健康IT中的身份验证、授权和访问控制

身份验证、授权和访问控制是决定谁可以访问健康信息以及他们可以如何使用这些信息的技术保障措施。身份验证确认用户（或系统）是否是其声称的身份；授权决定经过身份验证的用户被允许做什么；当请求数据和功能时，访问控制强制执行这些权限。它们共同构成了健康信息系统保密性和完整性的第一道防线。

Definition

身份验证是验证所声称身份的过程；授权是确定经过验证的身份被允许执行的操作和访问的资源的过程；访问控制是强制执行授权决策的机制，通过允许或拒绝对受保护资源执行特定操作。

Scope

本条目解释了身份验证和授权之间的区别、常见的身份验证因素以及多因素身份验证的作用，以及主要的访问控制模型，特别是基于角色的访问控制及其扩展，这些模型应用于电子健康记录和其他临床系统。它还涉及限制访问和支持临床工作流程之间的矛盾。它是关于概念的参考资料，并非任何特定系统的实施指南或安全配置。

Core questions

• 系统如何确认用户是其声称的身份？
• 权限是如何构建的，以确保用户在不过度访问的情况下完成工作？
• 存在哪些组织访问决策的模型，它们之间有何不同？
• 访问控制如何兼顾安全性和临床工作流程需求？
• 患者在控制自己记录的访问方面扮演什么角色？

Key concepts

• 身份验证与授权
• 身份验证因素（所知、所有、所是）
• 多因素身份验证
• 基于角色的访问控制 (RBAC)
• 最小权限和职责分离
• 基于属性和上下文感知的访问控制
• “打破玻璃”紧急访问
• 细粒度、患者导向的访问偏好

Mechanisms

访问决策分阶段进行。身份验证首先使用一个或多个因素将请求绑定到身份：用户知道的（密码）、拥有的（令牌或设备）或其本身固有的（生物特征）；结合多个因素可实现多因素身份验证，这比单独使用密码更能抵抗凭据盗窃。一旦通过身份验证，授权将确定允许的操作。基于角色的访问控制通过将权限分配给角色，并将角色分配给用户来组织此过程，从而使临床医生继承与其功能相符的访问权限，而不是接收单独管理的权限；这自然符合最小权限原则，并简化了大型组织的管理（Sandhu et al., 1996; Ferraiolo et al., 2001）。扩展功能增加了属性和上下文（例如与患者的关系或访问时间），紧急“打破玻璃”条款允许在加强日志记录的情况下进行受控覆盖。患者本身可能希望对其记录的哪些部分由谁查看进行精细控制，这为访问策略增加了进一步的维度（Caine & Hanania, 2013）。HIPAA安全规则的技术保障措施要求对电子受保护健康信息进行访问控制和相关控制（HHS OCR, 2013）。

Clinical relevance

精心设计的访问控制在保护机密性的同时，仍能让护理团队获取他们所需的信息；设计不当的控制可能导致数据泄露或阻碍临床工作，从而引发不安全的工作规避行为。有证据表明，患者希望对其记录进行细粒度控制，这影响了系统如何在保护和自主性之间取得平衡（Caine & Hanania, 2013）。本条目描述了供参考和教育的概念，并非任何特定系统的配置或安全指南。

Evidence & guidelines

基于角色的访问控制的概念基础在开创性的模型论文中阐述（Sandhu et al., 1996），并在拟议的NIST标准中编纂（Ferraiolo et al., 2001）。HIPAA安全规则的技术保障措施要求对电子受保护健康信息进行访问控制、审计控制、完整性保护、人员或实体身份验证以及传输安全（HHS OCR, 2013）。具体的控制要求取决于组织的风险分析和当前的官方标准。

History

早期计算机系统依赖于简单的自主和强制访问控制模型。基于角色的访问控制在20世纪90年代出现，作为大型组织更易于管理的方法，并在Sandhu及其同事（1996）有影响力的模型中得到正式化，后来被提议作为NIST标准（Ferraiolo et al., 2001）。医疗保健领域随后采纳了这一方法，因为临床角色与基于角色的权限自然对应，并且该方法此后已通过属性和上下文感知机制进行扩展，以处理临床访问的细微差别。

Debates

患者对记录访问的控制应细化到何种程度？

调查证据表明，患者通常希望对谁可以查看其电子记录的特定部分拥有细粒度控制，但实施这种细粒度控制可能会使临床访问和护理协调复杂化，从而在自主性和可用性之间造成设计上的张力。

Seminal works

• sandhu-1996
• ferraiolo-2001

Frequently asked questions

身份验证和授权之间有什么区别？

身份验证验证用户是谁（例如，通过检查密码和第二个因素），而授权决定该经过验证的用户被允许做什么。身份验证在前；授权管理后续的操作。

为什么基于角色的访问控制在健康IT中很常见？

临床工作是围绕明确的角色组织的，因此将权限分配给角色并将角色分配给人员比单独管理每个用户的访问权限更具可扩展性。它还支持最小权限原则，为每个角色仅提供其功能所需的访问权限。