Self Service Password Reset Implementierung Ldap lam

[Rumpelchen]

Hallo an alle da draußen,

ich habe hier für meine Projektbeschreibung folgenden Text geschrieben:

Projektbeschreibung

Die *KLINIK AG* ist ein Klinikbetreiber, für Reha Kliniken und Krankhäuser in ganz *KLINIKLANDEN*, mit Hauptsitz in *HAUPTSTADT*. Die *KLINIK-IT* GmbH ist das IT-Systemhaus der *KLINIK AG* und entwickelt Strategien, als auch IT-Konzepte für die einzelnen Kliniken und setzt diese technisch um. Neue Mitarbeiter der Kliniken bekommen bei Beginn ihrer Tätigkeit ein eigenes Benutzerkonto für die Anmeldung der Workstations in deren Klinik. Damit die Klinikmitarbeiter eine optimale Versorgung der Patienten gewährleisten können, müssen diese jederzeit Zugriff auf die Daten der Patienten haben. Der Geschäftsführung soll eine Lösung geboten werden, mit der den Klinikmitarbeitern die Möglichkeit geboten wird, ohne technischen Support mithilfe eines Self-Service Password Reset Dienstes, eigenständig deren Zugangsdaten zurücksetzen zu können.

 

SOLL-Analyse

Wenn ein Mitarbeiter seine Anmeldedaten verliert, muss sich dieser bei der Hotline melden, ein Ticket erstellen lassen und warten bis das Ticket bearbeitet wurde (z.B. um das Passwort zurückzusetzen). Sind aber Administratoren, aufgrund von Feiertagen, Wochenenden, oder späteren Uhrzeiten nicht erreichbar, muss der Klinikmitarbeiter über andere Wege (z.B. Kollegen) die Unterlagen ausdrucken, Handschriftlich bearbeiten und bei erhalt neuer Zugangsdaten diese wieder elektronisch übertragen. Dieser Vorgang ist sehr Zeitaufwendig und erhöht den Arbeitsaufwand.

 

IST-Konzept

Bei Anmeldung am Betriebssystem soll dem Benutzer die Möglichkeit geboten werden, sich eine E-Mail zukommen zu lassen, die einen Link für das zurücksetzen des eigenen Passwortes Bietet. Diese Funktion wird mithilfe von Sicherheitsfragen, deren Antworten durch den Benutzer bei der Einrichtung des Benutzerkontos gespeichert werden gesichert. Dadurch ist der Klinikmitarbeiter jederzeit in der Lage, sich auf sicherem Weg Zugriff auf das eigene Benutzerkonto zu gewähren.

 

Die mit Sternchen versehenen Stellen werden natürlich durch die echten Daten versehen. 

 

Was meint ihr? so ok? Wo ist verbesserungsbedarf, etc?

MFG

[allesweg]

Moment, Passwortreset für EINE Anwendung? Das hat die Anwendung nicht eingebaut?

SSO anyone?

Wer entsperrt das Windows-Passwort, wenn nur der Anwendungs-SSPR erreichbar wäre?

[Rumpelchen]

Nicht ganz, das ist ein SSPR für die Anmeldung am Betriebssystem. Steht da auch

[allesweg]

Wie kann ich ohne Kenntnis des BS-Passworts und somit erfolgtem Login eine E-Mail lesen? 🤔

[charmanta]

wofür soll das sein ? FIAE ?

[Rumpelchen]

ok, ich glaube ich muss noch ergänzend erwähnen, dass das die E-Mail mit dem Link zur Passwort Zurücksetzung an eine Private mail geschickt wird, mit der ein Benutzer sich dann via Handy authentifizieren kann und das Passwort festlegt.

@charmanta Fachinformatiker Systemintegration, ich entwickle dieses Programm nicht, sondern es ist schon vorhanden (Lam - ldap). Dafür wird ein Linux Server benötigt, der eine Kommunikation mit dem Domain Controller aufbaut und darüber zugriff auf die Benutzer Daten bekommt. 

[Visar]

vor 1 Minute schrieb Rumpelchen:

dass das die E-Mail mit dem Link zur Passwort Zurücksetzung an eine Private mail geschickt wird

Das heißt, wenn das Postfach des Nutzers kompromittiert wurde, besteht grundsätzlich die Möglichkeit, dass Dritte Zugriff auf Patientendaten erlangen könnten?

[charmanta]

vor 7 Minuten schrieb Rumpelchen:

ich entwickle dieses Programm nicht, sondern es ist schon vorhanden (Lam - ldap). Dafür wird ein Linux Server benötigt, der eine Kommunikation mit dem Domain Controller aufbaut und darüber zugriff auf die Benutzer Daten bekommt. 

Hrmblbhrml .... das ist nicht wirklich ein komplexes Problem im Sinne der PO.

Wird schwierig dass durchzubekommen beim PA. Ich würds ablehnen

vor 8 Minuten schrieb Rumpelchen:

dass das die E-Mail mit dem Link zur Passwort Zurücksetzung an eine Private mail geschickt wird, mit der ein Benutzer sich dann via Handy authentifizieren kann

Boah Geil. Ich MUSS also als Angestellter meine private Email-Adresse für diesen Zweck meinem Arbeitgeber mitteilen ?

Gruss an den Kollegen Datenschutzbeauftragten in Deinem Hause ... die Rechtsgrundlage hätte ich gerne mal gesehen

Mit anderen Worten: Das Verfahren ist auch datenschutzrechtlich nicht ohne

[Rumpelchen]

vor 2 Stunden schrieb Visar:

Das heißt, wenn das Postfach des Nutzers kompromittiert wurde, besteht grundsätzlich die Möglichkeit, dass Dritte Zugriff auf Patientendaten erlangen könnten?

in wie fern kommt jemand an Daten von Patienten, wenn sich der Mitarbeiter über sein Handy auf die Webseite schaltet, auf der eine 2-Fach Authentifizierung eingerichtet ist und sich danach auf seine private E-Mail einen Link zuschickt, um sich das Passwort zurückzusetzen? und ich habe mich bei dem kommentar verschrieben. Man bekommt keine Zugangsadaten, sondern ändert das passwort von einem selbst.

Solange wie man sich selbst nicht Authentifizieren kann, bsplw. über die Sicherheitsfragen, oder eine Software (z.b. windows authenticator, etc..)

Und das ist eine freiwillige Funktion, man wird nicht gezwungen, aber das ist ein guter Punkt, das und die 2-Fach Authentifizierung sollte ich noch etwas genauer hervorheben.

Bearbeitet 6. Januar 2021 von Rumpelchen

[Visar]

vor 1 Stunde schrieb Rumpelchen:

in wie fern kommt jemand an Daten von Patienten, wenn sich der Mitarbeiter über sein Handy auf die Webseite schaltet, auf der eine 2-Fach Authentifizierung eingerichtet ist und sich danach auf seine private E-Mail einen Link zuschickt, um sich das Passwort zurückzusetzen?

Inwiefern kann ich bzw. können wir wirklich etwas zu deiner Projektidee sagen, wenn du derart essentielle Infos wegslässt. 🤔 Vielleicht nochmal neu formulieren, vollständig... sonst ist das hier vergebliche Liebesmüh'.

Bearbeitet 6. Januar 2021 von Visar
Add missing word "wir"

[Rumpelchen]

Stimmt da hast du natürlich recht. Das werde ich mir dann vornehmen. Ich bedanke mich auf jedenfall noch mal HERZLICH bei allen für die Mühe. Ich werde das nochmal bearbeiten und vielleicht ist es dann ja besser. 

[Maniska]

vor 8 Stunden schrieb Rumpelchen:

Und das ist eine freiwillige Funktion, man wird nicht gezwungen

So was wird schnell "freiwillig"...

Das Problem ist also, dass med.Personal relativ häufig seine Zugangsdaten "vergisst" und dieses Vergessen gefährdet Patienten?

Dann soll dieser MA in aller Ruhe sein Passwort selbst zurücksetzen können, natürlich freiwillig. Sollte er nicht freiwillig daran teilnehmen oder das Prozedere nicht hinbekommen...

Moment, ein Klinikverbund ohne 24/7 (Ruf-) Bereitschaft in der IT? Kann und will ich mir nicht vorstellen. Was, wenn nicht nur der Pfleger sein Kennwort vergessen hat sondern ein Server ausfällt, das RZ gehackt wird...

Warum nicht einfach ein Token/eine Smartcard? Irgendwas das man sowieso immer dabei hat und am Körper trägt? RFID Chip im Mitarbeiterausweis oder so was? Entsperren mit dem MA-Ausweiß, ggf. automatische Bildschirmsperre/Abmeldung nach Entfernen des Ausweises oder $Minimalwert für Timeout falls der MA wegrennt wegen Notfall und entgegen der klaren Anweisung vergisst den Bildschirm zu sperren.