การพิสูจน์ตัวตน การอนุญาต และการควบคุมการเข้าถึงในเทคโนโลยีสารสนเทศด้านสุขภาพ

การพิสูจน์ตัวตน การอนุญาต และการควบคุมการเข้าถึง เป็นมาตรการป้องกันทางเทคนิคที่กำหนดว่าใครสามารถเข้าถึงข้อมูลสุขภาพได้ และสามารถทำอะไรกับข้อมูลนั้นได้บ้าง การพิสูจน์ตัวตนเป็นการยืนยันว่าผู้ใช้ (หรือระบบ) เป็นบุคคลตามที่กล่าวอ้าง การอนุญาตเป็นการกำหนดว่าผู้ใช้ที่ได้รับการพิสูจน์ตัวตนแล้วได้รับอนุญาตให้ทำอะไรได้บ้าง และการควบคุมการเข้าถึงเป็นการบังคับใช้สิทธิ์เหล่านั้นเมื่อมีการร้องขอข้อมูลและฟังก์ชันการทำงาน มาตรการเหล่านี้รวมกันเป็นแนวหน้าของการรักษาความลับและความสมบูรณ์ของข้อมูลในระบบสารสนสนเทศด้านสุขภาพ

Definition

การพิสูจน์ตัวตนคือกระบวนการตรวจสอบยืนยันตัวตนที่กล่าวอ้าง การอนุญาตคือกระบวนการกำหนดการกระทำและทรัพยากรที่ตัวตนที่ได้รับการยืนยันแล้วได้รับอนุญาต และการควบคุมการเข้าถึงคือกลไกที่บังคับใช้การตัดสินใจอนุญาตโดยการอนุญาตหรือปฏิเสธการดำเนินการเฉพาะบนทรัพยากรที่ได้รับการป้องกัน

Scope

บทความนี้จะอธิบายความแตกต่างระหว่างการพิสูจน์ตัวตนและการอนุญาต ปัจจัยทั่วไปในการพิสูจน์ตัวตนและบทบาทของการพิสูจน์ตัวตนแบบหลายปัจจัย รวมถึงรูปแบบหลักของการควบคุมการเข้าถึง โดยเฉพาะอย่างยิ่งการควบคุมการเข้าถึงตามบทบาทและส่วนขยายที่นำมาใช้กับเวชระเบียนอิเล็กทรอนิกส์และระบบทางคลินิกอื่น ๆ นอกจากนี้ยังกล่าวถึงความตึงเครียดระหว่างการจำกัดการเข้าถึงกับการสนับสนุนขั้นตอนการทำงานทางคลินิก บทความนี้เป็นข้อมูลอ้างอิงเกี่ยวกับแนวคิดและไม่ใช่คู่มือการนำไปปฏิบัติหรือการกำหนดค่าความปลอดภัยสำหรับระบบใดระบบหนึ่งโดยเฉพาะ

Core questions

• ระบบจะยืนยันได้อย่างไรว่าผู้ใช้เป็นบุคคลตามที่กล่าวอ้าง?
• สิทธิ์ถูกจัดโครงสร้างอย่างไรเพื่อให้ผู้ใช้สามารถทำงานได้โดยไม่ต้องมีการเข้าถึงที่กว้างเกินไป?
• มีรูปแบบใดบ้างสำหรับการจัดระเบียบการตัดสินใจเข้าถึง และมีความแตกต่างกันอย่างไร?
• การควบคุมการเข้าถึงสามารถเคารพทั้งความปลอดภัยและความต้องการของขั้นตอนการทำงานทางคลินิกได้อย่างไร?
• ผู้ป่วยมีบทบาทอย่างไรในการควบคุมการเข้าถึงบันทึกของตนเอง?

Key concepts

• การพิสูจน์ตัวตนกับการอนุญาต
• ปัจจัยการพิสูจน์ตัวตน (ความรู้ การครอบครอง การเป็นเจ้าของ)
• การพิสูจน์ตัวตนแบบหลายปัจจัย
• การควบคุมการเข้าถึงตามบทบาท (RBAC)
• สิทธิ์ขั้นต่ำสุดและการแบ่งแยกหน้าที่
• การควบคุมการเข้าถึงตามคุณลักษณะและตามบริบท
• การเข้าถึงฉุกเฉินแบบ 'break-the-glass'
• การตั้งค่าการเข้าถึงที่ละเอียดอ่อนซึ่งผู้ป่วยเป็นผู้กำหนด

Mechanisms

การตัดสินใจเข้าถึงดำเนินการเป็นขั้นตอน การพิสูจน์ตัวตนจะเชื่อมโยงคำขอเข้ากับตัวตนโดยใช้ปัจจัยหนึ่งหรือหลายปัจจัย: สิ่งที่ผู้ใช้รู้ (รหัสผ่าน), มี (โทเค็นหรืออุปกรณ์) หรือเป็น (ข้อมูลชีวมิติ) การรวมปัจจัยต่าง ๆ เข้าด้วยกันทำให้เกิดการพิสูจน์ตัวตนแบบหลายปัจจัย ซึ่งสามารถต้านทานการขโมยข้อมูลประจำตัวได้ดีกว่ารหัสผ่านเพียงอย่างเดียว เมื่อได้รับการพิสูจน์ตัวตนแล้ว การอนุญาตจะกำหนดการกระทำที่ได้รับอนุญาต การควบคุมการเข้าถึงตามบทบาทจะจัดระเบียบสิ่งนี้โดยการกำหนดสิทธิ์ให้กับบทบาทและกำหนดบทบาทให้กับผู้ใช้ เพื่อให้แพทย์ได้รับสิทธิ์การเข้าถึงที่เหมาะสมกับหน้าที่ของตน แทนที่จะได้รับการจัดการสิทธิ์เป็นรายบุคคล ซึ่งสอดคล้องกับหลักการสิทธิ์ขั้นต่ำสุดและช่วยให้การบริหารจัดการในองค์กรขนาดใหญ่เป็นไปได้ง่ายขึ้น (Sandhu et al., 1996; Ferraiolo et al., 2001) ส่วนขยายจะเพิ่มคุณสมบัติและบริบท (เช่น ความสัมพันธ์กับผู้ป่วยหรือเวลาที่เข้าถึง) และข้อกำหนด 'break-the-glass' ในกรณีฉุกเฉินช่วยให้สามารถเข้าถึงได้โดยมีการบันทึกข้อมูลที่เข้มงวด ผู้ป่วยเองอาจต้องการควบคุมอย่างละเอียดว่าใครสามารถเห็นส่วนใดของบันทึกของตน ซึ่งเพิ่มมิติใหม่ให้กับนโยบายการเข้าถึง (Caine & Hanania, 2013) มาตรการป้องกันทางเทคนิคของกฎ HIPAA Security Rule กำหนดให้มีการควบคุมการเข้าถึงและการควบคุมที่เกี่ยวข้องสำหรับข้อมูลสุขภาพที่ได้รับการป้องกันทางอิเล็กทรอนิกส์ (HHS OCR, 2013)

Clinical relevance

การควบคุมการเข้าถึงที่ออกแบบมาอย่างดีจะช่วยปกป้องความลับของข้อมูลในขณะที่ยังคงให้ทีมดูแลสามารถเข้าถึงข้อมูลที่จำเป็นได้ การควบคุมที่ออกแบบมาไม่ดีอาจทำให้ข้อมูลรั่วไหลหรือขัดขวางการทำงานทางคลินิก ซึ่งนำไปสู่การทำงานที่ไม่ปลอดภัย หลักฐานที่แสดงว่าผู้ป่วยต้องการการควบคุมอย่างละเอียดเกี่ยวกับบันทึกของตนมีผลต่อวิธีการที่ระบบสร้างสมดุลระหว่างการปกป้องกับความเป็นอิสระ (Caine & Hanania, 2013) บทความนี้อธิบายแนวคิดเพื่อการอ้างอิงและการศึกษา และไม่ใช่คู่มือการกำหนดค่าหรือความปลอดภัยสำหรับระบบใดระบบหนึ่งโดยเฉพาะ

Evidence & guidelines

รากฐานแนวคิดของการควบคุมการเข้าถึงตามบทบาทได้ถูกนำเสนอในเอกสารต้นแบบ (Sandhu et al., 1996) และได้รับการประมวลผลในมาตรฐาน NIST ที่เสนอ (Ferraiolo et al., 2001) มาตรการป้องกันทางเทคนิคของกฎ HIPAA Security Rule กำหนดให้มีการควบคุมการเข้าถึง การควบคุมการตรวจสอบ การป้องกันความสมบูรณ์ การพิสูจน์ตัวตนบุคคลหรือหน่วยงาน และความปลอดภัยในการส่งข้อมูลสำหรับข้อมูลสุขภาพที่ได้รับการป้องกันทางอิเล็กทรอนิกส์ (HHS OCR, 2013) ข้อกำหนดการควบคุมเฉพาะขึ้นอยู่กับการวิเคราะห์ความเสี่ยงขององค์กรและมาตรฐานทางการปัจจุบัน

History

ระบบคอมพิวเตอร์ยุคแรกอาศัยรูปแบบการควบคุมการเข้าถึงแบบเลือกได้และแบบบังคับที่เรียบง่าย การควบคุมการเข้าถึงตามบทบาทเกิดขึ้นในทศวรรษ 1990 ในฐานะแนวทางที่จัดการได้ง่ายขึ้นสำหรับองค์กรขนาดใหญ่ ซึ่งได้รับการจัดรูปแบบในแบบจำลองที่มีอิทธิพลของ Sandhu และคณะ (1996) และต่อมาได้ถูกเสนอเป็นมาตรฐาน NIST (Ferraiolo et al., 2001) การนำไปใช้ในด้านการดูแลสุขภาพตามมาเนื่องจากบทบาททางคลินิกสามารถจับคู่กับสิทธิ์ตามบทบาทได้อย่างเป็นธรรมชาติ และแนวทางนี้ได้ถูกขยายด้วยกลไกที่คำนึงถึงคุณลักษณะและบริบทเพื่อจัดการกับความแตกต่างของการเข้าถึงทางคลินิก

Debates

การควบคุมของผู้ป่วยในการเข้าถึงบันทึกควรมีความละเอียดอ่อนเพียงใด?

หลักฐานจากการสำรวจชี้ให้เห็นว่าผู้ป่วยมักต้องการการควบคุมอย่างละเอียดว่าใครสามารถเห็นส่วนใดของบันทึกอิเล็กทรอนิกส์ของตน แต่การนำความละเอียดอ่อนดังกล่าวไปใช้สามารถทำให้การเข้าถึงทางคลินิกและการประสานงานการดูแลซับซ้อนขึ้น ซึ่งก่อให้เกิดความตึงเครียดในการออกแบบระหว่างความเป็นอิสระและความสามารถในการใช้งาน

Seminal works

• sandhu-1996
• ferraiolo-2001

Frequently asked questions

ความแตกต่างระหว่างการพิสูจน์ตัวตนและการอนุญาตคืออะไร?

การพิสูจน์ตัวตนเป็นการยืนยันว่าผู้ใช้เป็นใคร (เช่น โดยการตรวจสอบรหัสผ่านและปัจจัยที่สอง) ในขณะที่การอนุญาตเป็นการตัดสินใจว่าผู้ใช้ที่ได้รับการยืนยันแล้วได้รับอนุญาตให้ทำอะไรได้บ้าง การพิสูจน์ตัวตนจะเกิดขึ้นก่อน การอนุญาตจะควบคุมการกระทำที่ตามมา

เหตุใดการควบคุมการเข้าถึงตามบทบาทจึงเป็นที่นิยมในเทคโนโลยีสารสนเทศด้านสุขภาพ?

การทำงานทางคลินิกถูกจัดระเบียบตามบทบาทที่กำหนดไว้ ดังนั้นการกำหนดสิทธิ์ให้กับบทบาทและกำหนดบทบาทให้กับบุคคลจึงสามารถปรับขนาดได้ดีกว่าการจัดการการเข้าถึงของผู้ใช้แต่ละราย นอกจากนี้ยังสนับสนุนหลักการสิทธิ์ขั้นต่ำสุด โดยให้แต่ละบทบาทมีสิทธิ์การเข้าถึงเท่าที่จำเป็นสำหรับหน้าที่ของตนเท่านั้น