La distinzione tra portale interno ed extranet in un CHU non si riduce a una questione di perimetro di rete. Essa implica scelte architettoniche che determinano la superficie di attacco, la granularità delle autorizzazioni e la capacità di tracciare usi anomali. Osserviamo che la maggior parte degli stabilimenti tratta ancora questa questione come un semplice arbitrato tecnico, mentre essa riguarda prima di tutto la gestione del rischio applicata ai dati sanitari.
Segmentazione degli accessi agenti CHU per livello di rischio
Un portale interno (intranet) e un extranet non proteggono le stesse risorse con la stessa intensità. Il vero criterio di scelta non è la posizione geografica dell’agente, ma la sensibilità della risorsa a cui accede.
Su un intranet classico, l’agente connesso alla rete cablata o al Wi-Fi professionale del CHU beneficia di un primo livello di fiducia legato all’infrastruttura fisica. Le applicazioni critiche (cartella clinica, prescrizione, vigilanza identitaria) rimangono confinate a questo perimetro. L’extranet apre un secondo canale, destinato alle connessioni fuori sede, ma questo canale richiede controlli compensativi che molti stabilimenti sottodimensionano.
Raccomandiamo di mappare ogni applicazione del SIH secondo tre livelli: accesso ristretto alla rete interna solo, accesso remoto con autenticazione rafforzata, accesso aperto su portale web standard. Questa mappatura condiziona la scelta dell’architettura molto più del budget o del marchio della soluzione scelta. Un articolo dettagliato sull’accesso agenti CHU su Tranquillità Salute descrive precisamente le differenze funzionali tra questi due modi.
Autenticazione multifattore e SSO federato: cosa cambia per l’extranet ospedaliero
L’autenticazione multifattore è un prerequisito, non un’opzione. Su un portale interno, la rete stessa costituisce un fattore implicito di fiducia. Su un extranet, questo fattore scompare. L’agente che si connette da casa, da un posto di guardia remoto o da un terminale mobile deve dimostrare la propria identità con almeno due mezzi indipendenti.
Il tranello frequente riguarda l’iscrizione MFA. In diversi CHU, l’associazione tra il conto agente e l’applicazione di autenticazione (tipo Microsoft Authenticator) deve necessariamente avvenire dalla rete interna. Tentare l’operazione da una rete esterna blocca la procedura senza un messaggio di errore esplicito. Questo punto tecnico, raramente documentato nelle guide utente, genera un volume significativo di ticket al supporto informatico.
L’architettura SSO federata semplifica l’esperienza dell’agente unificando l’autenticazione su tutte le applicazioni (messaggistica, portale HR, gestione del tempo di lavoro, intranet documentale). Tuttavia, moltiplica le porte d’ingresso. Ogni percorso di connessione deve essere coperto dalla stessa politica di sicurezza, che si tratti del portale web, dell’applicazione mobile o del client pesante VPN.
VPN o reverse proxy: due filosofie di accesso remoto
La VPN crea un tunnel crittografato che collega virtualmente il terminale remoto alla rete interna. Il reverse proxy espone solo le applicazioni pubblicate, senza estendere il perimetro di rete. La scelta dipende dal profilo d’uso:
- La VPN è adatta agli agenti che utilizzano applicazioni pesanti che richiedono una connessione di rete completa (imaging, database locali).
- Il reverse proxy è sufficiente per gli usi web (messaggistica, consultazione di pianificazione, portale HR) e riduce la superficie di attacco pubblicando solo i servizi strettamente necessari.
- Un modello ibrido, in cui la VPN è riservata ai profili tecnici e il reverse proxy agli agenti funzionali, rappresenta il compromesso più frequente nei CHU di dimensioni intermedie.
Autorizzazioni degli operatori esterni: il punto debole del SIH
Le guide di accesso agenti CHU si concentrano sul personale titolare. Gli operatori esterni (medici liberi, collaboratori, fornitori di manutenzione biomedica, partner di ricerca) rappresentano tuttavia un rischio specifico che né il portale interno né l’extranet standard trattano correttamente senza una configurazione dedicata.
Un conto generico condiviso tra più operatori esterni è una violazione della sicurezza. Le raccomandazioni attuali impongono conti individuali, una revoca rapida delle autorizzazioni al termine della missione e l’applicazione rigorosa del principio del bisogno di conoscere. Un collaboratore che interviene tre giorni al mese in cardiologia non ha alcun motivo di accedere al modulo di prescrizione di psichiatria.
L’extranet offre qui un vantaggio strutturale rispetto al portale interno: consente di creare perimetri di accesso separati, con durate di validità configurabili e una tracciabilità completa delle connessioni. Il portale interno, progettato per agenti permanenti, gestisce con maggiore difficoltà questi profili a geometria variabile.
Registrazione e rilevamento degli usi anomali sul portale agenti
Un controllo di accesso iniziale, per quanto robusto, non protegge contro una compromissione del conto. La differenza tra un portale ben dimensionato e un portale vulnerabile sta in ciò che accade dopo l’autenticazione.
Il portale deve registrare ogni connessione e individuare comportamenti atipici: volumi di estrazione insoliti, connessioni in orari incoerenti con il piano dell’agente, accessi simultanei da due localizzazioni geografiche distinte. Questi segnali deboli sono i primi indicatori di un conto compromesso.
Su un intranet, la registrazione si basa spesso sui log del controller di dominio e dei server applicativi. Su un extranet, deve essere centralizzata a livello del portale stesso, poiché le connessioni transitano attraverso percorsi eterogenei. Osserviamo che gli stabilimenti che hanno subito incidenti di sicurezza avevano generalmente una registrazione parziale, coprendo l’autenticazione ma non le azioni post-connessione.
- Verificare che il portale tracci gli accessi alle cartelle cliniche individuali, non solo le connessioni applicative.
- Configurare avvisi automatici per estrazioni massicce di dati (esportazioni CSV, stampe in serie).
- Effettuare una revisione trimestrale dei conti attivi per disattivare le autorizzazioni obsolete, in particolare per gli operatori esterni.
La scelta tra portale interno ed extranet non si riduce a un’architettura di rete. Essa impegna la capacità del CHU di applicare politiche di sicurezza differenziate a seconda del profilo, del luogo di connessione e della sensibilità dei dati consultati. Un extranet ben configurato protegge meglio di un intranet mal supervisionato. La questione pertinente non è quale portale implementare, ma quale livello di controllo l’istituzione è disposta a mantenere nel tempo.
