Når læger og sundhedspersonale på Århus Sygehus som led i deres daglige arbejde anvender it-systemer, slipper de for at skulle logge ind og ud af de forskellige it-systemer.
Ved hjælp af single signon skal personalet blot indtaste ét user-id og ét password for at få adgang til alle de nødvendige it-systemer, som understøtter deres daglige arbejde.
Virtualisering flytter programmerne
Hvis arbejdet kræver, at sygehuspersonalet skal bevæge sig rundt mellem de forskellige hospitalsafdelinger, kan de forlade deres kontor-pc og fortsætte skærmarbejdet på en hvilken som helst anden arbejdsstation på hospitalet.
Ved hjælp af virtualisering kan programmerne nemlig flyttes fra en arbejdsstation til en anden, så systemerne så at sige følger den enkelte medarbejder, der bevæger sig rundt på sygehuset.
"Når en læge logger på sin computer om morgenen, startes alle programmer, som kan tænkes at komme i anvendelse i løbet af dagen. Ved hjælp af single signon logges automatisk på epj-system og andre produktionssystemer.
Måske ser lægen på billeder fra røntgensystemet, inden kontoret forlades. Når der trykkes på en bestemt "standby"-knap, sættes de åbne applikationer i venteposition. I undersøgelsesrummet kan lægen så logge på en anden pc med sit Citrix-userid og password.
Den pc vil vise den samme skærm, som lægen havde oppe på sit kontor. Vi kører med virtuelle applikationer, der kan flyttes fra en computer til en anden, så man får adgang til alle applikationerne i den tilstand man sidst har forladt dem i," forklarer it-chef Claus Brinck fra Århus Sygehus.
Det sker ved hjælp af Citrix-teknologi, der understøtter såkaldt smooth roaming mellem arbejdsstationer. Ifølge Claus Brinck tager det mellem 8 og 13 sekunder at flytte åbne applikationer fra en pc til en anden.
Historisk kludetæppe af applikationer
Trods prestigeprojekter som Elektronisk Patient Journal (EPJ), der forsøger at samle patientinformation i ét system, er den it-mæssige hospitalsvirkelighed, at der er masser af applikationer, der ikke hænger sammen.
"Der er masser af fagsystemer, som er blevet udviklet gennem tiden uden en overordnet plan. Eksempelvis kan en blodregistreringsdatabase være blevet udviklet lokalt i en afdeling og den er så over tid vokset til en stor, vigtig applikation," fortæller Claus Brinck.
Der er i alt over 50 applikationer på Århus Sygehus, der ikke rettighedsmæssigt er styret eet sted, hvilket betyder, at der er user-id og password til hver enkelt system.
"Hver medarbejder anvender måske i snit mellem 8 og 12 applikationer. Det er svært at huske alle de forskellige userid og passwords, så der enormt fokus på logon," forklarer Claus Brinck.
Af hensyn til datasikkerhed er det nødvendigt for personalet at logge af maskinerne, når de forlader maskinerne. Det betyder, at der skal logges på og af systemerne mange gange i løbet af en dag.
Hvis man altså ikke lige "låner" en kollegas allerede åbne applikation. Det er dog klart i strid med reglerne.
Det, som man ikke gør
Det er meget vigtigt at kunne identificere hvilken person, der har foretaget hvad i hospitalsverdenen. Derfor lægges der stor vægt på den såkaldte personhenførbarhed. Personhenførbarheden undermineres, hvis personalet låner kollegaernes åbne applikationer.
"Uden single-signon tager det tid at logge ind og ud af systemerne. Derfor kan det være en fristelse at bruge en kollegas allerede åbne applikation," siger Claus Brinck, der mener, at single-signon og virtualisering sikrer personhenførbarheden, da det ikke længere er den store tidsrøver at skulle logge på og af maskinerne for sygehuspersonalet.
Tidsbesparelsen udgør en stor del af business casen for at indføre single-signon.
"Vi har 15 applikationer med et gennemsnit på 90.000 logons om måneden. Et brugerid er 5 karakterer og password er minimum 8 karakterer plus tab og enter; hvilket giver minimum 15 tastetryk.
Hvis det tager fire-fem sekunder at indtaste, så sparer vi mellem 1.500 og 2.000 timer om måneden," siger Claus Brinck.
Fra 3270 til nye systemer
Selve implementeringen af single signon krævede ikke tilretninger af de bagvedliggende systemer.
"Single signon ligger som en skal ovenpå de eksisterende systemer, så det kræver ikke tilpasning af de bagvedliggende systemer. Single signon genkender et skærmbillede og placerer cursoren ved userid-feltet, der automatisk udfyldes og derefter ved password-feltet, der automatisk udfyldes," forklarer Claus Brinck.
Systemet fungerer med det grønne system, som er et gammelt 3270-system til patientadministrationsarbejde samt diverse nye windows-applikationer.
Overvejer adgangstokens
For at gøre hverdagen endnu nemmere, overvejer Claus Brinck, at indføre adgangstokens; eksempelvis kort, der blot køres igennem en kortlæser, så man logger på via den måde.
"Problemet med tokens og andre id-systemer er, at vi allerede har alle mulige adgangssystemer. Vi har dørkort, kort til medicinskabe, it-systemer, identitetskort i hele taget. Det kunne være rart hvis vi kunne samle det hele i ét," siger Claus Brinck.
Samtidig skal løsningen både kunne anvendes på hospitalet og fra hjemmearbejdspladser.
"Vi har en webløsning til hjemmearbejdspladser, så vi vil gerne anvende det samme adgangssystem på hospitalet og fra hjemmearbejdspladserne. For brugerne er det grundlæggende den samme situation, så de skal ikke have to forskellige adgangssystemer," siger Claus Brinck
Active Directory og lønsystem centrale elementer
Århus Sygehus anvender rollebaseret tildeling af rettigheder. Er man læge, får man et sæt af rettigheder, mens en sygeplejerske får et andet sæt af rettigheder.
Rollen kombineres med afdelings-tilhørsforhold, så der er to dimensioner ved rettighedstildeling.
For at automatisere tildelingen af rettigheder, forsøger Claus Brinck at anvende lønsystemet til at føde oplysninger om rolle og afdelingstilhørsforhold.
"Vi forsøger at gøre det mere automatisk via et identitity management-projekt, hvor lønsystemet er centralt. Vi prøver via lønsystemet at fastholde hvilke afdelinger, man er tilknyttet, og hvilken rolle man har," forklarer Claus Brinck.
Lønsystemet er et godt udgangspunkt, da det er her man har oplysninger om ansættelsesforhold.
"Lønsystemet er et godt omdrejningspunkt. Det sørger for, at folk, der ikke længere er ansat, automatisk får lukket deres rettigheder. Vi ved, at en manuel proces med at slette brugere er fejlbehæftet. Slettelister får lavest prioritet i travle perioder," siger Claus Brinck.
Ved at lade lønsystemet føde oplysninger om brugerrettigheder, vil eventuelle fejl hurtigt blive opdaget.
"Den, der grundet en fejl ikke længere får løn, vil meget hurtigt reagere og få rettet fejlen," begrunder Claus Brinck.
Oplysningerne fra lønsystemet anvendes i Active Directory til tildeling af rettigheder.
Det er dog ikke uden komplikationer at anvende data fra lønsystemet til at styre brugerrettigheder.
"Det er svært at få ordentlige data fra lønsystemet, da de ansattes titler er beskrevet som fritekster. I lønsystemet er der mange mærkelige titler. Der findes ikke et nomenklatursystem, der indeholder alle de roller," forklarer Claus Brinck.
Derudover har brugerne af lønsystemet ikke noget incitament for at vedligeholde en ensartet titel-nomenklatur.
"Det er et projekt med en kombination af tekniske og organisatoriske udfordringer. En organisationsstruktur og ensrettede rollebeskrivelser en forudsætning for at det kommer til at virke," vurderer Claus Brinck.
Automatisk passwordskift
Claus Brinck har også et hængeparti i forbindelse med at få Citrix-systemet til automatisk at skifte passwords på de forskellige systemer.
"Der er omkring fem procent af applikationerne, der ikke kan køre under Citrix-systemet, så de kører med enkeltstående logon. Det er ældre systemer og systemer med perifært udstyr, eksempelvis en pc, der skal tale med noget blodmålingsudstyr," siger Claus Brinck.
Der er cirka 150 arbejdspladser, som af den grund står i et domæne for sig selv.
Citrix-systemet kan automatisk skifte passwords, men Citrix-systemet anvender meget lange passwords, der kan være svære at huske, hvis man skal indtaste dem manuelt.
"Vi kan få Citrix-systemet til automatisk at skifte password, hvis der kun er et domæne. Det er problematisk at huske et langt automatisk genereret password, der kan være en vilkårlig blanding af bogstaver og tal ved manuel logon," siger Claus Brinck.
Så indtil videre skal brugerne selv skifte passswords på de applikationer, de bruger.
