Logowanie dwuetapowe to mechanizm zwiększający bezpieczeństwo kont użytkowników korzystających z modułu WEB systemu LISPAT. Chroni on dostęp do danych przed nieautoryzowanym użyciem nawet w przypadku przejęcia hasła. Dzięki logowaniu dwuetapowemu, oprócz loginu i hasła, użytkownik musi podać jednorazowy kod przesłany na przypisany i potwierdzony adres e-mail lub numer telefony komórkowego. Rozwiązanie to jest zgodne z dobrymi praktykami bezpieczeństwa i stanowi dodatkową warstwę ochrony wrażliwych informacji medycznych.
Funkcja ta może być skonfigurowana na poziomie całego systemu w jednym z dwóch trybów:
Komunikacja z użytkownikiem w ramach 2FA może odbywać się za pośrednictwem dwóch kanałów:
W zależności od konfiguracji instytucji, adres e-mail oraz numer telefonu komórkowego mogą być:
Podczas pierwszego uruchomienia 2FA dla danego użytkownika, system może:
To oznacza, że model wdrożenia 2FA w LISPAT może być zarówno użytkownikocentryczny, jak i centralnie zarządzany – w zależności od polityki bezpieczeństwa instytucji.
Logowanie dwuetapowe włącza się globalnie w konfiguracji systemu: Administracja > Konfiguracje > Web > Zabezpieczenia > Logowanie dwuetapowe
Administrator może ustawić jeden z trzech trybów działania:
| Tryb | Opis |
|---|---|
| Wyłączone | Logowanie dwuetapowe jest nieaktywne, system nie proponuje jego włączenia a użytkownik nie ma możliwości samodzielnego uruchomienia logowania dla własnego konta. |
| Fakultatywne | Użytkownik może samodzielnie aktywować logowanie dwuetapowe, ale nie jest do tego zmuszany. |
| Obligatoryjne | Wszyscy użytkownicy muszą aktywować logowanie dwuetapowe – system nie dopuści do logowania, dopóki procedura nie zostanie zakończona. |
Ustawiony tryb wpływa na sposób działania systemu oraz komunikaty pokazywane użytkownikowi podczas logowania.
Wybór pomiędzy dwoma systemami przesyłania haseł jednorazowych należy do administratora systemu. Wybrany sposób komunikacji z użytkownikami należy zdefiniować w
Administracja > Konfiguracja > Web > Inne > Kontaktuj się z użytkownikami za pomocą: E-mail / SMS
| Kto | Model użytkownikocentryczny | Model centralnie zarządzany |
|---|---|---|
| Administrator | Tak | Tak |
| Użytkownik | Tak | Nie |
Jeżeli użytkownik powinien mieć możliwość edycji swojego adresu e-mail (model użytkownikocentryczny), należy włączyć opcję w:
Administracja > Konfiguracja > Web > Inne > E-mail > Użytkownik może aktualizować
| Kto | Model użytkownikocentryczny | Model centralnie zarządzany |
|---|---|---|
| Administrator | Tak | Tak |
| Użytkownik | Tak | Nie |
Jeżeli użytkownik powinien mieć możliwość edycji swojego numeru telefonu komórkowego (model użytkownikocentryczny), należy włączyć opcję w:
Administracja > Konfiguracja > Web > Inne > Numer telefonu komórkowego > Użytkownik może aktualizować
W zależności od konfiguracji, proces aktywacji logowania dwuetapowego może wymagać sprawdzenie i (ewentualnie) uzupełnienia adresu e-mail / numeru telefonu użytkownika.
Zachowanie systemu będzie zależało od przyjętego modelu:
| Model użytkownikocentryczny | Model centralnie zarządzany |
|---|---|
| Jeśli konto nie ma przypisanego adresu e-mail, użytkownik zostanie poproszony o jego podanie. | Jeśli konto nie ma przypisanego adresu e-mail, system uniemożliwi użytkownikowi logowanie |
Jeżeli adres e-mail / numer telefonu został wprowadzony do ustawień użytkownika ponad 1h temu, system LISPAT będzie chciał potwierdzić, że użytkownik nadal ma dostęp do tego kanału komunikacji.
Zachowanie systemu będzie jednak zależało od przyjętego modelu:
| Model użytkownikocentryczny | Model centralnie zarządzany |
|---|---|
| System LISPAT wyśle do użytkownika wiadomość służącą potwierdzeniu, że adres e-mail / numer telefonu jest w posiadaniu użytkownika. W wiadomości e-mail znajduje się link aktywacyjny. Użytkownik musi kliknąć ten link w ciągu 15 minut od jego wygenerowania. We wiadomości SMS znajduje się kod aktywacyjny, który użytkownik musi wpisać w polu formularza. | System LISPAT będzie zakładał, że adres e-mail / numer telefonu jest prawidłowy i pominie procedurę potwierdzania. |
Po potwierdzeniu adresu e-mail logowanie dwuetapowe zostaje automatycznie aktywowane. Od tej pory użytkownik przy każdym logowaniu będzie proszony o przepisanie kodu z wiadomości e-mail lub z wiadomości SMS.
Przy każdym logowaniu użytkownika z aktywnym logowaniem dwuetapowym:
Dezaktywacja logowania dwuetapowego jest możliwa na dwóch poziomach: ogólnym i na poziomie użytkownika.
Poziom ogólny
Wyłączenia logowania dwuetapowego może dokonać wyłącznie administrator zakładu patomorfologii w module głównym. Taka interwencja może być konieczna w sytuacjach, gdy:
W przypadku wyłączenia logowania dwuetapowego na poziomie ogólnym, wszyscy użytkownicy, wliczając tych, którzy aktywowali logowanie dwuetapowe będą się logować bez jego udziału.
Ponowne włączenie logowania dwuetapowego, uruchomi je na nowo dla wszystkich użytkowników, którzy je aktywowali.
Poziom użytkownika
Administrator ma możliwość zmiany adresu e-mail / numeru telefonu użytkownika. Taka interwencja może być konieczna w sytuacjach, gdy:
Administrator ma możliwość dezaktywacji logowania dwuetapowego dla pojedynczego użytkownika w oknie edycji użytkownika. Taka interwencja może być konieczna w sytuacjach, gdy:
Uwaga! W sytuacji tego typu zgłoszeń należy postępować bardzo ostrożnie, ponieważ może to być próba wymuszenia złagodzenia zabezpieczeń w celu dokonania włamania.
Wyłączenie logowania dwuetapowego na poziomie użytkownika będzie miało taki efekt że: