Identity & Access Management in de ZORG

In ziekenhuizen en andere zorginstellingen zijn inmiddels diverse ICT middelen zoals Elektronisch Patiënten Dossiers, Medicatie Applicaties, Intensive Care applicaties maar ook ERP en reguliere Windows/Office omgevingen in gebruik. Het aantal applicaties dat in een ziekenhuis wordt gebruikt is relatief groot ten opzichte van andere organisaties.

Zorginstellingen krijgen door genoemde veranderingen nog meer een “open” karakter; zowel fysiek als logisch is een grotere vrijheid van beweging ontstaan. Zorgmedewerkers hebben toegang tot relevante informatie via terminals, Pc’s en in een aantal gevallen PDA’s. Medewerkers hebben op basis van rol of functie toegang tot de informatie die noodzakelijk is voor hun werkzaamheden. Medewerkers zijn in diverse instellingen werkzaam en werken vanuit thuissituaties of externe posten. Ook de cliënt of de afnemer van de zorg krijgt toegang tot informatie die voorheen alleen beschikbaar was voor specialisten.

Uitdagingen
Efficiency verbetering is in eerste instantie een voor de hand liggende wijze aan de toenemende zorgvraag en de nieuwe (technische)mogelijkheden tegemoet te komen. Maar ook om aan de dreigende en bestaande uitdagingen het hoofd te bieden. De efficiency verhogende maatregelen hebben een organisatorische- en een technische kant. Arbeidsprocessen dienen te worden geoptimaliseerd en waar mogelijk zullen ICT zaken vereenvoudigd en geautomatiseerd worden. Kwaliteit van de dienstverlening wordt steeds belangrijker aangezien nieuwe richtlijnen de marktwerking ook in de Zorg willen bevorderen.

Noodzakelijke informatie is eenvoudig te verkrijgen vanuit de ICT omgeving. De informatie moet volgens de geldende wetten en normen worden beschermd. Om deze reden wordt voor logische toegang gebruik gemaakt van sterke authenticatie middelen of username password combinaties. Ook de fysieke toegang wordt geregeld door middel van pasjes of RFID dragers. Vanuit de overheid is het UZI register ingericht en op enig moment zal de UZI-pas algemeen in gebruik zijn. De zorgverlener dient dus vaak in- en af te loggen, moet daarbij een aantal wachtwoorden onthouden en heeft nog afzonderlijke middelen nodig voor toegang tot specifieke ruimten. In extreme omstandigheden zoals op Intensive care omgevingen of Spoedeisende hulp afdelingen zou men in principe enkele honderden
keren per dag moeten aan- en afloggen. Ook de ICT staf krijgt door toename van het gebruik van verschillende ICT toepassingen te maken met een steeds hoger wordende werkdruk.

De auditor, de verzekeraar en de overheid wil met zekerheid kunnen vaststellen wie op een bepaald moment een bepaalde handeling via de ICT omgeving heeft uitgevoerd. Motivaties liggen in controleerbaarheid of persoonlijke afrekenbaarheid. Groepsaccounts moeten dus of worden uitgefaseerd of binnen de accounts moet een persoon herkenbaar blijven. Voor de zorginstelling is het daarbij ook van belang dat uitsluitend de daartoe geautoriseerde personen toegang krijgen tot de voor hen bestemde informatie. Het management zal voortdurend zicht willen houden op de kwaliteit die aan de markt wordt geboden.

De oplossing
Trusted-ID voorziet in de nabije toekomst een gemakkelijk toegankelijk en aan de gebruiker zeer eigen authenticatie platform, dat beschikbaar is voor iedere gebruiker onafhankelijk van locatie of device waarop toegang gezocht wordt. Alle moeilijkheden en pijnpunten van de bestaande sterke authenticatie methoden, zoals SSO, Wachtwoord problematiek en Beheer, zijn niet meer aan orde en Compliance is volledig en automatisch.

Trusted-ID zoekt de oplossing in een systeem dat volledig transparant de gebruikerservaring verbetert, en tegelijkertijd de zelfopgelegde of vanuit de regelgeving gedirigeerde controle mechanismen volledig automatiseert.

Een Identity & Access Management (IAM) strategie biedt het framework en de gereedschappen om dit mogelijk te maken. Gereedschappen als:

• CMS Systemen voor sterke authenticatie
• Single Sign On systemen om de aanlog ervaring te verbeteren en vereenvoudigen
•  Provisioning omgevingen waarmee de gebruikte identiteiten kunnen worden gedistribueerd, gemuteerd of ingetrokken
• Claims Based Access omgevingen waarmee de controle op het juiste gebruik van rechten kan worden gecontroleerd.

Bovendien kan een IAM omgeving worden gebruikt om zaken als controle op fysieke toegang of het vullen van een actueel telefoonboek, het voeden van een dynamisch evacuatie plan etc. te managen.

Identity & Access Management (IAM)
Een IAM omgeving zal modulair van opzet moeten zijn aangezien de prioritisering van functionaliteiten binnen iedere organisatie verschilt. IAM kan worden ingevoerd vanuit de motivatie veiligheid te willen vergroten of de controleerbaarheid te verbeteren en de kwaliteitscontrole naar een hoger niveau te brengen. Verder zal moeten worden vastgesteld welke middelen met de IAM omgeving het best kunnen worden beheerd of gecontroleerd.

Voorgaande illustratie geeft een overzicht van de wijze waarop door middel van een Meta Directory als de Microsoft Identity lifecycle Manager (ILM voorheen MIIS) distributie van rechten kan plaatsvinden. Van belang hierbij is dat de zaken die de ILM omgeving moet uitvoeren conform wensen en eisen van de diverse belanghebbenden zijn. Verder zal moeten worden bepaald vanuit welke bron de controle wordt uitgevoerd. HR omgevingen worden over het algemeen accuraat bijgehouden. De bron gegevens uit de HR omgeving zoals namen, personeelsnummer en functie kunnen als basisinformatie worden gebruikt. Verrijking van deze informatie met zaken als rol, locatie, identiteitsgegevens (biometrische gegevens e.d.) kunnen vanuit andere bronnen worden toegevoegd.

Een ILM implementatie verloopt in de volgende stappen:

• Vaststellen wensen- en eisenpakket, afgestemd op en overeengekomen met alle belanghebbende groepen en personen
• Maken van het Functioneel ontwerp
• Maken van het technisch ontwerp
• Keuze van de te gebruiken technologie en het stappenplan voor invoering van de IAM omgeving
• Implementatie
• Beheer en onderhoud

Een typisch IAM project beslaat grotendeels het bepalen van strategie en planning van werkzaamheden. Uitvoering is cruciaal maar zal alleen slagen als de juiste invoerstrategie
is gekozen.

Samenvattend
De ICT omgevingen van gezondheidszorg organisaties zijn complex van aard. De wijze waarop met authenticatie middelen wordt gewerkt is uniek aangezien er weinig omgevingen zijn waar bepaalde gebruikers tot 7 verschillende middelen (kaartjes, tokens, biometrische eigenschappen, username/password) nodig hebben om logische en fysieke toegang te verkrijgen.

CCOW of Context management is de volgende trend die zich begint af te tekenen. Met behulp van CCOW kan opnieuw een kwaliteitsverbetering binnen de processen worden bewerkstelligd en tegelijkertijd de gebruikerservaring worden verbetert.

De juiste IAM strategie voor de gezondheidszorg zal met deze situatie om moeten kunnen gaan. Daarnaast zal moeten worden gezocht naar de meest efficiënte invoermethode (Plan van aanpak). Waar kan op korte termijn de grootste winst behaald worden; gebruikerservaring, gebruiksgemak, veiligheid, kwaliteitsverhoging of compliancy? Of ligt de grootste winst in het bereiken van een samenspel van deze doelstellingen?

• Trusted-ID heeft de kennis en de middelen om een IAM strategie uit te voeren;
• Trusted-ID heeft jaren ervaring met de invoering van een IAM strategie in de Zorg;
• Trusted-ID heeft aangetoond ook in grote complexe omgevingen van de Zorg succesvol een IAM strategie te kunnen implementeren.

De juiste strategie is cruciaal!