1. Dokumentinformation

1.1. Inledning

Detta dokument ska hjälpa till att beskriva vad leveransen av Säkerhetstjänster 2.x består av inklusive en kort beskrivning av de olika funktionerna/tjänsterna som paketet Säkerhetstjänster består av.

1.2. Målgrupp

Målgruppen som detta dokument vänder sig till är dels de som vill få en överblick av Säkerhetstjänsterna, dels applikationer/system som avser att ansluta sig till någon av de tjänster som levereras av Säkerhetstjänster.

1.1      Revisionshistorik

2. Inledning

Säkerhetstjänsterna levereras som nationella tjänster och fristående tjänster. De fristående tjänsterna kan installeras lokalt inom ett landsting eller hos en vårdgivare.

Ingående tjänster enligt figur nedan:

Följande tjänster ingår i den ”nationella leveransen”, dvs levereras såsom en tillgänglig IT-tjänst:

• Autentisering (Nationella IdP’n) - Autentiseringstjänsten har brutits ut till en egen tjänst. Ny sida med information finns här: Autentisering via SITHS eID
• Samtyckestjänst (”hotelltjänst” för samtyckeshantering)
• Patientrelation (”hotelltjänst” för hantering av patientrelation) - Tjänsten patientrelation togs bort som nationell tjänst i release 2.16 (september 2017)
• Spärrtjänst (dels som ”hotelltjänst”, dels som ”nationell toppnod” för replikerade spärrar. Spärrtjänsten har brutits ut till en egen tjänst under mars 2021.  Dokument för den nya tjänsten hittas nu här: Dokumentation Spärr
• Loggtjänst (nationell tjänst för att lagra åtkomstloggar och nationell tjänst för loggrapporter)

Samtliga tjänster kan laddas ned från CGIs FTP-site [se Adresser] för lokal installation av landsting. Detta kräver dock ett ”Avtal för användning av Säkerhetstjänster” som tecknas med Inera.

Erforderlig dokumentation finns dels på RIV TA-siten (tjänstekontrakt & tjänstekontraktsbeskrivningar) på www.rivta.se samt på www.inera.se

Exempel på referensapplikationer –hur man använder RIV TA- finns på RIV TA-siten. Se ref [R20] & [R21]

3. Översikt

4. Tjänstebeskrivning

4.1. Autentiseringstjänsten

4.2. Spärrtjänsten

4.3. Samtyckestjänsten

4.3.1. Sammanfattning

Samtyckestjänsten syftar till att stödja processen att hantera relationen patient till vårdpersonal samt samtycke till direktåtkomst inom sammanhållen journalföring enligt Patientdatalagen. Modellen för detta baserar sig på PDLiP-arbetet (Patientdatalagen i Praktiken) som CeHis initierat och som resulterat i RIV-specifikation PDLiP [R14]. Tjänster med motsvarande funktionalitet är idag i drift som stöd till Nationell Patientöversikt för att där hantera PDLs krav på samtycke.

4.3.2. Leverans

Samtyckestjänsten levereras dels som:

• En nationell ”hotelltjänst” som man kan nyttja såsom vårdgivare med sitt vårdsystem om man ej önskar implementera en egen lokal instans
• Lokal Samtycketjänst (nedladdningsbar tjänst, Linux & Windows, för anslutning till lokala vårdsystem)
• Nationella Tjänstekontrakt (se ref [R9] & [R10])

För adresser till produktion, acceptanstest & utvecklingsmiljöer, se Adresser.

Den nationella hotelltjänsten sparar samtycken i tjänsten sju dagar efter det att de blivit ogiltiga. Då det är rekommenderat att logga skapandet av Samtycken till Loggtjänsten görs uppföljningar av historiska samtycken lämpligen i Loggrapporttjänsten.

4.3.3. Förutsättningar för att använda Samtyckestjänsten

När en lokal installation av Samtyckestjänst installeras och man inte vill ha beroenden till Nationella Säkerhetstjänster installeras lokala implementationer av Autentisering, Åtkomstkontroll, Loggning och Loggrapporttjänsten. Alternativt kan man använda sig av Nationella Säkerhetstjänsternas tjänster.

Samtyckestjänsten anropas via Nationella tjänstekontrakt, enligt RIV TA 2.1. Kommunikation sker via Tjänsteplattformen. För mer information kring tjänsterna, se ref [R9 & R10].

OBS! Det åligger även det system som registrerar Samtycke att logga denna händelse då tjänsten i sig ej gör detta.

Kommunikation förutsätter SITHS funktionscertifikat. För information om aktuell SITHS-version, kontakta Säkerhetstjänsternas förvaltning. Anropande system måste ha ett HSA-id.

En lokal implementation av Samtyckestjänsten behöver vara ansluten till HSA-katalog via HSA-TK [R15] samt Personuppgiftstjänsten  [R16]

4.4. Loggtjänsten

4.4.1. Sammanfattning

Säkerhetstjänsterna Central loggtjänsthantering syftar till att stödja processen att hantera kraven på uppföljning av verksamhetens åtkomst till patientinformation enligt Patientdatalagen och SOSFS 2008:14 §11 & §12. Modellen för detta baserar sig bl.a på PDLiP-arbetet samt utredningar av AL-S (AL-S Loggning i NPÖ) samt ett antal kravmöten med AL-S.
Tjänster med motsvarande funktionalitet är idag i drift som stöd till Nationell Patientöversikt för att där hantera PDLs krav på loggning av åtkomst till vårdinformation.

4.4.2. Leverans

Loggtjänsten (se SAD, ref [R7]) levereras dels som:

• En nationell lagringstjänst för lagring av åtkomstinformation (åtkomstloggar) [R11]
• Läsande tjänster för åtkomst av åtkomstinformation [R11]
• Hämtningstjänst via REST-API för ”bulkhämtning” av en vårdgivares åtkomstloggar för uppföljning i lokalt loggsystem [R17]
• GUI och loggrapporter för manuell uppföljning av åtkomstloggar [R7]

För adresser till produktion, acceptanstest & utvecklingsmiljöer, se Adresser.

4.4.3. Förutsättningar för att använda Loggtjänsten

Den nationella loggtjänsten anropas dels via Nationella tjänstekontrakt, enligt RIV TA 2.1, och dels via ett speciellt tjänstekontrakt (ej RIV TA) såsom en Hämtningstjänst för överföring av åtkomstloggar till ett lokalt logguppföljningssystem. För mer information kring tjänsterna, se ref [R11 & R17]. Kommunikation för RIV-TA tjänster sker via Nationell Tjänsteplattform, medans tjänster som inte är enligt RIV-TA (utan REST) kräver direktanslutning, dvs ej via Tjänsteplattformen

Kommunikation förutsätter SITHS funktionscertifikat. För information om aktuell SITHS-version, kontakta Säkerhetstjänsternas förvaltning. Anropande system måste ha ett HSA-id.

Loggtjänsten finns från och med version 2.3 även som lokal tjänst.

5. Adresser/URL

5.1. Exempelkod och nedladdningssite

5.2. Adresser tjänster för nationell Spärr, Samtycke och Logg för olika miljöer. 

Hur adressen till en tjänst ser ut beror på följande saker:

1. Miljö
2. Om anropet går via Sjunet eller Internet
3. Om anropet går via Tjänsteplattformen eller ej
4. Namnet på själva tjänsten

Miljöerna Utvtest och Acctest har ingen koppling till Tjänsteplattformen.

Loggtjänsterna är f. n inte upplagda på Tjänsteplattformen i någon miljö.

Anropen till Säkerhetstjänsterna från Tjänsteplattformen går alltid via Sjunet.

För att förstå hur kopplingarna fungerar se 4.2.1 och 4.3.1. Användningen av de olika miljöerna styrs av förvaltningen av Säkerhetstjänster.

5.2.1. Miljö för konsumenter på Sjunet

5.2.2. Miljö för konsumenter på Internet

5.2.3. Spärr version 4 

Spärrtjänsten har brutits ut till en egen tjänst. För information om nya Spärrtjänsten se Guide till Ineras Spärrlösning

5.2.4. Logg version 2 (konsument anropar via Tjänsteplattformen)

Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.

www.rivta.se/domains/informationsecurity_auditing_log.html

5.2.5. Logg version 2 (som den anropas från Tjänsteplattformen eller i förekommande fall, direktanrop)

Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.

www.rivta.se/domains/informationsecurity_auditing_log.html

5.2.6. Samtycke version 2 (konsument anropar via Tjänsteplattformen)

Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.

www.rivta.se/domains/informationsecurity_authorization_consent.html

5.2.7. Samtycke version 2 (som den anropas från Tjänsteplattformen eller i förekommande fall, direktanrop)

Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.

www.rivta.se/domains/informationsecurity_authorization_consent.html

5.2.8. Exempel på adressering av en tjänst

Exemplet bygger CheckConsent, kontroll av Samtycke i produktionsmiljön.

Hur Tjänsteplattformen anropar tjänsten, Sjunet:

https://ws.sakerhetstjanst.sjunet.org:443/consentService/CheckConsent/1/rivtabp21

Hur en konsument anropar motsvarande tjänst från Internet:

https://esb.ntjp.se:443/vp/CheckConsent/1/rivtabp21

5.3. Acceptanstest, autentisering och administration

IdP-adresserna gäller den gamla IdP:n. Se Guide till Inera IdP för adresser till IdP 1.x

5.4. Produktion, autentisering och administration

IdP-adresserna gäller den gamla IdP:n. Se Guide till Inera IdP för adresser till IdP 1.x

6. IP-Adresser

6.1. Produktionsmiljö

IdP-adresserna gäller den gamla IdP:n. Se Anslutningsguide till IdP för adresser till IdP 1.x

6.2. Acceptanstestmiljö

IdP-adresserna gäller den gamla IdP:n. Se Anslutningsguide till IdP för adresser till IdP 1.x

7. Cipher suites

7.1. Säkerhetstjänster 2.14 - 2.18

Stöds bara i TLS 1.2
1. TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
2. TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
3. TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
4. TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
5. TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
6. TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
7. TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
8. TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
9. TLS_DHE_RSA_WITH_AES_256_CBC_SHA256
10. TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
11. TLS_DHE_RSA_WITH_AES_256_CBC_SHA
12. TLS_DHE_RSA_WITH_AES_128_CBC_SHA
Stöds i TLS 1.0 och senare
13. TLS_RSA_WITH_AES_256_GCM_SHA384
14. TLS_RSA_WITH_AES_128_GCM_SHA256
15. TLS_RSA_WITH_AES_256_CBC_SHA256
16. TLS_RSA_WITH_AES_128_CBC_SHA256
17. TLS_RSA_WITH_AES_256_CBC_SHA
18. TLS_RSA_WITH_AES_128_CBC_SHA

8. Referenser

9. FAQ, Exempel

Typiska frågor kring anslutning till IdP’n finns här:

Anslutning Autentiseringstjänst - IdP (eller Ineras hemsida för IdP 1.x)

Typiska frågor kring Säkerhetstjänsterna finns här:

FAQ Nationella Säkerhetstjänster