Bakgrunden till Säker åtkomst

Här kan du läsa om varför E-hälsomyndigheten ändrar åtkomstlösning, och hur vi valt ut de tekniska lösningarna som ska användas.

Varför inför vi Säker åtkomst och ändrar befintligt system?

Vi inför en ny åtkomstlösning för att efterleva aktuella lagkrav, där framför allt tre är viktiga:

  • lag (1996:1156) om receptregister
  • lag (2005:258) om läkemedelsförteckning
  • EU:s dataskyddsförordning (GDPR).

Kortfattat handlar det om krav på kvalitet på elektroniska identiteter, standardisering av säkerhetsrelaterad information som utbyts samt generella krav på informationssäkerhet.

Vad innebär Säker åtkomst?

Med åtkomst menas i det här sammanhanget tillgång till information som finns i E-hälsomyndighetens it-system och register. Säker åtkomst innebär bland annat att vi med hög tillförlitlighet ska kunna säkerställa vem individen som får åtkomst är och att den har rätt att ta del av informationen.

Eftersom en användare kan ha olika behörighet beroende på vilken roll eller uppgift som denne har för tillfället, måste systemen som användarna använder vara tekniskt anpassade för att ge åtkomst baserat på behov/roll.

I praktiken innebär Säker åtkomst att användaren behöver identifiera sig med kortinloggning (e‑legitimation) eller motsvarande. Den som ställer ut e-legitimation säkerställer och garanterar att individen är den som den utger sig för att vara. Eftersom en e-legitimation inte kan skickas mellan datorer används sedan ett elektroniskt intyg. Intyget utfärdas av en identitetsintygsutfärdare som då ansvarar för att omvandlingen är korrekt.

Det här innebär att det oftast är flera parter som tillsammans skapar de förutsättningar som behövs för att åtkomsten ska bli säker.

Varför SAML2-tekniken och OAuth2-tekniken?

E-hälsomyndigheten använder sedan 2011 SAML2-teknik (security assertion markup language) för hanteringen av autentisering- och auktorisationsinformation (security assertion markup language). Tekniken är både väl beprövad och väl anpassad för vår nuvarande och närliggande framtid, därav ett naturligt val även Säker åtkomst.

Efter önskemål från Inera infördes OAuth2 som ett komplement till SAML2. Det innebär att man kan använda OAuth2 för åtkomst via intygsväxling från SAML2. Detta går även i linje med vårdens referensarkitektur för identitet och åtkomst.

Framtida lösningar och tekniker

SAML2 och OAuth2 är de lösningar vi har idag, men det finns inga hinder för att vi i framtiden använder oss av ny teknik, om det finns ett behov och gemensamt intresse för det. Det ska i så fall göras på nationell nivå inom exempelvis federationen Sambi, så att det sker på ett kontrollerat och överenskommet sätt inom sektorn.

Varför är E-hälsomyndigheten en så kallad passiv service provider (SP)?

Våra it-baserade bastjänster eller informationstjänster kräver att ett aktörssystem integrerar mot dem och presenterar informationen för slutanvändaren. I den bemärkelsen är myndigheten passiva mot slutanvändaren och dess autentisering och utfärdande av identitetsintyg. Vi kräver dock att utfärdade intyg för slutanvändaren bifogas vid användning av våra informationstjänster.