Identification and authentication of entities and electronic documents in the health sector

Wprowadzenie: Podmioty w ochronie zdrowia coraz częściej zapisują dane pacjenta w formie elektronicznej tworząc elektroniczną dokumentację medyczną, w celu jej udostępnienia wymagane jest wiarygodne potwierdzenie tożsamości. W Polsce System Informacji Ochrony Zdrowia ulega ciągłym modyfikacją. Cel: Celem głównym pracy jest przeanalizowanie, pod kątem praktycznego zastosowania, dostępnych regulacji prawnych międzynarodowych oraz krajowych dotyczących identyfikacji i uwierzytelniania podmiotów a także dokumentów elektronicznych w ochronie zdrowia. Materiał i metody: Analizą objęto akty prawne międzynarodowe i krajowe, dotyczące obszaru identyfikacji oraz uwierzytelniania. Dane zbierano od grudnia 2017 do czerwca 2018 roku. Wykorzystano również opracowania naukowe z zasobów bibliotecznych oraz elektronicznych baz danych. Metoda miała formę jakościowej analizy dostępnych materiałów - użyto analizy danych zastanych (ang. desk research). Rozważania ograniczono do pięciu elementów: identyfikacji elektronicznej, procesu uwierzytelniania, usług zaufania, bezpieczeństwa oraz barier. Wyniki: Podstawę analizy stanowiły 4 akty prawne międzynarodowe oraz 12 regulacji polskich. Węzeł Identyfikacji Elektronicznej stanowi centralny element modelu identyfikacji. Według rozporządzenia eIDAS wyróżnia się trzy poziomy bezpieczeństwa środka identyfikacji elektronicznej. W procesie uwierzytelnia występują zabezpieczenia określone na podstawie posiadania, wiedzy lub cech przyrodzonych. Regulacje usług zaufania dotyczą przede wszystkim funkcjonowania podpisu i pieczęci elektronicznej. Podpis potwierdzony profilem zaufanym ePUAP, daje możliwość realizacji szerokiego zakresu krajowych usług administracyjnych. W obszarze bezpieczeństwa istotną rolę odgrywa rozporządzenie eIDAS, RODO oraz dyrektywa NIS. Bariery dotyczą zaplecza technologicznego, narzędzi identyfikacji i podpisu elektronicznego. Dyskusja: W Polsce system elektronicznej identyfikacji opiera się o model federacyjny. Inne kraje posiadają duże doświadczenie w obszarze identyfikacji i uwierzytelniania. W Polsce istnieją plany nad stworzeniem dowodu osobistego z warstwą elektroniczną, który posłużyłby do uwierzytelniania w usługach cyfrowych. Można rozważać różne innowacyjne metody identyfikacji i uwierzytelnia takie jak podpis w serwerowy, podpis w “w locie”, podpis w chmurze, mechanizmy biometryczne oraz technologię łańcuchów blokowych. Podsumowanie i wnioski: Ze względu na nieuniknioną informatyzację sektora ochrony zdrowia wprowadzenie pewnych rozwiązania bezpieczeństwa jest obowiązkowe. Regulacje prawne w obszarze identyfikacji i uwierzytelniania, mają za zadanie zapewnienie bezpieczeństwa użytkownika (pacjenta) podczas korzystania z usług cyfrowych. Dodatkowo standardy tworzone są, aby zwiększyć zaufanie użytkowników do nowych technologii. Potencjał usług zaufania nie jest jeszcze w pełni wykorzystany w polskiej ochronie zdrowia, ale w najbliższych latach może się to zmienić. Cześć regulacji krajowych nadal jest fazie projektów i ich ostateczna wersja może ulec zmianie, co wpłynie na model elektronicznej identyfikacji w ochronie zdrowia. W Polsce w obszarze narzędzi identyfikacji i uwierzytelniania wciąż nie ma jasno opracowanego jednolitego sytemu funkcjonalnego i natrafia się na różne bariery.Introduction: Healthcare providers are increasingly recording patient data in electronic form creating electronic medical records, to make it available, a reliable identity confirmation is required. In Poland, the Health Protection Information System is constantly changing. Aim of the study: The study’s aim is to analyze, in terms of practical application, available international and national legal regulations regarding the identification and authentication of entities as well as electronic documents in health care. Material and methods: The analysis covered international and national legal acts regarding the area of identification and authentication. Data was collected from December 2017 to June 2018. Scientific papers from library resources and electronic databases were also used. The method was in the form of a qualitative analysis of available materials - an analysis of the existing data was used (desk research). The considerations were limited to five elements: electronic identification, authentication process, trust services, security and barriers. Results: The analysis was based on 4 international legal acts and 12 Polish regulations. The Electronic Identification Node is the central element of the identification model. According to the eIDAS regulation, there are three levels of security of the electronic identification means. In the authentication process, there are safeguards based on possession, knowledge or inherent features. The regulation of trust services mainly concerns the functioning of electronic signatures and seals. The signature confirmed by the trusted ePUAP profile gives the opportunity to implement a wide range of national administrative services. In the area of security, the regulation of eIDAS, GDPR and the NIS directive play an important role. Barriers are related to the technological base, identification tools and electronic signature. Discussion: In Poland, the electronic identification system is based on the federation model. Other countries have extensive experience in identification and authentication. In Poland, there are plans to create a personal ID with an electronic layer that would serve to authenticate in digital services. Various innovative identification methods can be considered and authenticated such as server signature, signature on the fly, cloud signature, biometric mechanisms and blockchain technology. Summary and conclusions: Due to the inevitable computerization of the health care sector, the introduction of certain security solutions is mandatory. Legal regulations in identification and authentication, are designed to ensure the safety of the user (patient) when using digital services. In addition, standards are created to increase users' confidence in innovative technologies. The potential of trust services is not yet fully used in Polish healthcare, but this may change in the coming years. Some national regulations are still in the project phase and their final version may change, which will affect the electronic identification model in health care. In Poland, in the field of identification and authentication tools, there is still no clearly developed uniform functional system and there are various barriers