Identitetscentrerad säkerhetsdesign för vårdmiljöer

Bakgrund

Jag byggde det här projektet för att utforska hur identitets- och åtkomsthantering kan utformas för en mindre vårdmiljö som hanterar känslig information.

Målet var att få en bättre förståelse för hur tekniker som Microsoft Entra ID, Conditional Access, FIDO2, RBAC och Managed Identities kan samverka som en del av en modern säkerhetsdesign.

Istället för att fokusera främst på nätverksbaserad säkerhet ville jag undersöka vad som händer när identiteten blir den primära säkerhetsgränsen.

Utmaningen

Vårdmiljöer innehåller ofta många olika användartyper med olika behov av åtkomst.

I projektet ville jag utforska frågor som:

• Hur ska åtkomst hanteras för olika roller?
• Hur kan externa konsulter få säker åtkomst?
• Hur kan åtkomst tas bort när den inte längre behövs?
• Hur kan säkerheten förbättras utan att skapa onödig komplexitet?

Det jag byggde

Jag skapade en mindre Azure-baserad miljö med Microsoft Entra ID som central identitetsplattform.

Miljön bestod av:

• Microsoft Entra ID
• Azure Web App
• Azure Blob Storage
• FIDO2-lösenordsfri autentisering
• Conditional Access
• Säkerhetsgrupper
• Rollbaserad åtkomstkontroll (RBAC)
• Managed Identities

Projektet inspirerades av vanliga utmaningar inom vården där flera användartyper behöver olika nivåer av åtkomst till känslig information.

Identitets- och åtkomstmodell

Åtkomst hanterades genom grupper och roller istället för att tilldelas direkt till enskilda användare.

Flera olika användartyper simulerades, bland annat:

• Undersköterskor
• Sjuksköterskor
• Läkare
• Biomedicinska analytiker
• Externa konsulter

Målet var att undersöka hur rollbaserad åtkomstkontroll kan förenkla administrationen samtidigt som onödiga behörigheter minimeras.

Säkerhetskontroller

För att stärka säkerheten implementerade jag bland annat:

• FIDO2-autentisering
• Conditional Access-policys
• Multifaktorautentisering (MFA)
• Gruppbaserad RBAC
• Managed Identities
• Loggning och granskning

Fokus låg på att tillämpa etablerade säkerhetsprinciper på ett praktiskt sätt snarare än att bygga en onödigt komplex miljö.

Vad jag lärde mig

Projektet hjälpte mig att bättre förstå hur olika identitets- och säkerhetstekniker hänger ihop.

Några av de områden jag utforskade var:

• Identitetslivscykelhantering
• Access governance
• Rollbaserad åtkomstkontroll
• Hantering av externa användare
• Conditional Access
• Managed Identities
• Identitetsbaserad säkerhetsdesign

Projektet förstärkte också min förståelse för hur central identiteten har blivit i moderna säkerhetsarkitekturer.

Reflektion

Det mest värdefulla med projektet var att gå bortom enskilda tekniker och istället tänka på helheten.

Istället för att fokusera på en specifik produkt eller funktion behövde jag fundera över hur identiteter, åtkomst, governance och säkerhetskontroller samverkar som ett sammanhängande system.

Projektet gav mig också en bättre förståelse för avvägningarna mellan användbarhet, administration och säkerhet, särskilt i miljöer som hanterar känslig information.