cdaefa:CP-010-00

Audit Trail Einträge für EFAv2.0-Sicherheitsdienste

Titel des Change Request	Audit Trail Einträge für EFAv2.0-Sicherheitsdienste
Einreicher des Change Proposal	Jörg Caumanns, Fraunhofer FOKUS joerg.caumanns@fokus.fraunhofer.de
Datum der Einreichung des Change Proposal	09.04.15
Betroffene Revision der EFA-Spezifikation	1 (Release Januar 2015)
EFAv2.0 Wiki Perspective	Implementable
EFAv2.0 Wiki Dimension	Information
Akteur / Klasse / Transaktion	requestPolicy
Change Proposal ID	CP-010-00
Datum der Veröffentlichung im EFAv2.0 Wiki	09.04.15
Change Proposal Status	Eingereicht
Abhängigkeit zum IHE Technical Framework	Nein
Abhängigkeit zum IHE-D Cookbook	Ja
Auswirkungen auf bestehende Implementierungen	Ja
Datum der letzten Aktualisierung des Change Proposal	09.04.15
Zugewiesener Bearbeiter	Wird per Telefonkonferenz von der 7er-Gruppe festgelegt

Motivation für den Change Request

Das IHE SeR-Profil definiert Audit Trail Einträge für verschiedene Operationen auf XACML-Policies. Gemäß EFAv2.0-Spezifikation müssen vergleichbare Operationen bislang keinen Audit Trail Eintrag schreiben. Es wird vorgeschlagen, dass auch die EFA-Sicherheitsdienste analog zu den vergleichbaren IHE-Transaktionen eigene Audit Trail Einträge schreiben. Aktuell betrifft dies lediglich die Operation „requestPolicy" des EFAv2.0 Policy Provider. Da eine funktional identische Funktion im Supplement „EPPC – Enhanced Patient Privacy Consent" beschrieben ist, sollte ggf. auch ein identischer Audit Trail Eintrag geschrieben werden.

Beschluss der 7er-Gruppe

(30.10.2015) Der Änderungsvorschlag wird zurückgestellt und in 2016 erneut vorgelegt. Bis dahin ist zu klären, ob eine normative Vorgabe erforderlich ist oder ob sich die Anforderung zum Schreiben eines Audit-Trail-Eintrags implizit aus den SecureNode-Anforderungen ergibt.

Vorschlag für die Änderung der EFAv2.0-Spezifikation

http://wiki.hl7.de/index.php?title=cdaefa:EFA_Audit_Trail_Binding

Auf der benannten Seite sollte ein Kapitel „EFA Audit Trail Binding for WS-Trust Transactions" aufgenommen werden, in dem analog zu den Vorgaben für XDS-Transaktionen die zu verwendenden Event-Codes aufgelistet sind. Inwieweit weiter gehende Vorgaben erforderlich sind, muss im Abgleich mit den im SeR-Profil vorgenommenen ATNA-Instanziierungen ermittelt werden.