Autenticação, Autorização e Controle de Acesso em TI da Saúde

Autenticação, autorização e controle de acesso são as salvaguardas técnicas que decidem quem pode acessar informações de saúde e o que pode fazer com elas. A autenticação estabelece que um usuário (ou sistema) é quem afirma ser; a autorização determina o que um usuário autenticado tem permissão para fazer; e o controle de acesso impõe essas permissões quando dados e funções são solicitados. Juntos, eles são a linha de frente da confidencialidade e integridade nos sistemas de informação em saúde.

Definition

Autenticação é o processo de verificar uma identidade reivindicada; autorização é o processo de determinar as ações e recursos que uma identidade verificada tem permissão para acessar; controle de acesso é o mecanismo que impõe as decisões de autorização, permitindo ou negando operações específicas em recursos protegidos.

Scope

Esta entrada explica a distinção entre autenticação e autorização, fatores comuns de autenticação e o papel da autenticação multifator, e os modelos dominantes de controle de acesso, especialmente o controle de acesso baseado em função e suas extensões, conforme aplicado a prontuários eletrônicos e outros sistemas clínicos. Também aborda a tensão entre restringir o acesso e apoiar o fluxo de trabalho clínico. É um material de referência sobre os conceitos e não um guia de implementação ou configuração de segurança para qualquer sistema específico.

Core questions

• Como um sistema estabelece que um usuário é quem afirma ser?
• Como as permissões são estruturadas para que os usuários possam realizar seu trabalho sem acesso excessivamente amplo?
• Quais modelos existem para organizar as decisões de acesso e como eles diferem?
• Como o controle de acesso pode respeitar as necessidades de segurança e de fluxo de trabalho clínico?
• Que papel os pacientes têm no controle do acesso aos seus próprios prontuários?

Key concepts

• Autenticação versus autorização
• Fatores de autenticação (conhecimento, posse, inerência)
• Autenticação multifator
• Controle de acesso baseado em função (RBAC)
• Menor privilégio e separação de funções
• Controle de acesso baseado em atributos e sensível ao contexto
• Acesso de emergência 'quebrar o vidro'
• Preferências de acesso granular, direcionadas ao paciente

Mechanisms

As decisões de acesso prosseguem em etapas. A autenticação primeiro vincula uma solicitação a uma identidade usando um ou mais fatores: algo que o usuário sabe (uma senha), tem (um token ou dispositivo) ou é (uma biometria); a combinação de fatores resulta na autenticação multifator, que resiste melhor ao roubo de credenciais do que apenas senhas. Uma vez autenticado, a autorização determina as ações permitidas. O controle de acesso baseado em função organiza isso atribuindo permissões a funções e funções a usuários, de modo que um clínico herda o acesso apropriado à sua função, em vez de receber permissões gerenciadas individualmente; isso se alinha naturalmente com o princípio do menor privilégio e facilita a administração em grandes organizações (Sandhu et al., 1996; Ferraiolo et al., 2001). Extensões adicionam atributos e contexto (como relacionamento com o paciente ou tempo de acesso), e provisões de emergência 'quebrar o vidro' permitem a substituição controlada com registro aprimorado. Os próprios pacientes podem desejar exercer controle granular sobre quem vê quais partes de seu prontuário, o que adiciona uma dimensão adicional à política de acesso (Caine & Hanania, 2013). As salvaguardas técnicas da Regra de Segurança da HIPAA exigem controle de acesso e controles relacionados para informações de saúde protegidas eletronicamente (HHS OCR, 2013).

Clinical relevance

Um controle de acesso bem projetado protege a confidencialidade, ao mesmo tempo em que permite que as equipes de atendimento acessem as informações de que precisam; controles mal projetados podem expor dados ou obstruir o trabalho clínico, levando a soluções alternativas inseguras. Evidências de que os pacientes desejam controle granular sobre seus prontuários influenciam como os sistemas equilibram proteção com autonomia (Caine & Hanania, 2013). Esta entrada descreve os conceitos para referência e educação e não é um guia de configuração ou segurança para qualquer sistema específico.

Evidence & guidelines

As bases conceituais do controle de acesso baseado em função são apresentadas no artigo seminal do modelo (Sandhu et al., 1996) e codificadas no padrão NIST proposto (Ferraiolo et al., 2001). As salvaguardas técnicas da Regra de Segurança da HIPAA exigem controle de acesso, controles de auditoria, proteção de integridade, autenticação de pessoa ou entidade e segurança de transmissão para informações de saúde protegidas eletronicamente (HHS OCR, 2013). Os requisitos de controle específicos dependem da análise de risco de uma organização e dos padrões oficiais atuais.

History

Os primeiros sistemas de computador dependiam de modelos simples de controle de acesso discricionário e obrigatório. O controle de acesso baseado em função surgiu na década de 1990 como uma abordagem mais gerenciável para grandes organizações, formalizado no influente modelo de Sandhu e colegas (1996) e posteriormente proposto como um padrão NIST (Ferraiolo et al., 2001). A adoção na área da saúde seguiu porque as funções clínicas se mapeiam naturalmente para permissões baseadas em função, e a abordagem foi desde então estendida com mecanismos baseados em atributos e sensíveis ao contexto para lidar com as nuances do acesso clínico.

Debates

Quão granular deve ser o controle do paciente sobre o acesso ao prontuário?

Evidências de pesquisas indicam que os pacientes frequentemente desejam controle granular sobre quem pode ver partes específicas de seus prontuários eletrônicos, mas a implementação de tal granularidade pode complicar o acesso clínico e a coordenação do atendimento, levantando uma tensão de design entre autonomia e usabilidade.

Seminal works

• sandhu-1996
• ferraiolo-2001

Frequently asked questions

Qual é a diferença entre autenticação e autorização?

A autenticação verifica quem é um usuário (por exemplo, verificando uma senha e um segundo fator), enquanto a autorização decide o que esse usuário verificado tem permissão para fazer. A autenticação vem primeiro; a autorização governa as ações que se seguem.

Por que o controle de acesso baseado em função é comum na TI da saúde?

O trabalho clínico é organizado em torno de funções definidas, então atribuir permissões a funções e funções a pessoas é mais escalável do que gerenciar o acesso de cada usuário individualmente. Também apoia o princípio do menor privilégio, dando a cada função apenas o acesso que sua função exige.