Um modelo de autorização e controle de acesso para o prontuário eletrônico de pacientes em ambientes abertos e distribuídos / An authorization and access control model for electronic patient record in open distributed environments

RESUMO

Conceber modelos para autorização e controle de de acesso para prontuário eletrônico do paciente (PEP) é indispensável para viabilizar o uso em larga escala do PEP em grandes instituições de saúde. Este trabalho propõe um modelo de autorização adequado às exigências de controle de acesso ao PEP, buscando assegurar a privacidade do paciente e a segurança de acesso aos seus dados, mas flexível o suficiente para tratar casos de exceção com base em informações constextuais. O modelo permite regular o acesso dos usuários ao PEP com base nas funções (papéis) que estes exercem numa organização, estendendo e refinando o modelo de referência para controle de acesso baseado em papéis do tipo simétrico definido pelo NIST (National Institute of Standards and Techology). Suporta hierarquia de papéis com herança de autorizações; controle de acesso seletivo aos recursos do PEP; autorizações positivas e negativas; exceções estáticas e dinâmicas baseadas em contextos; separação de responsabilidades estática e dinâmica baseadas em conflitos fortes e fracos entre papéis. Uma arquitetura é proposta para implementar este modelo usando o serviço de diretório LDAP (Lightweight Directory Access Protocol), a linguagem de programação Java, e os padrões CORBA/OMG CORBA Security Service e Resource Access Decision Facility. Com estes padrões abertos e distribuídos, os componentes heterogêneos do PEP podem solicitar serviços de autorização de acesso de modo unificado e consistente a partir de múltiplas plataformas. O PEP na WEB do InCor foi selecionado como aplicação piloto para emprego deste modelo e hoje cerca de 780 usuários o acessa com diferentes privilégios, dependendo dos papéis associados a cada um deles. Desenvolvimentos futuros incluem a especificação de modelos contextuais para criação de autorizações dinâmicas para o PEP e a utilização de mecanismos mais robustos de autenticação do usuário