Logowanie dwuetapowe

Inne nazwy: 2FA lub MFA.

Logowanie dwuetapowe to mechanizm zwiększający bezpieczeństwo kont użytkowników korzystających z modułu WEB systemu LISPAT. Chroni on dostęp do danych przed nieautoryzowanym użyciem nawet w przypadku przejęcia hasła. Dzięki logowaniu dwuetapowemu, oprócz loginu i hasła, użytkownik musi podać jednorazowy kod przesłany na przypisany i potwierdzony adres e-mail lub numer telefony komórkowego. Rozwiązanie to jest zgodne z dobrymi praktykami bezpieczeństwa i stanowi dodatkową warstwę ochrony wrażliwych informacji medycznych.

Funkcja ta może być skonfigurowana na poziomie całego systemu w jednym z dwóch trybów:

• fakultatywnym – użytkownik może samodzielnie włączyć 2FA dla swojego konta,
• obowiązkowym – 2FA jest wymagane dla każdego użytkownika i aktywowane automatycznie.

Komunikacja z użytkownikiem w ramach 2FA może odbywać się za pośrednictwem dwóch kanałów:

• e-mail – kod jednorazowy przesyłany na przypisany adres e-mail,
• SMS – kod jednorazowy przesyłany na przypisany numer telefonu komórkowego.

W zależności od konfiguracji instytucji, adres e-mail oraz numer telefonu komórkowego mogą być:

• edytowalne przez użytkownika, lub
• zarządzane centralnie – tylko administrator (pracownik zakładu patomorfologii) ma prawo do ich zmiany.

Podczas pierwszego uruchomienia 2FA dla danego użytkownika, system może:

• wymagać potwierdzenia poprawności kanału komunikacyjnego (kliknięcie w link w wiadomości e-mail lub SMS),
• pominąć potwierdzenie – zakładając, że dane kontaktowe są poprawne i zatwierdzone przez administratora.

To oznacza, że model wdrożenia 2FA w LISPAT może być zarówno użytkownikocentryczny, jak i centralnie zarządzany – w zależności od polityki bezpieczeństwa instytucji.

Logowanie dwuetapowe włącza się globalnie w konfiguracji systemu: Administracja > Konfiguracje > Web > Zabezpieczenia > Logowanie dwuetapowe

Administrator może ustawić jeden z trzech trybów działania:

Ustawiony tryb wpływa na sposób działania systemu oraz komunikaty pokazywane użytkownikowi podczas logowania.

Wybór pomiędzy dwoma systemami przesyłania haseł jednorazowych należy do administratora systemu. Wybrany sposób komunikacji z użytkownikami należy zdefiniować w

Administracja > Konfiguracja > Web > Inne > Kontaktuj się z użytkownikami za pomocą: E-mail / SMS

Jeżeli użytkownik powinien mieć możliwość edycji swojego adresu e-mail (model użytkownikocentryczny), należy włączyć opcję w:

Administracja > Konfiguracja > Web > Inne > E-mail > Użytkownik może aktualizować

Jeżeli użytkownik powinien mieć możliwość edycji swojego numeru telefonu komórkowego (model użytkownikocentryczny), należy włączyć opcję w:

Administracja > Konfiguracja > Web > Inne > Numer telefonu komórkowego > Użytkownik może aktualizować

W zależności od konfiguracji, proces aktywacji logowania dwuetapowego może wymagać sprawdzenie i (ewentualnie) uzupełnienia adresu e-mail / numeru telefonu użytkownika.

Zachowanie systemu będzie zależało od przyjętego modelu:

Jeżeli adres e-mail / numer telefonu został wprowadzony do ustawień użytkownika ponad 1h temu, system LISPAT będzie chciał potwierdzić, że użytkownik nadal ma dostęp do tego kanału komunikacji.

Zachowanie systemu będzie jednak zależało od przyjętego modelu:

Po potwierdzeniu adresu e-mail logowanie dwuetapowe zostaje automatycznie aktywowane. Od tej pory użytkownik przy każdym logowaniu będzie proszony o przepisanie kodu z wiadomości e-mail lub z wiadomości SMS.

Przy każdym logowaniu użytkownika z aktywnym logowaniem dwuetapowym:

1. System generuje jednorazowy kod weryfikacyjny.
2. Kod zostaje wysłany na potwierdzony adres e-mail użytkownika.
3. Użytkownik ma ograniczony czas (np. 5 minut) na przepisanie kodu i zakończenie logowania.
4. Jeśli wiadomość nie dotarła, użytkownik może po 60 sekundach kliknąć przycisk „Wyślij kod ponownie”, aby otrzymać nowy kod.

Dezaktywacja logowania dwuetapowego jest możliwa na dwóch poziomach: ogólnym i na poziomie użytkownika.

Poziom ogólny

Wyłączenia logowania dwuetapowego może dokonać wyłącznie administrator zakładu patomorfologii w module głównym. Taka interwencja może być konieczna w sytuacjach, gdy:

• nastąpiłaby awaria systemu wysyłki powiadomień e-mail (serwer SMTP) / bramki SMS

W przypadku wyłączenia logowania dwuetapowego na poziomie ogólnym, wszyscy użytkownicy, wliczając tych, którzy aktywowali logowanie dwuetapowe będą się logować bez jego udziału.

Ponowne włączenie logowania dwuetapowego, uruchomi je na nowo dla wszystkich użytkowników, którzy je aktywowali.

Poziom użytkownika

Administrator ma możliwość zmiany adresu e-mail / numeru telefonu użytkownika. Taka interwencja może być konieczna w sytuacjach, gdy:

• użytkownik utraci dostęp do adresu e-mail / telefonu komórkowego,
• adres e-mail / numer telefonu został błędnie przypisany.

Administrator ma możliwość dezaktywacji logowania dwuetapowego dla pojedynczego użytkownika w oknie edycji użytkownika. Taka interwencja może być konieczna w sytuacjach, gdy:

• pojawiły się inne problemy uniemożliwiające logowanie.

Uwaga! W sytuacji tego typu zgłoszeń należy postępować bardzo ostrożnie, ponieważ może to być próba wymuszenia złagodzenia zabezpieczeń w celu dokonania włamania.

Wyłączenie logowania dwuetapowego na poziomie użytkownika będzie miało taki efekt że:

• W przypadku, gdy logowanie dwuetapowe jest fakultatywne, użytkownik będzie mógł zalogować się bez dodatkowych kodów a następnie będzie mógł samodzielnie włączyć logowanie dwuetapowe - logowanie dwuetapowe nie zostanie ponownie załączone automatycznie.
• W przypadku, gdy logowanie dwuetapowe jest obowiązkowe, użytkownik będzie musiał przejść przez procedurę jego aktywacji zanim będzie mógł wykonać jakąkolwiek inną aktywność.

W systemie LISPAT istnieją dwa rekomendowane sposoby wdrożenia mechanizmu logowania dwuetapowego (2FA). Wybór metody zależy od stopnia przygotowania danych kontaktowych użytkowników oraz od relacji organizacyjnych z kontrahentami (ZOZ).

Metoda polega na czasowym włączeniu 2FA w trybie fakultatywnym, przy jednoczesnym zbieraniu danych kontaktowych użytkowników (numer telefonu lub adres e-mail), a następnie – po okresie przejściowym – przełączeniu mechanizmu w tryb obowiązkowy.

Etapy wdrożenia

1. Włączenie zbierania danych kontaktowych użytkowników. Mechanizm zachęcający użytkowników do podania numeru telefonu lub adresu e-mail należy włączyć w:

   Administracja > Konfiguracja > Web > Inne

2. Włączenie logowania dwuetapowego w trybie fakultatywnym. Użytkownicy mogą logować się standardowo, ale system umożliwia (i promuje) aktywację 2FA:

   Administracja > Konfiguracja > Web > Zabezpieczenia

3. Okres przejściowy. W tym czasie użytkownicy:
   1. uzupełniają dane kontaktowe,
   2. zapoznają się z mechanizmem 2FA,
   3. mogą samodzielnie aktywować dodatkowe zabezpieczenie.
4. Włączenie 2FA jako obowiązkowego. Po osiągnięciu satysfakcjonującego poziomu kompletności danych kontaktowych, 2FA zostaje włączone jako wymagane dla wszystkich użytkowników:

   Administracja > Konfiguracja > Web > Zabezpieczenia

Zalety metody:

1. minimalizacja ryzyka problemów z logowaniem,
2. mniejsze obciążenie administracyjne,
3. płynne przyzwyczajenie użytkowników do nowego mechanizmu.

Metoda polega na wcześniejszym uzupełnieniu danych kontaktowych użytkowników, a następnie natychmiastowym uruchomieniu 2FA jako obowiązkowego.

Procedura wdrożenia

1. Wygenerowanie listy aktywnych użytkowników. Należy przygotować zestawienie użytkowników aktywnych w określonym okresie (np. ostatnie 12 miesięcy), z podziałem na ZOZ-y:

   Raporty > Inne > Lekarze zlecający – numery kontaktowe / adresy e-mail

2. Weryfikacja danych przez kontrahentów (ZOZ). Wygenerowane listy należy przekazać do ZOZ-ów z:
   1. uzasadnieniem wdrożenia 2FA,
   2. prośbą o:
      1. wykreślenie nieaktywnych użytkowników,
      2. uzupełnienie numerów telefonów lub adresów e-mail dla użytkowników aktywnych.
3. Uzupełnienie danych w systemie LISPAT. Po otrzymaniu zwrotnie poprawionych list, dane kontaktowe należy wprowadzić do systemu:

   Administracja > Zarządzaj użytkownikami

4. Włączenie 2FA jako obowiązkowego. Po zakończeniu uzupełniania danych mechanizm 2FA uruchamiany jest w trybie wymaganym:

   Administracja > Konfiguracja > Web > Zabezpieczenia

Zalety metody:

1. szybkie osiągnięcie pełnego poziomu bezpieczeństwa,
2. pełna kontrola administracyjna nad procesem.

Wady metody:

1. większe obciążenie organizacyjne,
2. zależność od terminowej reakcji ZOZ-ów,
3. wyższe ryzyko braków danych przy wdrożeniu.