML2SOSI snitfladen bryder med føderation-modellen og korrekt anvendelse af tokens. Sundhedsvæsenets sikkerhedsføderation (SOSI) er adskilt fra den fælles offentlige Nemlog-in føderation. Et OIOSAML token fra Nemlog-in til webportal er målrettet trust-relationen mellem Nemlog-in og webportalen. Men tokenet er ikke gyldigt udenfor denne trust-relation og bør derfor ikke anvendes mod SOSI føderationen.
BST2SOSI er en ny snitfladen på SOSI STS'en. Snitfladen kan omvikle et BST token modtaget fra SEB-medarbejder-IdP'en eller en lokale NSIS registreret IdP til et SOSI IdKort.
NewSecurityToken snitfladen på SOSI STS'en ændres så den acceptere signering med MOCES3 tokens. Vær opmærksom på at understøttelse af MOCES3 bliver midlertid og forventes udfaset.
SOSI2OIOSAML snitfladen på SOSI STS'en ændres ikke. Snitfladen anvendes i forbindelse med Knapløsninger (SikkerBrowserOpstart).
SOSI Gateway ændre ikke.
SEB: Bruger-rettigheds-administration
En lokal brugerorganisation kan udnævne en lokal SEB administrators, som har til opgave at tildele roller til organisationens medarbejdere. Dette gøres via SEB administrationsgrænseflade. Der skelnes mellem nationale rolle og applikationsspecifikke roller.
De nationale roller anvendes af sundhedspersoner, der ikke har en sundhedsautorisation i autorisationsregisteret, men som skal have adgang til patientdata qua deres arbejdsfunktion. Fx en lægesekretær.
De applikationsspecifikke roller er rolle målrette en specifik SP tilsluttet SEB-medarbejder-IdP'en.
Bruger-rettigheds-administration via SEB ændres ikke. Dog tilføjes et enkelt 'Globalt medarbejder UUID' til medarbejderens konto i SEB. 'Globalt medarbejder UUID' er indført i forbindelse med MitID Erhverv.
Sikkerhedsprotokol anvendt til service-integration - DGWS
Der laves ingen ændringer til Den Gode Web-service sikkerhedsprotokollen og SOSI IdKort, som anvendes service-integration fra et fagsystem til en sundhedsservice.
Som brugerorganisation, hvordan påvirkes jeg?
Den enkelte brugerorganisationer skal vælge MitId Erhverv eller etablere egen Identity Provider (IdP). Se mere under afsnit 3.1 ovenfor.
Som systemejer for et fagsystem, hvordan påvirkes jeg?
Der laves ingen ændringer til Den Gode Web-service sikkerhedsprotokollen og SOSI IdKort, som anvendes service-integration fra et fagsystem til en sundhedsservice.
Men konceptet for login og hentning af SOSI IdKort (se afsnit 3.1-3.3 ovenfor) ændres og du skal sikre dig at dit fagsystem tager højde for dette.
Kontakt din fagsystemsleverandør, så du sikre at leverandøren er opmærksom på forandringerne, og så du sikre dig, at fagsystemer bliver klar til disse forandringer.
Som fagssystemleverandør, hvordan påvirkes jeg?
Du skal:
- Identificer hvilke koncepter dine kunder benytter til bruger-autentifikation (se afsnit 3.1-3.3 ovenfor).
- Beslut hvilke bruger-autentifikations-koncepter dit fagsystem skal understøtte.
- Lav de nødvendlige tilpasninger til fagsystemer og implementer det ude hos kunderne.
Er dine kunder lægepraksis, apoteker mm. (altså mindre sundhedsorganisationer), så se vejledningen Hints: Brug af MitID Erhverv i adgang til patientdata fra nationale sundhedsservices (working progress).
Som region, hvordan påvirkes jeg?
Som kommune, hvordan påvirkes jeg?
Som kommune er du både brugerorganisation og systemejer for et fagsystem.
1) Kommunerne samarbejder om at blive klar med en fælles kommunal NSIS registreret IdP (omtalt Context-handleren), som den enkelte kommune IdP tilkobles.
2) Fremover skal fagsystemer i kommuner hente Bootstraptoken fra SEB-medarbejder-IdP'en, som efterfølgende kan omveksles til et SOSI IdKort via SOSI STS'en.
Kontakt din fagsystemsleverandør, så du sikre at leverandøren har en plan for ovenstående.
Som lægepraksis, apotek mm. (altså en mindre sundhedsorganisation), hvordan påvirkes jeg?
Ved overgangen til MitID forventes mindre sundhedsorganisationer at vælge:
- at administrere organisationens medarbejdere via MitID Erhverv.
- og dermed at organisationens medarbejdere skal logge på via NemLog-in ved adgang til den nationale sundhedsføderation.
De mindre organisationer har hidtil anvendt medarbejdersignatur (MOCES2) som autentifikationsmiddel, hvilket ikke længere er muligt.
Der er udarbejdet et vejledningen målrettet det som skal etableres for mindre sundhedsorganisationer. Se Hints: Brug af MitID Erhverv i adgang til patientdata fra nationale sundhedsservices (working progress).
Kontakt din fagsystemsleverandør, så du sikre at leverandøren har en plan for ovenstående.
Som web-portal tilsluttet SEB, hvordan påvirkes jeg?
Som anvendes af VOCES2 og FOCES2, hvordan påvirkes jeg?
Funktioncertifikaterne (FOCES2) nedlægges.
Virksomhedscertifikater VOCES2 erstattes med VOCES3.
SOSI STS'en understøtter både VOCES2 og VOCES3.
VOCES2/FOCES2 skal udskiftes inden DIGST lukker for brugen af OCES2 certifikaterne.
Som anvender af DGWS, hvordan påvirkes jeg?
Der laves ingen ændringer til Den Gode Web-service sikkerhedsprotokollen og SOSI IdKort, som anvendes service-integration fra et fagsystem til en sundhedsservice.
Vær opmærksom på at der laves ændring til snitfladerne på SOSI STS, og dermed hvordan SOSI IdKort udstedes (se afsnit 3.1-3.3 ovenfor).
Som anvender af SEB, hvordan påvirkes jeg?
Bruger-rettigheds-administration via SEB ændres ikke (se afsnit 3.4 ovenfor).
SEB fungere desuden som såkaldt broker, der forbinder en serviceprovider (den tjeneste brugeren tilgår - eksempelvis en webportal som sundhed.dk, fmk-online, DPSD, SEI2, eller et fagsystem som EOJeller LPS) med brugerens login-sted (brugerens hjemme-IdP, hvilket kan være Nemlog-in, en regional IdP eller kommunernes context-handler). Der sker nogle ændringer til denne del af SEB (se afsnit 3.2 ovenfor).
Med integrationer til aftaledeling, fællesstamkort eller graviditetsmappen, hvordan påvirkes jeg?
De tre (aftaledeling, fællesstamkort eller graviditetsmappen) er kendetegnet ved at have flere typer af integrationer til de nationale sundhedsservices.
Der kører baggrundsjobs til opdatering af data, hvor sikkerhedsmodellen er baseret på VOCES2 eller FOCES2. Disse integrationer skal fremad anvendes VOCES3 (se kapitel 10).
Der er service-integrationer baseret på DGWS. DGWS ændres ikke, der snitfladerne på SOSI STS ændres, og dermed hvordan SOSI IdKort udstedes (se afsnit 3.1-3.3 ovenfor).
Graviditetsmappen har en administrativ web-portal, hvor login håndteres via SEB-IdP. Brugerorganisation skal være opmærksomme på at der sker en del ændringer til SEB-idp tilslutningen (se afsnit 3.2).