Ricetta bianca elettronica, introdotta l'autenticazione a due fattori per l'accesso. Ecco come funziona

È stato pubblicato in Gazzetta ufficiale il Decreto del Mef – con relativo Disciplinare tecnico – che modifica le modalità di accesso al Sistema Tessera sanitaria per l’invio da parte di medici e farmacisti dei dati relativi a prescrizioni ed erogazioni di farmaci su ricetta bianca elettronica. Il provvedimento introduce un sistema di autenticazione forte, mediante, in particolare, quella a due o più fattori. Ecco cosa cambia per i farmacisti.

A essere sancita è l’evoluzione a un sistema di autenticazione forte, tra cui, si legge nel Disciplinare tecnico che indica le modalità tecniche del passaggio, “è compresa anche l’autenticazione a due o più fattori”. In particolare, tale modalità si rende “necessaria per la trasmissione al Sistema TS da parte dei medici dei dati relativi alle prescrizioni su ricetta bianca elettronica e da parte delle farmacie e parafarmacie per la trasmissione dei dati relativi alle erogazioni dei farmaci prescritti”.

Nel dettaglio, “per l’accesso al Sistema TS, medici, farmacie e parafarmacie devono essere stati preventivamente abilitati secondo procedure standard. Le credenziali di autenticazione, prodotte dal Sistema TS e contenenti utente, password da cambiare al primo accesso e pin code, vengono distribuite da un amministratore di sistema. Tali credenziali permettono al Sistema TS di riconoscere l’utente con procedure di basic authentication. È prevista l’evoluzione della basic authentication con pincode verso un’autenticazione forte (2 o più fattori, SPID/SPID professionale/CIE/TS-CNS, certificato client mutua autenticazione, e così via). Nel caso specifico dell’evoluzione dell’autenticazione per le funzionalità fruite tramite web application del Sistema TS è possibile accedere nel seguente modo: autenticazione SPID/SPID professionale/CIE/TS-CNS tramite cui l’utente sarà indirizzato in base al codice fiscale al profilo riconosciuto e abilitato da Sistema TS”.

Per quanto riguarda farmacie e parafarmacie, “la soluzione prevede che una farmacia/parafarmacia esegua l’accesso utilizzando lo SPID professionale ovvero, nelle more della definizione del quadro di garanzie e regole delle identità SPID a uso professionale, è ammesso l’utilizzo di quella a uso personale escludendo l’uso di dati personali attinenti alla sfera privata del soggetto forniti dai gestori (Identity Provider)”. Il titolare “deve provvedere all’accesso per tutte le farmacie a lui associate. È possibile richiedere l’accesso delegato attraverso cui i dipendenti di una farmacia/parafarmacia sono incaricati dal titolare ad eseguire l’accesso per conto della farmacia stessa, ma utilizzando la propria identità digitale. Nel caso specifico dell’evoluzione dell’autenticazione dei web services è previsto un periodo transitorio in cui sarà comunque ancora supportata l’autenticazione di base con pincode contemporaneamente alla nuova soluzione. La durata del transitorio dipende dalla velocità di adeguamento dei software degli utenti e dell’acquisizione dei dati di contatto dagli utenti”.

Ma cosa succede nel caso di sistemi di accoglienza regionali? “Le regioni che intendono utilizzare il loro Sistema di accoglienza regionale (SAR) per assolvere agli obblighi di trasmissione dati da parte degli utenti si pongono come intermediari nel colloquio con il Sistema TS (SAC). Farmacisti e medici si autenticano al SAR con credenziali e modalità stabilite dalla regione e provincia autonoma; il sistema regionale si autentica al SAC in mutua autenticazione con certificato client. Il sistema regionale deve utilizzare un SAML profile su WS-Security che contiene gli attributi qualificanti del soggetto che si è autenticato al sistema regionale: codice identificativo del soggetto e livello di autenticazione. Tale profilo è inviato nelle transazioni che il sistema regionale effettua verso il SAC. Il sistema regionale può richiedere in alternativa l’adozione del modello di interoperabilità ModiPA. Nel caso di utente che si connette direttamente al SAC utilizzando i web services tramite client applicativo (senza intermediazione del sistema regionale), è necessario prevedere preliminarmente l’acquisizione dei dati di contatto dagli utenti: indirizzo e-mail in quanto attualmente non presenti nel SAC”.

Da Farmacista 33