ĐẠI HỌC QUỐC GIA TP HỒ CHÍ MINH TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN CÀI ĐẶT CÁC CƠ CHẾ BẢO MẬT TRONG ORACLE TRÊN CƠ SỞ DỮ LIỆU QUẢN LÝ THÔNG TIN BỆNH VIỆN ĐỒ ÁN MÔN HỌC AN TOÀN VÀ BẢO MẬT HỆ THỐNG THÔNG TIN Giảng viên: TS Phạm Thị Bạch Huệ Học viên: Lê Xuân Phi Phạm Văn Tú TP Hồ Chí Minh – 7/2016 15 12 007 15 12 010 An toàn bảo mật hệ thống thông tin MỤC LỤC Trang An toàn bảo mật hệ thống thông tin I MÔ TẢ BÀI TOÁN VÀ YÊU CẦU Mô tả toán Một bệnh viện quy mô vừa có vai trò sau: phận quản lý, phận tiếp tân điều phối bệnh, bác sĩ điều trị, phòng tài vụ, phòng bán thuốc phận kế toán Bệnh nhân đến bệnh viện gặp phận tiếp tân điều phối bệnh để khai bệnh ban đầu gồm tên, năm sinh, địa liên lạc, số điện thoại, triệu chứng bệnh Nếu bệnh nhân trước khám bệnh đọc mã khám bệnh thông tin bệnh nhân có không cần phải nhập lại Sau hoàn tất giai đoạn tiếp bệnh, nhân viên tiếp tân định phòng khám bác sĩ khám Tại phòng tài vụ, nhân viên phòng tài vụ nhìn thấy thông tin khám bệnh bệnh nhân thu tiền khám bệnh nhân hướng dẫn bệnh nhân đến gặp bác sĩ Sau xem bệnh, bác sĩ định ghi nhận vào CSDL liên quan đến bệnh nhân phải dùng thuốc gì, phải tiếp tục làm thủ tục xét nghiệm chẩn đoán hình ảnh Nhân viên phòng tài vụ vào thu tiền trước bệnh nhân xét nghiệm chụp hình theo yêu cầu bác sĩ Bộ phận tiếp tân điều phối bệnh dựa vào liệu hệ thống ghi lại yêu cầu bác sĩ ghi Trang An toàn bảo mật hệ thống thông tin lại CSDL thông tin điều phối bệnh vào phòng liên quan hướng dẫn bệnh nhân vào phòng gặp bác sĩ Sau hoàn tất yêu cầu, bệnh nhân mang kết cho bác sĩ khám bệnh ban đầu đọc kết đề nghị dùng thuốc theo toa bác sĩ kê Nhân viên phòng thuốc vào bán thuốc cho bệnh nhân Các sách bảo mật Chính sách bảo mật ứng dụng mô tả sau: Thành viên phận quản lý chia làm nhóm: nhóm quản lý tài nguyên nhân (phòng ban, bác sĩ, nhân viên, chấm công), nhóm quản lý tài vụ (đơn giá loại dịch vụ khám bệnh, đơn giá thuốc), nhóm quản lý chuyên môn Nhóm quản lý tài nguyên nhân thêm, xóa, sửa thông tin cách danh mục như: phòng ban, bác sĩ, nhân viên phòng ban, bác sĩ trực phòng vào thời gian nào, …và xem tất thông tin khác kể thông tin nhân viên kế toán tạo không quyền sửa Nhóm quản lý tài vụ nhập chỉnh sửa thông tin liên quan, thông tin khác quyền xem tất không phép sửa Nhóm quản lý chuyên môn xem tất thông tin có thông tin điều trị bệnh bác sĩ để theo dõi chuyên môn bệnh viện có chiến lược tương lai mà không chỉnh sửa thông tin Bộ phận tiếp tân điều phối bệnh quyền thêm, xóa, sửa, tìm kiếm thông tin bệnh nhân, điều phối bệnh xem thông tin liên quan đến số tiền cho thủ tục khám, xét nghiệm chụp hình thông tin thuốc điều trị bệnh cho bệnh nhân Nhân viên phòng tài vụ nhìn thấy thủ tục mà bác sĩ yêu cầu bệnh nhân phải làm điều trị bệnh, thông tin mà phận điều phối bệnh điều phối tính tiền Nhân viên phòng tài vụ cập nhật số tiền phải trả cho chi tiết khám trị bệnh bệnh nhân mà không chỉnh sửa thông tin Trang An toàn bảo mật hệ thống thông tin Bác sĩ: thêm sửa thông tin liên quan đến việc điều trị bệnh loại thuốc phải dùng, liều dùng cho bệnh nhân mà bác sĩ chịu trách nhiệm điều trị Bác sĩ không xem chỉnh sửa thông tin khác bệnh nhân bác sĩ khác điều trị thông tin khác hệ thống Nhân viên phận bán thuốc: nhìn thấy toa thuốc mà bác sĩ kê cho bệnh nhân để tính tiền thuốc cho bệnh nhân mà xem bệnh nhân bệnh hay thông tin khác Nhân viên kế toán: tính lương cho bác sĩ nhân viên khác dựa vào lương bản, phụ cấp, số ngày công Nhân viên kế toán không nhìn thấy thông tin hệ thống liên quan đến trình điều trị bệnh cho bệnh nhân phận liên quan Bảng phân công công việc Nội dung Tìm hiểu toán, thiết kế sở liệu, xác định yêu cầu bảo mật Cài đặt DAC & RBAC Cài đặt VPD Cài đặt OLS Cài đặt mã hóa Cài đặt Auditing Xây dựng ứng dụng Viết báo cáo Người thực Hoàn thành Phi, Tú 100% Phi Tú Phi Phi Tú Tú Phi 100% 100% 100% 100% 100% 100% 100% Ghi Trang An toàn bảo mật hệ thống thông tin II THIẾT KẾ CƠ SỞ DỮ LIỆU Chức hệ thống ST T Chức Phụ trách Quản lý bệnh nhân Quản lý nhân viên Quản lý bác sĩ Quản lý thuốc Quản lý dịch vụ khám Quản lý thông tin khám chữa bệnh Quản lý tài Tiếp tân điều phối Nhân Chuyên môn Chuyên môn Chuyên môn Bác sĩ Tài vụ Lược đồ cấu trúc sở liệu BACSI TRƯỜNG MABS TENBS MAPHONG KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(30 BYTE) VARCHAR2(10 BYTE) MÔ TẢ NOT NULL KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(30 BYTE) VARCHAR2(50 BYTE) VARCHAR2(11 BYTE) VARCHAR2(3 BYTE) VARCHAR2(10 BYTE) VARCHAR2(12 BYTE) MÔ TẢ NOT NULL KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(100 BYTE) NUMBER(38,0) MÔ TẢ NOT NULL BENHNHAN TRƯỜNG MABN TENBN DIACHI DIENTHOAI GIOITINH NGAYSINH CMND DICHVU TRƯỜNG MADV TENDV PHIDV Trang An toàn bảo mật hệ thống thông tin HOADONDV TRƯỜNG MAHDDV MABN MADV KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(10 BYTE) VARCHAR2(10 BYTE) MÔ TẢ NOT NULL Trang An toàn bảo mật hệ thống thông tin LUONG TRƯỜNG MANV LUONGCOBA N PHUCAP KIỂU DỮ LIỆU VARCHAR2(10 BYTE) FLOAT MÔ TẢ NOT NULL FLOAT CHAMCONG TRƯỜNG MANV NGAY GIO CA PHONGTRUC KIỂU DỮ LIỆU VARCHAR2(10 BYTE) DATE NUMBER(38,0) VARCHAR2(10 BYTE) VARCHAR2(10 BYTE) MÔ TẢ NOT NULL KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(100 BYTE) VARCHAR2(100 BYTE) VARCHAR2(100 BYTE) VARCHAR2(10 BYTE) MÔ TẢ NOT NULL KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(30 BYTE) VARCHAR2(10 BYTE) VARCHAR2(30 BYTE) MÔ TẢ NOT NULL KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(10 BYTE) VARCHAR2(10 BYTE) MÔ TẢ NOT NULL HOSOBENHAN TRƯỜNG MABN CHIDINH CHUANDOAN MOTA MABS NHANVIEN TRƯỜNG MANV TENNV MAPHONG CHUCVU TOATHUOC TRƯỜNG MAHD MABN MATHUOC Trang An toàn bảo mật hệ thống thông tin MABS VARCHAR2(10 BYTE) PHONGBAN TRƯỜNG MAPHONG TENPHONG KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(30 BYTE) MÔ TẢ NOT NULL THONGBAO TRƯỜNG ID NOIDUNG KIỂU DỮ LIỆU NUMBER VARCHAR2(50 BYTE) MÔ TẢ NOT NULL KIỂU DỮ LIỆU VARCHAR2(10 BYTE) VARCHAR2(30 BYTE) NUMBER(38,0) MÔ TẢ NOT NULL THUOC TRƯỜNG MATHUOC TENTHUOC GIA Quan hệ thực thể Hệ thống người dùng Bảng phân quyền chức Trang An toàn bảo mật hệ thống thông tin III CƠ CHẾ ĐIỀU KHIỂN TRUY CẬP DAC & RBAC Ngữ cảnh Bệnh viện có người quản lý giám đốc bệnh viện, quyền trực tiếp giám đốc ba trưởng phòng gồm trưởng phòng nhân sự, trưởng phòng tài vụ trưởng phòng chuyên môn Dưới quyền trưởng phòng bác sĩ, nhân viên tiếp tân điều phối, nhân viên tài vụ, nhân viên bán thuốc nhân viên kế toán Cấp quyền cho trưởng phòng Mỗi trưởng phòng nhóm quyền khác tùy thuộc vào chức nhiệm vụ phòng: - Trưởng phòng nhân sự: có quyền viết đọc thông tin liên quan đến bác sĩ, nhân viên toàn bệnh viện, chấm công lương tất - nhân viên Còn thông tin lại có có quyền đọc Trưởng phòng tài vụ: có quyền đọc ghi thông tin liên quan đến dịch vụ khám chữa bệnh, thông tin liên quan đến thuốc Còn thông tin khác có quyền đọc Trang 10 An toàn bảo mật hệ thống thông tin Trang 15 An toàn bảo mật hệ thống thông tin IV CƠ CHẾ ĐIỀU KHIỂN TRUY CẬP VPD Bối cảnh sử dụng Một số bối cảnh sử dụng chế điều khiển truy cập VPD xảy với toán sau: - Nhân viên xem thông tin Bác sĩ xem thông tin Bác sĩ xem thông tin thuốc toa kê Nhân viên xem thông tin lương Cài đặt Trước tiên, gán quyền thực thi gói DBMS_RLS cho benhvien 9.1 Nhân viên xem thông tin 9.2 Bác sĩ xem thông tin Trang 16 An toàn bảo mật hệ thống thông tin 9.3 Bác sĩ xem thông tin thuốc toa kê 9.4 Nhân viên xem thông tin lương Trang 17 An toàn bảo mật hệ thống thông tin 10.Quản lý điều khiển cấp 10.1 Xem danh sách PVD thực thi 10.2 Xóa bỏ sách PVD thực thi Trang 18 An toàn bảo mật hệ thống thông tin V CƠ CHẾ BẢO MẬT SỬ DỤNG OLS Đặc tả yêu cầu 11.Xây dựng hệ thống Trang 19 An toàn bảo mật hệ thống thông tin Trang 20 An toàn bảo mật hệ thống thông tin Trang 21 An toàn bảo mật hệ thống thông tin Trang 22 An toàn bảo mật hệ thống thông tin Trang 23 An toàn bảo mật hệ thống thông tin Trang 24 An toàn bảo mật hệ thống thông tin VI CƠ CHẾ MÃ HÓA Mã hóa sử dụng DBMS_CRYPTO Trang 25 An toàn bảo mật hệ thống thông tin VII CƠ CHẾ AUDITING Nội dung cần audit Một số kịch cần Audit dựa toán sau: - Audit INSERT, UPDATE, DELETE đơn giá thuốc Audit INSERT, UPDATE, DELETE đơn giá phí dịch vụ Audit INSERT, UPDATE, DELETE thông tin mã thuốc toa Audit INSERT, UPDATE, DELETE thông tin hóa đơn dịch vụ Audit INSERT, UPDATE, DELETE thông tin lương nhân viên 12.Cài đặt audit Trước tiên, gán quyền thực thi gói DBMS_FGA cho benhvien 12.1 Audit INSERT, UPDATE, DELETE đơn giá thuốc 12.2 Audit INSERT, UPDATE, DELETE đơn giá phí dịch vụ 12.3 Audit INSERT, UPDATE, DELETE thông tin mã thuốc toa Trang 26 An toàn bảo mật hệ thống thông tin 12.4 Audit INSERT, UPDATE, DELETE thông tin hóa đơn dịch vụ 12.5 Audit INSERT, UPDATE, DELETE thông tin lương nhân viên 13.Xem sử dụng liệu Audit Xem tham số Audit Xem liệu Audit Dữ liệu ghi nhận lại thao tác người dùng sở liệu Các thao tác thực thi câu lệnh SQL hay kết hợp sách bảo mật truy xuất đối tượng sở liệu Trang 27 An toàn bảo mật hệ thống thông tin VIII CÀI ĐẶT ỨNG DỤNG Trang 28 An toàn bảo mật hệ thống thông tin TÀI LIỆU THAM KHẢO Trang 29