L’accesso al SISS da parte del cittadino è consentito agli utenti che vengono identificati ed autenticati tramite il servizio di identificazione (IdPC) gestito centralmente dal Centro di Gestione Integrato (CGI). Il cittadino può accedere a servizi del SISS in diverse modalità:
1. per Servizi puramente informativi: sono offerti come pagine web senza alcuna autorizzazione;
2. per Servizi specializzati per lo specifico cittadino contenenti dati sensibili oppure azioni dispositive: sono accessibili come pagine web filtrate da un meccanismo di autorizzazione basato su:
- username, password e codice usa e getta inviato al cittadino sul suo numero personale di telefonia mobile;
- inserimento delle propria CRS o TS-CNS Lombardia in un lettore di smartcard attaccato alla postazione del cittadino, e digitazione del PIN;
- SPID.
Per ulteriori dettagli, visita il sito www.fascicolosanitario.regione.lombardia.it
L’accesso al SISS da parte degli operatori è consentito solamente agli utenti autorizzati che vengono identificati ed autenticati tramite il servizio di Single Sign On (SSO) gestito centralmente dal CGI.
La sequenza di accesso è la seguente:
1. l’Operatore del SISS accede al servizio di SSO per effettuare i l Logon Primario utilizzando le informazioni reperite dalla propria smart card;
2. il servizio SSO, una volta identificato l’utente, restituisce al PdL:
- la Credenziale di accesso ai servizi SISS;
- il cosiddetto Certificato di sessione, che può essere utilizzato per il logon secondario dell’utente nei confronti del Front end.
3. il PdL inoltra la richiesta di accesso al Front end dell’Aderente che espone l’applicazione;
4. Le funzionalità di porta applicativa (descritte in seguito), automaticamente innescate sul Front end, interagiscono con il servizio di SSO centralizzato per verificare l’autorizzazione del richiedente ad accedere al servizio richiesto (5.);
5. In caso positivo, il Front end propaga la richiesta, corredata della Credenziale, all’applicazione esposta.
La Credenziale è un insieme di informazioni relative all’Operatore (cfr. CRS-ISAU-SIAU#90), tra cui:
- il Ruolo SISS che assume (anche detto “ruolo applicativo”).
- il Contesto funzionale, cioè l’insieme di attributi relativi all’Organizzazione (Azienda, Presidio, ecc) in cui sta operando.
Nel caso in cui l’operatore sia dotato di più credenziali (p.e. perché è abilitato a ricoprire più ruoli), al momento del Logon dovrà scegliere quella con cui desidera operare. La credenziale scelta rimane assegnata all’Operatore per tutta la durata della sessione e può essere cambiata solo effettuando una nuova operazione di Logon al SISS.
Tutte le richieste di servizio sono pertanto autorizzate o rifiutate sulla base dei privilegi dell’utente espressi nella credenziale.
La Credenziale ed il Certificato di sessione vengono eliminati dal PdL al momento dell’estrazione della smart card dal lettore, impedendo così di effettuare ulteriori accessi alle applicazioni esposte; questa operazione blocca immediatamente anche l’utilizzo delle applicazioni web eventualmente in corso.
Si noti che le credenziali di Procedura Automatica sono caratterizzate da un differente ciclo di vita.
Il processo di Autenticazione appena descritto, basato sull’utilizzo della Smart card è di tipo “forte” e conforme alle vigenti normative nazionali in materia di sicurezza.
Come si può vedere, il SISS mette a disposizione la possibilità di autorizzare selettivamente l’accesso ai servizi applicativi esposti, bloccando direttamente sul Front end eventuali accessi non autorizzati. Tale funzionalità è basata sulla Credenziale. Inoltre, poiché la Credenziale è propagata anche al servizio esposto, l’Aderente può utilizzarla per delimitare ulteriormente i criteri di autorizzazione di accesso ai propri servizi, qualora ne abbia necessità.
In caso di accesso in modalità A2A, la Credenziale viene inserita nell’header SOAP della richiesta, mentre in caso di accesso a Web Application, nell’header HTTP.
Accesso operatori tramite postazione SISS “lite”
Classicamente, l’accesso da parte degli operatori alle funzioni del SISS viene effettuato attraverso una postazione in cui è installato uno specifico software, la PdL SISS, con accesso alla Extranet del SISS, e l’ausilio di una smartcard dell’operatore.
Oggi viene offerto anche un SW denominato postazione SISS “lite” che permette l’accesso a un sotto insieme di funzionalità del SISS tramite internet senza l’accesso alla Extranet del SISS. La postazione deve comunque possedere un lettore smartcard, e soddisfare i requisiti elencati nel documento CRS-ISAU-SIAU#05. L’autenticazione, sempre con la smartcard, viene richiesta all’operatore appena tenta di accedere a una delle funzioni disponibili nel contesto Internet.
Il SW può essere installato utilizzando il file pdlit-distribution-1.0.0.0.exe allegato a questa pagina.
Ruoli e responsabilità per l’autorizzazione all’accesso al SISS
Le politiche di autorizzazione all’accesso si basano sulla credenziale dell’Operatore.
L’aderente che intende esporre un servizio, indipendentemente dalla sua modalità (A2A o web application), deve definire e comunicare al CGI quali sono i Ruoli applicativi ed i contesti funzionali abilitati all’accesso alla propria applicazione. E’ responsabilità del CGI autorizzare o impedire l’accesso all’applicazione esposta in base alla credenziale dell’operatore richiedente.
