Authentification, Autorisation et Contrôle d'Accès en Informatique de la Santé

L'authentification, l'autorisation et le contrôle d'accès sont les mesures de sécurité techniques qui déterminent qui peut accéder aux informations de santé et ce qu'il peut en faire. L'authentification établit qu'un utilisateur (ou un système) est bien celui qu'il prétend être ; l'autorisation détermine ce qu'un utilisateur authentifié est autorisé à faire ; et le contrôle d'accès applique ces permissions lorsque des données et des fonctions sont demandées. Ensemble, ils constituent la première ligne de défense de la confidentialité et de l'intégrité des systèmes d'information de santé.

Definition

L'authentification est le processus de vérification d'une identité revendiquée ; l'autorisation est le processus de détermination des actions et des ressources qu'une identité vérifiée est autorisée à utiliser ; le contrôle d'accès est le mécanisme qui applique les décisions d'autorisation en permettant ou en refusant des opérations spécifiques sur des ressources protégées.

Scope

Cette entrée explique la distinction entre l'authentification et l'autorisation, les facteurs d'authentification courants et le rôle de l'authentification multifacteur, ainsi que les modèles dominants de contrôle d'accès, en particulier le contrôle d'accès basé sur les rôles et ses extensions, tels qu'appliqués aux dossiers de santé électroniques et autres systèmes cliniques. Elle aborde également la tension entre la restriction de l'accès et le soutien aux flux de travail cliniques. Il s'agit d'un document de référence sur les concepts et non d'un guide d'implémentation ou d'une configuration de sécurité pour un système spécifique.

Core questions

• Comment un système établit-il qu'un utilisateur est bien celui qu'il prétend être ?
• Comment les permissions sont-elles structurées pour que les utilisateurs puissent effectuer leur travail sans un accès trop large ?
• Quels modèles existent pour organiser les décisions d'accès, et comment diffèrent-ils ?
• Comment le contrôle d'accès peut-il respecter à la fois les besoins de sécurité et les flux de travail cliniques ?
• Quel rôle les patients ont-ils dans le contrôle de l'accès à leurs propres dossiers ?

Key concepts

• Authentification versus autorisation
• Facteurs d'authentification (connaissance, possession, inhérence)
• Authentification multifacteur
• Contrôle d'accès basé sur les rôles (RBAC)
• Moindre privilège et séparation des tâches
• Contrôle d'accès basé sur les attributs et sensible au contexte
• Accès d'urgence 'break-the-glass'
• Préférences d'accès granulaires, dirigées par le patient

Mechanisms

Les décisions d'accès se déroulent par étapes. L'authentification associe d'abord une requête à une identité en utilisant un ou plusieurs facteurs : quelque chose que l'utilisateur connaît (un mot de passe), possède (un jeton ou un appareil) ou est (une donnée biométrique) ; la combinaison de facteurs conduit à l'authentification multifacteur, qui résiste mieux au vol d'identifiants que les mots de passe seuls. Une fois authentifiée, l'autorisation détermine les actions permises. Le contrôle d'accès basé sur les rôles organise cela en attribuant des permissions aux rôles et des rôles aux utilisateurs, de sorte qu'un clinicien hérite de l'accès approprié à sa fonction plutôt que de recevoir des permissions gérées individuellement ; cela s'aligne naturellement avec le principe du moindre privilège et facilite l'administration dans les grandes organisations (Sandhu et al., 1996 ; Ferraiolo et al., 2001). Des extensions ajoutent des attributs et du contexte (tels que la relation avec le patient ou l'heure d'accès), et des dispositions d'urgence de type 'break-the-glass' (accès d'urgence) permettent une dérogation contrôlée avec une journalisation accrue. Les patients eux-mêmes peuvent souhaiter exercer un contrôle granulaire sur qui voit quelles parties de leur dossier, ce qui ajoute une dimension supplémentaire à la politique d'accès (Caine & Hanania, 2013). Les mesures de sécurité techniques de la règle de sécurité HIPAA exigent un contrôle d'accès et des contrôles connexes pour les informations de santé protégées électroniques (HHS OCR, 2013).

Clinical relevance

Un contrôle d'accès bien conçu protège la confidentialité tout en permettant aux équipes soignantes d'accéder aux informations dont elles ont besoin ; des contrôles mal conçus peuvent soit exposer des données, soit entraver le travail clinique, entraînant des contournements dangereux. Les preuves que les patients souhaitent un contrôle granulaire sur leurs dossiers influencent la manière dont les systèmes équilibrent protection et autonomie (Caine & Hanania, 2013). Cette entrée décrit les concepts à des fins de référence et d'éducation et n'est pas un guide de configuration ou de sécurité pour un système spécifique.

Evidence & guidelines

Les fondements conceptuels du contrôle d'accès basé sur les rôles sont exposés dans l'article modèle fondateur (Sandhu et al., 1996) et codifiés dans la norme NIST proposée (Ferraiolo et al., 2001). Les mesures de sécurité techniques de la règle de sécurité HIPAA exigent un contrôle d'accès, des contrôles d'audit, une protection de l'intégrité, une authentification de la personne ou de l'entité, et une sécurité de la transmission pour les informations de santé protégées électroniques (HHS OCR, 2013). Les exigences de contrôle spécifiques dépendent de l'analyse des risques d'une organisation et des normes officielles en vigueur.

History

Les premiers systèmes informatiques s'appuyaient sur des modèles de contrôle d'accès discrétionnaires et obligatoires simples. Le contrôle d'accès basé sur les rôles est apparu dans les années 1990 comme une approche plus gérable pour les grandes organisations, formalisée dans le modèle influent de Sandhu et ses collègues (1996) et proposée plus tard comme norme NIST (Ferraiolo et al., 2001). L'adoption dans le domaine de la santé a suivi car les rôles cliniques correspondent naturellement aux permissions basées sur les rôles, et l'approche a depuis été étendue avec des mécanismes sensibles aux attributs et au contexte pour gérer les nuances de l'accès clinique.

Debates

Quel devrait être le niveau de granularité du contrôle des patients sur l'accès aux dossiers ?

Les enquêtes indiquent que les patients souhaitent souvent un contrôle granulaire sur qui peut voir des parties spécifiques de leurs dossiers électroniques, mais la mise en œuvre d'une telle granularité peut compliquer l'accès clinique et la coordination des soins, créant une tension de conception entre l'autonomie et la convivialité.

Seminal works

• sandhu-1996
• ferraiolo-2001

Frequently asked questions

Quelle est la différence entre l'authentification et l'autorisation ?

L'authentification vérifie qui est un utilisateur (par exemple, en vérifiant un mot de passe et un second facteur), tandis que l'autorisation décide ce que cet utilisateur vérifié est autorisé à faire. L'authentification vient en premier ; l'autorisation régit les actions qui suivent.

Pourquoi le contrôle d'accès basé sur les rôles est-il courant en informatique de la santé ?

Le travail clinique est organisé autour de rôles définis, de sorte que l'attribution de permissions aux rôles et de rôles aux personnes est plus efficace que la gestion individuelle de l'accès de chaque utilisateur. Cela soutient également le principe du moindre privilège, en accordant à chaque rôle uniquement l'accès que sa fonction exige.