Dokumentinformation

Inledning

Detta dokument ska hjälpa till att beskriva vad leveransen av Säkerhetstjänster 2.x består av inklusive en kort beskrivning av de olika funktionerna/tjänsterna som paketet Säkerhetstjänster består av.

Målgrupp

Målgruppen som detta dokument vänder sig till är dels de som vill få en överblick av Säkerhetstjänsterna, dels applikationer/system som avser att ansluta sig till någon av de tjänster som levereras av Säkerhetstjänster.

1.1      Revisionshistorik

Version

Datum

Författare

Kommentar

0.1

Björn Skeppner

Första utgåva

0.2

Björn Skeppner

Justeringar & tillägg

0.3

 

Björn Skeppner

Justerad efter Tomas Fransson synpunkter

0.4

Björn Skeppner

Justeringar efter synpunkter från Logica

1.0

Björn Skeppner

Lagt till adresser till Spärr, Samtycke & Patientrelation

1.1

Björn Skeppner

För bakåtkompabilitet behålls 84XX för IdP’n, därför ny URL för autentiseringen

1.2

Björn Skeppner

Lagt till adresser etc för prodtest

1.3

Björn Skeppner

Fel portangivelse för url: https://prodtest.sakerhetstjanst.inera.se:8445/idp/saml Ska vara port: 8443

1.4

Tomas Fransson

Acceptansmiljöns portar uppdaterade

1.5

Tomas Fransson

Uppdateringar i samband med version 2.3 av lokal Säkerhetstjänst. Referenser till dokument på www.inera.se och Google code uppdaterade.

1.6

Tomas Fransson

Adressering ändrad för att passa TP

1.7
 
Roger Öberg
Dokument migrerat till Confluence samt uppdateringar för adresser till Säkerhetstjänsters nya miljö (på BaseFarm). OBS beskrivningen speglar hur säkerhetstjänsters nationella miljö är uppsatt fr.o.m. .
1.8

Tomas Fransson

GetAccessLogsForPatient tillagd.
1.9

Tomas Fransson

PingForConfiguration borttaget för konsumenter. Den finns kvar för att användas från Tjänsteplattformen.
1.10

Tomas Fransson

Tjänsteplattformen går över till standardportar 443 för sjunet, använder ej 20000. Den senare slutar att fungera 2016-01-01. Påverkar anrop till informationsförsörjande Säkerhetstjänster, dvs konsumenter över sjunet.
1.11

Unknown User (lexhagenm)
Uppdaterat inför Säkerhetstjänster 2.12. Tagit bort inaktuell info om Åtkomstkontrollen och TGP samt referenser till gamla BIF-tjänsten och Projektplatsen.
1.12

Unknown User (lexhagenm)Uppdaterat inför Säkerhetstjänster 2.16. Informerat om borttag av tjänsten Patientrelation samt tagit bort viss information kring denna tjänst.
1.13

 

Unknown User (lexhagenm)

Uppdaterat inför Säkerhetstjänster 2.16. Lagt till info om nya tjänstekontrakt för spärr och logg.
1.14

 

Unknown User (lexhagenm)Uppdaterat inför Säkerhetstjänster 2.16. Editerat referenser.
1.15

 

Okänd användare (peterssond)Uppdaterat info om loggningstjänstens konnektivitet
1.16

 

Unknown User (lexhagenm)

Uppdaterat inför Säkerhetstjänster 2.18.
1.17

 

Niclas HedlundInfo om deprikerade versioner/domäner
1.18

 

Unknown User (lexhagenm)Lagt till adresser för Samtyckestjänstens tjänstekontrakt
1.19

 

Unknown User (lexhagenm)

Hänvisning till nya IdP 1.0 i stycket för Autentiseringstjänsten samt där adresser anges
1.20

 

Unknown User (lexhagenm)

Lagt till spärrtjänstens GetPatientIds som nationellt realiserat.
1.21

 

Unknown User (lexhagenm)

Lagt till information om hur länge ett ogiltigt Samtycke sparas i den nationella hotelltjänsten innan de raderas.
1.22

 

Unknown User (lexhagenm)

Information och hänvisning till nya Spärrtjänsten.
1.23

 

Unknown User (lexhagenm)

Tagit bort gamla domänversioner som inte längre erbjuds i Säkerhetstjänster.
1.24

 

Niclas Hedlund 

Information om lokal installation och hänvisningar till nya Samtyckestjänsten

Inledning

Säkerhetstjänsterna levereras som nationella tjänster och fristående tjänster. De fristående tjänsterna kan installeras lokalt inom ett landsting eller hos en vårdgivare.


Ingående tjänster enligt figur nedan:

Följande tjänster ingår i den ”nationella leveransen”, dvs levereras såsom en tillgänglig IT-tjänst:

  • Autentisering (Nationella IdP’n) - Autentiseringstjänsten har brutits ut till en egen tjänst. Ny sida med information finns här: Autentisering via SITHS eID
  • Samtyckestjänst (”hotelltjänst” för samtyckeshantering) - Samtyckestjänsten har brutits ut till en egen tjänst. Ny sida med information finns här: Samtyckestjänst
  • Patientrelation (”hotelltjänst” för hantering av patientrelation) - Tjänsten patientrelation togs bort som nationell tjänst i release 2.16 (september 2017)
  • Spärrtjänst (dels som ”hotelltjänst”, dels som ”nationell toppnod” för replikerade spärrar. Spärrtjänsten har brutits ut till en egen tjänst under mars 2021.  Dokument för den nya tjänsten hittas nu här: Dokumentation Spärr
  • Loggtjänst (nationell tjänst för att lagra åtkomstloggar och nationell tjänst för loggrapporter)


Efter 1/1 2020 erbjuder inte längre Inera installation eller support av lokal säkerhetstjänst. Se https://www.inera.se/nyheter/nyheter/mojlighet-att-installera-lokala-sakerhetstjanster-for-sparr-samtycke-och-logg-upphor-2023/

Erforderlig dokumentation finns dels på RIV TA-siten (tjänstekontrakt & tjänstekontraktsbeskrivningar) på www.rivta.se samt på www.inera.se

Exempel på referensapplikationer –hur man använder RIV TA- finns på RIV TA-siten. Se ref [R20] & [R21]

Översikt


Tjänst

Funktion

Lokal / Nationell

Operativsystem för lokal installation

Autentisering

Autentiseringstjänsten har brutits ut till en egen tjänst. Ny sida med information finns här: Autentisering via SITHS eID

Autentiseringstjänsten har till uppgift att kontrollera och fastställa en användares identitet vid inloggning i ett IT-system. När en användare loggar in eller loggar ut från ett system sker detta på ett koordinerat sätt. Det innebär att kontroll av identitet endast behöver göras en gång, oavsett hur många system användaren loggar in i.

Hur fungerar Autentiseringstjänsten?

När en användare loggar in eller ansluter till ett IT-system måste användarens identitet kontrolleras och fastställas. Detta är Autentiseringstjänstens uppgift. Tjänsten sammanställer användarens uppgifter och intygar att de är korrekta. Denna information lagras sedan i en så kallad biljett, som används som underlag för styrning av rättigheter i de system och tjänster som biljetten används av.

L + N

Windows, Linux

Spärr

Spärrtjänsten har brutits ut till en egen tjänst under mars 2021.  Dokument för den nya tjänsten hittas nu här: Dokumentation Spärr

Spärrtjänsten registrerar spärrar och kontrollerar om en patient har spärrat tillgång till patientinformation inom och mellan vårdgivare.

Hur fungerar Spärrtjänsten?

För att en patient ska kunna spärra information, måste berörd organisation ha informerat patienten om möjligheten till detta, samt vilka konsekvenser detta kan innebära. Patienten kan därefter begära hos vilken vårdenhet/vårdgivare som informationen ska spärras. Det finns möjligheter för vårdgivaren att låta patienten undanta läkemedel och/eller varningar från att bli spärrade. Om det finns en spärr för en patients uppgifter, så gäller den alltid före eventuella registrerade samtycken.

En spärr fungerar så att patientuppgifter inom en viss vårdenhet (inre spärr) eller inom en vårdgivare (yttre spärr) blir spärrad för hälso- och sjukvårdspersonal som arbetar "utanför" denna vårdenhet eller vårdgivare. Inre spärrar kan tillfälligt hävas, antingen med en patients uttryckliga medgivande eller vid en nödsituation. Den tillfälliga hävningen är tidsbegränsad, och kan återkallas innan tidsbegränsningen gått ut

L + N

Windows, Linux

Samtycke

Samtyckestjänsten har brutits ut till en egen tjänst under september 2021.  Dokument för den nya tjänsten hittas nu här: Dokumentation Samtycke

Samtyckestjänsten registrerar och lagrar information om patientens samtycke till åtkomst av sammanhållen vårddokumentation. Tjänsten kan svara ja eller nej på frågan om en patient har gett sitt samtycke till att information får lämnas ut mellan vårdgivare.

Hur fungerar Samtyckestjänsten?

För att vårdpersonalen ska få åtkomst till patientens information hos andra vårdgivare krävs patientens samtycke. Utan samtycke, ingen åtkomst. Detta samtycke lagras i ett samtyckesintyg som innehåller uppgifter inom vilken tidsperiod samtycket ska gälla, och för vilken vårdpersonal/vårdenhet som detta samtycke ska gälla.

Ett samtycke anger alltid vem/vilka som får ta del av patientens information. Vill patienten göra undantag och exkludera en vårdenhet eller liknande, hanteras detta via säkerhetstjänsten Spärr

L + N

Windows, Linux

Patientrelation

Tjänsten patientrelation togs bort som nationell tjänst i release 2.16 (september 2017)

Patientrelationstjänsten registrerar och lagrar information om relationer mellan hälso-och sjukvårdspersonal och patienter. Tjänsten kan svara ja eller nej på frågan om en ”vårdpersonal-till-patient-relation” existerar. Registrering av patientrelationen utförs manuellt.

Hur fungerar Patientrelationtjänsten?

Syftet med Patientrelationstjänsten är att administrera och intyga att hälso- och sjukvårdspersonal har en relation med patienten. I tjänsten registreras och lagras den relation som finns och tjänsten svarar ja eller nej på frågan om en patientrelation existerar.

En förutsättning för tjänsten ska kunna fungera är att verksamheten har fastställt regler för vad som definierar en patientrelation

L + N

Windows, Linux

Loggtjänst

Loggtjänsten lagrar information om åtkomstrelaterade händelser från olika system på ett strukturerat sätt. Loggtjänsten innehåller även en rapportfunktion som kan användas för uppföljning av åtkomstloggar.

Hur fungerar Loggtjänsten?

Syftet med Loggtjänsten är att lagra uppgifter om vem som har begärt och haft åtkomst till vilken information, samt inom vilket uppdrag åtkomsten skedde. Detta för att man i efterhand ska kunna se om åtkomsten varit berättigad eller inte. Loggtjänsten tar emot åtkomstloggar från vårdsystem som bland annat innehåller uppgifter om användare, vårdenhet, aktuell patient, vilka åtgärder som vidtagits med patientuppgifterna, samt när detta skedde

L + N

Windows, Linux


Tjänstebeskrivning

Autentiseringstjänsten

Informationen har flyttats till Anslutningsguide till IdP då en ny version av Autentiseringstjänsten driftsattes i januari 2019.


Spärrtjänsten

Spärrtjänsten har brutits ut till en egen tjänst under mars 2021. 

Dokument för den nya tjänsten hittas nu här: Dokumentation Spärr


Samtyckestjänsten

Samtyckestjänsten har brutits ut till en egen tjänst under september 2021. 

Dokument för den nya tjänsten hittas nu här: Dokumentation Samtycke


Loggtjänsten

Sammanfattning

Säkerhetstjänsterna Central loggtjänsthantering syftar till att stödja processen att hantera kraven på uppföljning av verksamhetens åtkomst till patientinformation enligt Patientdatalagen och SOSFS 2008:14 §11 & §12. Modellen för detta baserar sig bl.a på PDLiP-arbetet samt utredningar av AL-S (AL-S Loggning i NPÖ) samt ett antal kravmöten med AL-S.
Tjänster med motsvarande funktionalitet är idag i drift som stöd till Nationell Patientöversikt för att där hantera PDLs krav på loggning av åtkomst till vårdinformation.

Leverans

Loggtjänsten (se SAD, ref [R7]) levereras dels som:

  • En nationell lagringstjänst för lagring av åtkomstinformation (åtkomstloggar) [R11]
  • Läsande tjänster för åtkomst av åtkomstinformation [R11]
  • Hämtningstjänst via REST-API för ”bulkhämtning” av en vårdgivares åtkomstloggar för uppföljning i lokalt loggsystem [R17]
  • GUI och loggrapporter för manuell uppföljning av åtkomstloggar [R7]

För adresser till produktion, acceptanstest & utvecklingsmiljöer, se Adresser.

Förutsättningar för att använda Loggtjänsten

Den nationella loggtjänsten anropas dels via Nationella tjänstekontrakt, enligt RIV TA 2.1, och dels via ett speciellt tjänstekontrakt (ej RIV TA) såsom en Hämtningstjänst för överföring av åtkomstloggar till ett lokalt logguppföljningssystem. För mer information kring tjänsterna, se ref [R11 & R17]. Kommunikation för RIV-TA tjänster sker via Nationell Tjänsteplattform, medans tjänster som inte är enligt RIV-TA (utan REST) kräver direktanslutning, dvs ej via Tjänsteplattformen

Kommunikation förutsätter SITHS funktionscertifikat. För information om aktuell SITHS-version, kontakta Säkerhetstjänsternas förvaltning. Anropande system måste ha ett HSA-id.

Loggtjänsten finns från och med version 2.3 även som lokal tjänst.

Adresser/URL

Exempelkod och nedladdningssite

Efter 1/1 2020 erbjuder inte längre Inera installation eller support av lokal säkerhetstjänst. Se https://www.inera.se/nyheter/nyheter/mojlighet-att-installera-lokala-sakerhetstjanster-for-sparr-samtycke-och-logg-upphor-2023/

 

Tjänst

Adress

Kommentar

Nedladdnings-site för
Lokala Säkerhetstjänster

https://public.cgi.com/~sakerhetstjanster/


Inloggningsuppgifter erhålles av CGI

Exempelkod SPExempelkod


Adresser tjänster för nationell Spärr, Samtycke och Logg för olika miljöer. 

Hur adressen till en tjänst ser ut beror på följande saker:

  1. Miljö
  2. Om anropet går via Sjunet eller Internet
  3. Om anropet går via Tjänsteplattformen eller ej
  4. Namnet på själva tjänsten

Miljöerna Utvtest och Acctest har ingen koppling till Tjänsteplattformen.

Loggtjänsterna är f. n inte upplagda på Tjänsteplattformen i någon miljö.

Anropen till Säkerhetstjänsterna från Tjänsteplattformen går alltid via Sjunet.

För att förstå hur kopplingarna fungerar se 4.2.1 och 4.3.1. Användningen av de olika miljöerna styrs av förvaltningen av Säkerhetstjänster.

Miljö för konsumenter på Sjunet


Adress

Acctest (via Tjänsteplattformen eller direkt)

https://qa.esb.ntjp.sjunet.org:443/vp/<tjänst_enligt_nedan> eller

https://ws.acctest.sakerhetstjanst.sjunet.org:443/<tjänst_enligt_nedan>


Produktion (via Tjänsteplattformen eller direkt)

https://esb.ntjp.sjunet.org:443/vp/<tjänst_enligt_nedan> eller

https://ws.sakerhetstjanst.sjunet.org:443/<tjänst_enligt_nedan>



Miljö för konsumenter på Internet


Adress

Acctest(endast via Tjänsteplattformen)

https://qa.esb.ntjp.se:443/vp/<tjänst_enligt_nedan via Tjänsteplattformen>

Produktion (endast via Tjänsteplattformen)

https://esb.ntjp.se:443/vp/<tjänst_enligt_nedan>


Spärr version 4 

Spärrtjänsten har brutits ut till en egen tjänst. För information om nya Spärrtjänsten se Guide till Ineras Spärrlösning

Logg version 2 (konsument anropar via Tjänsteplattformen)

Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.

www.rivta.se/domains/informationsecurity_auditing_log.html

Tjänsteadress
informationsecurity/auditing/log/StoreLog/2/rivtabp21
informationsecurity/auditing/log/GetAccessLogsForPatient/2/rivtabp21
informationsecurity/auditing/log/GetLogs/2/rivtabp21
informationsecurity/auditing/log/GetInfoLogs/2/rivtabp21


Logg version 2 (som den anropas från Tjänsteplattformen eller i förekommande fall, direktanrop)

Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.

www.rivta.se/domains/informationsecurity_auditing_log.html

Tjänsteadress

logService/StoreLog/2/rivtabp21

logReportService/GetAccessLogsForPatient/2/rivtabp21


logService/PingForConfiguration/2/rivtabp21

logReportService/PingForConfiguration/2/rivtabp21

logReportService/GetLogs/2/rivtabp21

logReportService/GetInfoLogs/2/rivtabp21


Samtycke version 2 (konsument anropar via Tjänsteplattformen)

Samtyckestjänsten har brutits ut till en egen tjänst. För information om Samtyckestjänst 3.0 se Guide till Samtyckestjänsten

Acceptanstest, autentisering och administration

IdP-adresserna gäller den gamla IdP:n. Se Guide till Inera IdP för adresser till fristående IdP

Tjänst

Adress

Kommentar

Sjunet

Autentisering

https://idp2.acctest.sakerhetstjanst.sjunet.org/idp/saml/sso/{binding}


WEBadmin

https://acctest.sakerhetstjanst.sjunet.org/spadmin

Administrationsgränssnitt för logg 

Metadata IdP

https://idp2.acctest.sakerhetstjanst.sjunet.org/idp/saml


Metadata SP

https://acctest.sakerhetstjanst.sjunet.org/sp/saml


Internet

Autentisering

https://idp2.acctest.sakerhetstjanst.inera.se/idp/saml/sso/{binding}


WEBadmin

https://acctest.sakerhetstjanst.inera.se/spadmin

 Administrationsgränssnitt för logg

Metadata IdP

https://idp2.acctest.sakerhetstjanst.inera.se/idp/saml


Metadata SP

https://acctest.sakerhetstjanst.inera.se/sp/saml





Produktion, autentisering och administration

IdP-adresserna gäller den gamla IdP:n. Se Guide till Inera IdP för adresser till fristående IdP

Tjänst

Adress

Kommentar

Sjunet

Autentisering

https://idp2.sakerhetstjanst.sjunet.org/idp/saml/sso/{binding}


WEBadmin

https://sakerhetstjanst.sjunet.org/spadmin

 Administrationsgränssnitt för logg

Metadata IdP

https://idp2.sakerhetstjanst.sjunet.org/idp/saml


Metadata SP

https://sakerhetstjanst.sjunet.org/sp/saml


Internet

Autentisering

https://idp2.sakerhetstjanst.inera.se/idp/saml/sso/{binding}


WEBadmin

https://sakerhetstjanst.inera.se/spadmin

 Administrationsgränssnitt för logg

Metadata IdP

https://idp2.sakerhetstjanst.inera.se/idp/saml


Metadata SP

https://sakerhetstjanst.inera.se/sp/saml






IP-Adresser

Produktionsmiljö

DNS-namn

IP-adress

Nät

Notering

sakerhetstjanst.inera.se164.40.177.103InternetAdministration logg
ws.sakerhetstjanst.inera.se164.40.177.106InternetWebservices

sakerhetstjanst.sjunet.org

81.89.154.98

Sjunet

Administration logg

ws.sakerhetstjanst.sjunet.org81.89.154.101SjunetWebservices och REST-tjänster


Acceptanstestmiljö

DNS-namn

IP-adress

Nät

Notering

acctest.sakerhetstjanst.inera.se81.89.154.114InternetAdministration logg
ws.acctest.sakerhetstjanst.inera.se81.89.154.117InternetWebservices

acctest.sakerhetstjanst.sjunet.org

164.40.177.111

Sjunet

Administration logg

ws.acctest.sakerhetstjanst.sjunet.org164.40.177.114SjunetWebservices och REST-tjänster


Cipher suites

Lista över cipher suites som används i Säkerhetstjänster.

Säkerhetstjänster 2.14 - 2.18

Stöds bara i TLS 1.2
1. TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
2. TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
3. TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
4. TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
5. TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
6. TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
7. TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
8. TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
9. TLS_DHE_RSA_WITH_AES_256_CBC_SHA256
10. TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
11. TLS_DHE_RSA_WITH_AES_256_CBC_SHA
12. TLS_DHE_RSA_WITH_AES_128_CBC_SHA
Stöds i TLS 1.0 och senare
13. TLS_RSA_WITH_AES_256_GCM_SHA384
14. TLS_RSA_WITH_AES_128_GCM_SHA256
15. TLS_RSA_WITH_AES_256_CBC_SHA256
16. TLS_RSA_WITH_AES_128_CBC_SHA256
17. TLS_RSA_WITH_AES_256_CBC_SHA
18. TLS_RSA_WITH_AES_128_CBC_SHA


Referenser

Ref

Dokument ID

Dokument

R1

Releasenotes

Release Notes - Lokal Säkerhetstjänst

R2

Användarhandbok Lokala Säkerhetstjänster

Användarhandbok Lokala Säkerhetstjänster

R3

Installation & administration

Installation och administration - Lokala Säkerhetstjänster

R4

SAD Autentiseringstjänsten

SAD - Autentiseringstjänsten - Se även SAD IdP för fristående IdP

R5

SAD Spärrtjänsten

SAD - Spärrtjanst - Se även SAD - Spärr för fristående Spärrtjänst

R6

SAD Samtycke

SAD - Samtyckestjänsten - Se även SAD - Samtyckestjänsten för fristående Samtyckestjänst

R7

SAD Loggtjänsten

SAD - Loggtjänsten

R8

Tjänstekontraktsbeskrivning Spärrtjänsten

Version 4

R9

Tjänstekontraktsbeskrivning Samtyckestjänsten

Version 2

R10

Tjänstekontraktsbeskrivning Patientrelationstjänsten

http:/www.rivta.se

R11

Tjänstekontraktsbeskrivning Loggtjänsten

Version 2

R12

SAMBI SAML specifikation

SAMBI SAML Specifikation

R13

RIV TA 2.1

http:/www.rivta.se

R14

RIV PDLiP

Patientdatalagen i praktiken

R15

HSA-katalogen

Katalogtjänst HSA 

Befintlig koppling till HSA-tjänsten nyttjas i den webbapplikation som finns för administration av stödtjänsterna. Stödtjänsten själv nyttjar inte HSA-tjänsten.

Notera att RIV TA Tjänstekontrakt för HSA ska användas vid nya integrationer mot HSA då HSA-WS är under avveckling, se även [B1], AB-4.

R16

Personuppgifter

Tjänstekontraktsbeskrivning Personuppgiftstjänsten.

Version 3

R17

Hämtningstjänst åtkomstloggar

Hämta loggarkiv

R18

Testrapport - Lokala Säkerhetstjänster

Testrapport (ej öppen)

R19

Acceptanstestprotokoll


R20

RIV TA Referensapplikation -Java

http://www.rivta.se

R21

RIV TA Referensapplikation Microsoft

http://www.rivta.se

R22

OpenSAML

https://wiki.shibboleth.net/confluence/display/OpenSAML/Home

R23

OIOSAML

http://www.ohloh.net/p/oiosaml

FAQ, Exempel

Typiska frågor kring anslutning till IdP’n finns här:

Anslutning Autentiseringstjänst - IdP (eller Ineras hemsida för IdP 1.x)

Typiska frågor kring Säkerhetstjänsterna finns här:

FAQ Nationella Säkerhetstjänster