Zum Inhalt springen

Self Service Password Reset Implementierung Ldap lam


Rumpelchen

Empfohlene Beiträge

Hallo an alle da draußen,

ich habe hier für meine Projektbeschreibung folgenden Text geschrieben:

Projektbeschreibung

Die *KLINIK AG* ist ein Klinikbetreiber, für Reha Kliniken und Krankhäuser in ganz *KLINIKLANDEN*, mit Hauptsitz in *HAUPTSTADT*. Die *KLINIK-IT* GmbH ist das IT-Systemhaus der *KLINIK AG* und entwickelt Strategien, als auch IT-Konzepte für die einzelnen Kliniken und setzt diese technisch um. Neue Mitarbeiter der Kliniken bekommen bei Beginn ihrer Tätigkeit ein eigenes Benutzerkonto für die Anmeldung der Workstations in deren Klinik. Damit die Klinikmitarbeiter eine optimale Versorgung der Patienten gewährleisten können, müssen diese jederzeit Zugriff auf die Daten der Patienten haben. Der Geschäftsführung soll eine Lösung geboten werden, mit der den Klinikmitarbeitern die Möglichkeit geboten wird, ohne technischen Support mithilfe eines Self-Service Password Reset Dienstes, eigenständig deren Zugangsdaten zurücksetzen zu können.

 

SOLL-Analyse

Wenn ein Mitarbeiter seine Anmeldedaten verliert, muss sich dieser bei der Hotline melden, ein Ticket erstellen lassen und warten bis das Ticket bearbeitet wurde (z.B. um das Passwort zurückzusetzen). Sind aber Administratoren, aufgrund von Feiertagen, Wochenenden, oder späteren Uhrzeiten nicht erreichbar, muss der Klinikmitarbeiter über andere Wege (z.B. Kollegen) die Unterlagen ausdrucken, Handschriftlich bearbeiten und bei erhalt neuer Zugangsdaten diese wieder elektronisch übertragen. Dieser Vorgang ist sehr Zeitaufwendig und erhöht den Arbeitsaufwand.

 

IST-Konzept

Bei Anmeldung am Betriebssystem soll dem Benutzer die Möglichkeit geboten werden, sich eine E-Mail zukommen zu lassen, die einen Link für das zurücksetzen des eigenen Passwortes Bietet. Diese Funktion wird mithilfe von Sicherheitsfragen, deren Antworten durch den Benutzer bei der Einrichtung des Benutzerkontos gespeichert werden gesichert. Dadurch ist der Klinikmitarbeiter jederzeit in der Lage, sich auf sicherem Weg Zugriff auf das eigene Benutzerkonto zu gewähren.

 

Die mit Sternchen versehenen Stellen werden natürlich durch die echten Daten versehen. 

 

Was meint ihr? so ok? Wo ist verbesserungsbedarf, etc?

MFG :D

Link zu diesem Kommentar
Auf anderen Seiten teilen

ok, ich glaube ich muss noch ergänzend erwähnen, dass das die E-Mail mit dem Link zur Passwort Zurücksetzung an eine Private mail geschickt wird, mit der ein Benutzer sich dann via Handy authentifizieren kann und das Passwort festlegt.

@charmanta Fachinformatiker Systemintegration, ich entwickle dieses Programm nicht, sondern es ist schon vorhanden (Lam - ldap). Dafür wird ein Linux Server benötigt, der eine Kommunikation mit dem Domain Controller aufbaut und darüber zugriff auf die Benutzer Daten bekommt. 

Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 1 Minute schrieb Rumpelchen:

dass das die E-Mail mit dem Link zur Passwort Zurücksetzung an eine Private mail geschickt wird

Das heißt, wenn das Postfach des Nutzers kompromittiert wurde, besteht grundsätzlich die Möglichkeit, dass Dritte Zugriff auf Patientendaten erlangen könnten?

Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 7 Minuten schrieb Rumpelchen:

ich entwickle dieses Programm nicht, sondern es ist schon vorhanden (Lam - ldap). Dafür wird ein Linux Server benötigt, der eine Kommunikation mit dem Domain Controller aufbaut und darüber zugriff auf die Benutzer Daten bekommt. 

Hrmblbhrml .... das ist nicht wirklich ein komplexes Problem im Sinne der PO.

Wird schwierig dass durchzubekommen beim PA. Ich würds ablehnen

vor 8 Minuten schrieb Rumpelchen:

dass das die E-Mail mit dem Link zur Passwort Zurücksetzung an eine Private mail geschickt wird, mit der ein Benutzer sich dann via Handy authentifizieren kann

Boah Geil. Ich MUSS also als Angestellter meine private Email-Adresse für diesen Zweck meinem Arbeitgeber mitteilen ?

Gruss an den Kollegen Datenschutzbeauftragten in Deinem Hause ... die Rechtsgrundlage hätte ich gerne mal gesehen :D

Mit anderen Worten: Das Verfahren ist auch datenschutzrechtlich nicht ohne ;)

Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 2 Stunden schrieb Visar:

Das heißt, wenn das Postfach des Nutzers kompromittiert wurde, besteht grundsätzlich die Möglichkeit, dass Dritte Zugriff auf Patientendaten erlangen könnten?

in wie fern kommt jemand an Daten von Patienten, wenn sich der Mitarbeiter über sein Handy auf die Webseite schaltet, auf der eine 2-Fach Authentifizierung eingerichtet ist und sich danach auf seine private E-Mail einen Link zuschickt, um sich das Passwort zurückzusetzen? und ich habe mich bei dem kommentar verschrieben. Man bekommt keine Zugangsadaten, sondern ändert das passwort von einem selbst.

Solange wie man sich selbst nicht Authentifizieren kann, bsplw. über die Sicherheitsfragen, oder eine Software (z.b. windows authenticator, etc..)

Und das ist eine freiwillige Funktion, man wird nicht gezwungen, aber das ist ein guter Punkt, das und die 2-Fach Authentifizierung sollte ich noch etwas genauer hervorheben.

Bearbeitet von Rumpelchen
Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 1 Stunde schrieb Rumpelchen:

in wie fern kommt jemand an Daten von Patienten, wenn sich der Mitarbeiter über sein Handy auf die Webseite schaltet, auf der eine 2-Fach Authentifizierung eingerichtet ist und sich danach auf seine private E-Mail einen Link zuschickt, um sich das Passwort zurückzusetzen?

Inwiefern kann ich bzw. können wir wirklich etwas zu deiner Projektidee sagen, wenn du derart essentielle Infos wegslässt. 🤔 Vielleicht nochmal neu formulieren, vollständig... sonst ist das hier vergebliche Liebesmüh'.

Bearbeitet von Visar
Add missing word "wir"
Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 8 Stunden schrieb Rumpelchen:

Und das ist eine freiwillige Funktion, man wird nicht gezwungen

So was wird schnell "freiwillig"...

Das Problem ist also, dass med.Personal relativ häufig seine Zugangsdaten "vergisst" und dieses Vergessen gefährdet Patienten?

Dann soll dieser MA in aller Ruhe sein Passwort selbst zurücksetzen können, natürlich freiwillig. Sollte er nicht freiwillig daran teilnehmen oder das Prozedere nicht hinbekommen...

Moment, ein Klinikverbund ohne 24/7 (Ruf-) Bereitschaft in der IT? Kann und will ich mir nicht vorstellen. Was, wenn nicht nur der Pfleger sein Kennwort vergessen hat sondern ein Server ausfällt, das RZ gehackt wird...

Warum nicht einfach ein Token/eine Smartcard? Irgendwas das man sowieso immer dabei hat und am Körper trägt? RFID Chip im Mitarbeiterausweis oder so was? Entsperren mit dem MA-Ausweiß, ggf. automatische Bildschirmsperre/Abmeldung nach Entfernen des Ausweises oder $Minimalwert für Timeout falls der MA wegrennt wegen Notfall und entgegen der klaren Anweisung vergisst den Bildschirm zu sperren.

 

 

Link zu diesem Kommentar
Auf anderen Seiten teilen

Dein Kommentar

Du kannst jetzt schreiben und Dich später registrieren. Wenn Du ein Konto hast, melde Dich jetzt an, um unter Deinem Benutzernamen zu schreiben.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung wiederherstellen

  Nur 75 Emojis sind erlaubt.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

Fachinformatiker.de, 2024 by SE Internet Services

fidelogo_small.png

Schicke uns eine Nachricht!

Fachinformatiker.de ist die größte IT-Community
rund um Ausbildung, Job, Weiterbildung für IT-Fachkräfte.

Fachinformatiker.de App

Download on the App Store
Get it on Google Play

Kontakt

Hier werben?
Oder sende eine E-Mail an

Social media u. feeds

Jobboard für Fachinformatiker und IT-Fachkräfte

×
×
  • Neu erstellen...