Wybór optymalnego rozwiązania podpisu elektronicznego EDM Marcin Pusz CSIOZ, 17.II.2016.

Prezentacja na temat: "Wybór optymalnego rozwiązania podpisu elektronicznego EDM Marcin Pusz CSIOZ, 17.II.2016."— Zapis prezentacji:

1 Wybór optymalnego rozwiązania podpisu elektronicznego EDM Marcin Pusz CSIOZ, 17.II.2016

2 Regulacje prawne Ustawa o podpisie elektronicznym – Jako podpis elektroniczny definiuje dane, które (…) służą identyfikacji osoby składającej ten podpis – Bezpieczny podpis elektroniczny weryfikowany ważnym kwalifikowanym certyfikatem odpowiada podpisowi własnoręcznemu, chyba że przepisy odrębne stanowią inaczej

3 Ustawa o SIOZ Certyfikat do uwierzytelniania danych – poświadczenie elektroniczne, wydawane na wniosek usługodawcy przez CSIOZ/P1, służące do potwierdzania pochodzenia i integralności danych przekazywanych lub udostępnianych przez usługodawcę

4 Ustawa o SIOZ W przepisach dotyczących Centralnego Wykazu Pracowników Medycznych (Art. 17), wprowadzonych zapewne na potrzeby umocowania Karty Specjalisty Medycznego na równi z bezpiecznym podpisem elektronicznym, pracownik medyczny używa do podpisywania m.in. EDM: – bezpiecznego podpisu elektronicznego weryfikowanego (w myśl ustawy o podpisie elektronicznym) – podpisu potwierdzonego profilem zaufanym ePUAP. Usunięto KSM.

5 Rozporządzenie w sprawie (…) dokumentacji medycznej W przypadku EDM indywidualnej podpis w ramach danych będących oznaczeniem osoby udzielającej świadczeń oraz osoby kierującej „może być złożony oraz weryfikowany przy wykorzystaniu wewnętrznych mechanizmów systemu teleinformatycznego…”

6 Cel prac nad podpisem elektronicznym Ujednolicenie przepisów prawa Wybór puli rozwiązań optymalnych pod względem kosztów (finansowych i czasu składania podpisu), wystarczająco wiarygodnych w średniej perspektywie czasu Powyższe ma zmniejszyć niechęć środowiska medycznego do wytwarzania dokumentacji elektronicznej

7 Rozporządzenie eIDAS Wprowadza pojęcie pieczęci elektronicznej, posiadającej cechy: – Pieczątki usługodawcy na dokumencie papierowym – Podpisu certyfikatem do uwierzytelniania danych (z ustawy o SIOZ) – Podpisu certyfikatem systemowym, tj. „wewnętrznym mechanizmem” z rozporządzenia w sprawie dokumentacji medycznej – Przy zastosowaniu odpowiednich warunków, regulowanych przepisami, może zapewnić niezaprzeczalność autorstwa treści dokumentu medycznego

8 Cechy podpisu elektronicznego Zapewnienie integralności treści dokumentu od momentu jego wystawienia – Wymaganie kluczowe, wystarczający jest podpis dowolnym certyfikatem z chronionym kluczem prywatnym – Wystarczy zawsze stosować podpis Zapewnienie wiarygodności treści dokumentu – Wymaganie istotne gdy konieczne jest wskazanie osoby odpowiedzialnej za treść i wykorzystanie treści w istotnych celach – Technicznie nie jest konieczne stosowanie osobistego podpisu kwalifikowanego wystawcy dokumentu Zapewnienie niezaprzeczalności autorstwa treści dokumentu – Doprecyzowanie wiarygodności treści – Technicznie, w pewnych okolicznościach, możliwe jest udowodnienie autorstwa również bez zastosowania osobistego podpisu autora

9 Podstawowe problemy Jak zapewnić, by dane autora, podobnie jak treść medyczna dokumentu, były wiarygodne? Czy zastosowanie podpisu kwalifikowanego zapewnia spełnienie powyższych potrzeb? Czy możliwe jest wykorzystanie prostszego rozwiązania o podobnej wiarygodności? Kto jest odpowiedzialny za treść dokumentu? Czy usługodawca i producent oprogramowania unikają odpowiedzialności za własne błędy?

10 Wiarygodność treści dokumentu Wiarygodność treści dokumentu zapewnia SYSTEM INFORMATYCZNY Uwierzytelnienie i autoryzacja wystawcy dokumentu Poprawność przetwarzania danych medycznych Poprawność generowania i wizualizacji treści dokumentu

11 Cytat z konsultacji z lekarzem „Jeżeli zaloguję się do systemu medycznego, spełniającego odpowiednie wymagania jakościowe, i wystawię w tym systemie dokument medyczny, mechanizmy tego systemu powinny być wystarczające do udowodnienia mi wykonania tej czynności”

12 Rozporządzenie w sprawie (…) dokumentacji medycznej Dokumentacja indywidualna (pierwotnie tylko papierowa) zawiera m.in. dane osoby ją wytwarzającej: – Nazwisko i imię – Tytuł zawodowy – Uzyskane specjalizacje – Numer prawa wykonywania zawodu (gdy posiada) – Podpis

13 Wizualizacja dokumentu elektronicznego

14 Wydruk dokumentu elektronicznego

15 Rozporządzenie w sprawie (…) dokumentacji medycznej Par. 80 Wymagania na system prowadzący EDM, m.in..: – Zabezpieczenie dokumentacji przed uszkodzeniem lub utratą – Integralność treści dokumentacji i metadanych polegającą na zabezpieczeniu przed wprowadzeniem zmian, z wyjątkiem zmian wprowadzanych w ramach ustalonych i udokumentowanych procedur – Stały dostęp do dokumentacji osób uprawnionych oraz zabezpieczenie przed dostępem osób nieuprawnionych – Identyfikację osoby dokonującej wpisu oraz osoby udzielającej świadczeń zdrowotnych i dokumentowanie dokonywanych przez te osoby zmian w dokumentacji i metadanych – Przyporządkowanie cech informacyjnych dla odpowiednich rodzajów dokumentacji (kompletność treści).

16 Propozycja jednej z alternatyw jako rozwiązania problemu Zastosowanie pieczęci elektronicznej usługodawcy, docelowo weryfikowanej certyfikatem kwalifikowanym, na każdym potencjalnie udostępnianym dokumencie elektronicznym Zapewnienie wiarygodności danych autora w dokumencie poprzez uzyskanie deklaracji usługodawcy o stosowaniu wymagań prawnych w kontekście systemów informatycznych Zapewnienie potencjalnej niezaprzeczalności autorstwa, w skrajnych przypadkach poprzez powoływanie biegłego analizującego m.in. logi i dane systemu usługodawcy, podobnie jak teraz powołuje się pismoznawcy W ostateczności certyfikacja systemów medycznych jeżeli deklaracja nie będzie wystarczająca

17 Korzyści z rozwiązania Zupełny brak wpływu na wydajność pracy lekarza, podpis wykonywany jest w tle, wystarczy wyświetlenie dokumentu autorowi przed jego decyzją o zapisaniu go w systemie Łatwe stosowanie pieczęci niezależnie od wielkości usługodawcy i sposobu dostarczania systemu Poprawny podział odpowiedzialności za treść dokumentu między autora, usługodawcę i twórcę systemu

18 Alternatywa – centralna usługa podpisująca EDM 1a. Wyliczenie przez aplikacje gabinetową jedynie skrótu z dokumentu/ów (recepta, dokumentacja medyczna, inne) 1b. Wysłanie za pomocą webservices skrótu do podpisania do systemu centralnego 2a. Wysłanie przez system centralny kodu SAN (Security Authentication Number) za pomocą SMS/Maila/telefonicznie 2b. Wprowadzenie przez Lekarza w aplikacji gabinetowej kodu SAN (jednorazowego lub jednodniowego) 2c. Wysłanie kodu przez aplikację gabinetową do systemu centralnego 3a. Jeżeli kod jest OK realizacja podpisu w systemie centralnym 3b. Odesłanie do aplikacji gabinetowej za pomocą webservices pliku z podpisem dokumentu

19 Dziękuję za uwagę Pentacomp Systemy Informatyczne S.A. Aleje Jerozolimskie 179, 02-222 Warszawa tel. 22 639 32 32 www.pentacomp.pl