Eduardo Martín Calleja Foro TIC para la Sanidad 24 de Septiembre 2008

Transcripción

1 Tarjeta Electrónica del Profesional Sanitario: Factores críticos del proyecto Eduardo Martín Calleja Foro TIC para la Sanidad 24 de Septiembre 2008

2 Usos de una tarjeta profesional electrónica El impacto de la administración por vía electrónica en la Sanidad se traduce en la adopción de nuevas tecnologías de la información, las cuales requieren la puesta de nuevos medios a disposición de los profesionales. Entre estos medios destacan los relacionados con la identificación segura, el control de los accesos y la firma electrónica de los usuarios del sistema de Información Objetivo de la tarjeta electrónica profesional: Integrar en una única tarjeta: La identificación visual del profesional El control de presencia (tarjeta para fichar) El control de accesos físicos (tornos / barreras) El acceso seguro a la red: logon de windows con tarjeta El acceso remoto seguro: autenticación con tarjeta mediante un cliente VPN desde un ordenador portátil El envío de mensajes firmados entre profesionales (correo electrónico seguro) El descifrado de información confidencial El acceso seguro combinando la tarjeta con una solución de SSO La firma electrónica reconocida p2 Tarjeta Electrónica del Profesional Sanitario

3 La tarjeta electrónica del profesional sanitario: llave para el acceso seguro a los servicios a la red corporativa Credenciales de acceso (LDAP) identificación única y acceso seguro e a las aplicaciones corporativas Portal colaborativo del profesional sanitario Consejería de Sanidad de XXXXXXXX Hospital HHHHHH Control de accesos, Control de presencia NOMBRE APELLIDO 1 APELLIDO 2 HCE Acceso remoto y movilidad Registro de Profesionales Consulta y actualización de la Historia Clínica Electrónica Correo Electrónico Seguro entre profesionales p3 Tarjeta Electrónica del Profesional Sanitario

4 Relación con la tarjeta sanitaria electrónica Acceso remoto del profesional Dispensación receta electrónica Asegurados Consejería de Sanidad de XXXXXXXX Hospital HHHHHH TARJETA SANITARIA Consejería de Sanidad de XXXXXXXX Hospital HHHHHH NOMBRE APELLIDO 1 APELLIDO 2 Aaaaaa Bbbbbbb NOMBRE APELLIDO 1 APELLIDO 2 TARJETA SANITARIA Aaaaaa Bbbbbbb Tareas administrativas Consejería de Sanidad de XXXXXXXX Hospital HHHHHH NOMBRE APELLIDO 1 APELLIDO 2 Servicios Centrales RED SANITARIA Portal sanitario Consejería de Sanidad de XXXXXXXX TARJETA SANITARIA Hospital HHHHHH TARJETA SANITARIA Aaaaaa Bbbbbbb NOMBRE APELLIDO 1 APELLIDO 2 Aaaaaa Bbbbbbb Hospitales Consejería de Sanidad de XXXXXXXX Hospital HHHHHH Quioscos en unidades administrativas Unidades de Atención Primaria NOMBRE APELLIDO 1 APELLIDO 2 p4 Tarjeta Electrónica del Profesional Sanitario

5 Escenarios de uso de la tarjeta electrónica del profesional sanitario ERP Acceso (SSO) Firma electrónica Control de accesos Control de presencia Aplicaciones Consejería de Sanidad de XXXXXXXX Hospital HHHHHH Acceso físico LDAP Autorización NOMBRE APELLIDO 1 APELLIDO 2 Directorio Activo Autenticación (local o remota) Correo electrónico seguro Reg. de profesionales Fichar p5 Tarjeta Electrónica del Profesional Sanitario

6 TEPS: visión global del proyecto Tarjetas y p6 Tarjeta Electrónica del Profesional Sanitario

7 Factores críticos: Tarjetas y certificados Tarjetas y Elección de la tecnología de tarjeta mas adecuada Con cripotgrafía Criptográfica RSA Javacard Contactless Dual interface Tipo de soporte (en función de duración) Decisión acerca del certificado digital Perfil del certificado: Certificado corporativo Firma electrónica Confidencialidad certificado de descifrado? Prestador de Servicios de Certificación Servicios de personalización Plástico, chip contactless, chip criptográfico Definición del servicio de personalización Selección de proveedor p7 Tarjeta Electrónica del Profesional Sanitario

8 Tarjetas y Factores críticos:, control de acceso y presencia Definición de los colectivos usuarios Empleo estable Personal con contratos temporales o de sustitución Colaboradores externos habituales Colaboradores externos ocasionales Quién necesita certificado digital? Acceso al sistema de información Diseño físico de la tarjeta Información visible del usuario Logotipo(s) Diseño gráfico Periodos de vigencia de tarjetas y certificados Sistemas de control de acceso y presencia Arquitectura: centralizada, distribuida Modelo de actualización integración con la gestión del personal (ERP) Modelo de administración Gestión de las tarjetas y Aplicación de gestión integración en el ERP p8 Tarjeta Electrónica del Profesional Sanitario

9 Factores críticos: Seguridad en las Tarjetas y Acceso a la red Smartcard logon: para quién? Políticas del Directorio Activo Tratamiento de puestos de trabajo críticos: urgencias y control de enfermería Correo electrónico Direcciones de correo colectivas Integración con registro de profesionales Acceso remoto seguro Cliente VPN identificación del usuario con certificado digital Autenticación frente al Dominio Control de accesos a la red Correo electrónico seguro Acceso remoto seguro p9 Tarjeta Electrónica del Profesional Sanitario

10 Factores críticos: Tarjetas y Autenticación única Objetivo: autenticación transparente en el acceso SSO Escritorio personalizado Autorización y control de los accesos basado en directorio LDAP Integración LDAP-Directorio Activo Integración de aplicaciones de terceros: ej. Gestión de laboratorios Soluciones diferentes en función del tipo de puesto p10 Tarjeta Electrónica del Profesional Sanitario

11 Factores críticos: Firma electrónica Qué debe firmarse? Informes Prescripciones Controles: isótopos, transplantes, Dirección médica: oficiales, alertas Tarjetas y Certificado digital de firma Tipo de certificado Posible separación de identificación y firma Integración de la f.e. en las aplicaciones Plan de integración Tratamiento posterior de la firma Datos de no repudio p11 Tarjeta Electrónica del Profesional Sanitario

12 Factores críticos: Políticas y procedimientos Procedimientos Altas y bajas de personal Incidencias: olvido de tarjeta, extravío o robo Cambios: paso de tarjeta sin certificado a tarjeta con certificado, sustitución de tarjeta Tarjetas y Políticas Política de seguridad de la tarjeta Políticas de directorio activo Política de gestión de tarjetas Políticas de control de accesos Procedimientos de soporte a usuarios (formación al CAU) Bloqueo de tarjeta Revocación del certificado Cambio de política de D.A. p12 Tarjeta Electrónica del Profesional Sanitario

13 Factores críticos: Tarjetas y Microinformática Infraestructura del puesto de trabajo Directorio activo, smartcard logon Librerías criptográficas Posible migración de la plataforma microinformática? Plataforma de firma Componentes de creación de firma Componentes de integración de firma Validación de firmas Creación de firmas longevas Archivo de no repudio Autorización y acceso a aplicaciones Gestión de identidades Directorio LDAP Single Sign On Escritorio personalizado Incorporación de f.e. en las aplicaciones Cambios en las aplicaciones Portafirmas electrónico p13 Tarjeta Electrónica del Profesional Sanitario

14 Factores críticos: Gestión del proyecto Tarjetas y Oficina Técnica Controlar Organización del proyecto Piloto Despliegue por fases Modelo de gestión basado en Oficina Técnica Oficina Técnica Complejidad Pluralidad de interlocutores Afecta a los hábitos de trabajo de los usuarios Proyecto de características particulares, que requiere conocimiento de expertos Relaciones con otras entidades: ej. colegios de farmacéuticos Gestión del cambio Plan de gestión del cambio Plan de comunicación Definir Coordinar Prestar soporte Organización y formación del soporte a usuarios Facilitar el cambio p14 Tarjeta Electrónica del Profesional Sanitario

15 Tarjeta profesional electrónica: Resumen de factores de éxito del proyecto La definición de la solución tecnológica: Diversas tecnologías: tarjetas chip criptomemory, tarjetas criptográficas RSA, tarjetas java Diferentes complementos: antena de proximidad,, biometría, desarrollo de aplicaciones en la tarjeta java, etc. La selección de proveedores: Proveedores de tarjetas Proveedores de servicios de personalización de la tarjeta Prestadores de servicios de certificación La adecuación de las infraestructuras tecnológicas a la utilización de la tarjeta Microinformática Utilización de certificados Firma electrónica IDM y SSO Los procedimientos Emisión inicial de tarjetas y certificados Altas, bajas Incidencias: olvido, robo o extravío, expiración de validez La definición y gestión del proyecto Se trata de proyectos de implantación de una solución innovadora en los que intervienen una diversidad de actores, por lo que la coordinación y control del proyecto a cargo de una oficina técnica es esencial p15 Tarjeta Electrónica del Profesional Sanitario

16 Como empezar: Estudio inicial TÍTULO OBJETIVO DESCRIPCIÓN DURACIÓN ESTIMADA ESTUDIO PARA LA DEFINICIÓN DE LA TARJETA ELECTRÓNICA PROFESIONAL Definir el business case: oportunidad, objetivos, solución y proyecto Definición de requerimientos: colectivos, requisitos funcionales y técnicos, restricciones y condicionantes (legales, plazos, presupuesto, etc.) Definición de la solución: identificación y valoración de alternativas, recomendación, análisis de impacto en las infraestructuras tecnológicas. Definición de procedimientos esenciales: emisión, incidencias, etc. Definición del proyecto y su valoración orientativa Unos dos meses p16 Tarjeta Electrónica del Profesional Sanitario

17