Seus pensamentos sobre o fornecedor exigindo que todos os usuários façam login em um servidor de terminal MS com o mesmo nome de usuário e senha

Question

Eu tenho um fornecedor afirmando que eles não suportam o Servidor de Terminal do Microsoft Server 2008 R2 que estão instalando, a menos que todos os usuários façam login usando o mesmo nome de usuário e senha. Eles afirmam que isso é para facilitar as coisas para os usuários finais.

O servidor é autônomo e executa tanto o aplicativo (EMR) quanto o banco de dados de back-end (MySQL). Cada um dos nossos escritórios receberá um desses servidores. Minhas preocupações são 1) segurança e 2) possíveis problemas com todos os usuários usando a mesma conta de usuário. A segurança é um problema, pois nos enquadramos no HIPAA e no banco de dados, e todos os documentos armazenados, que contêm PHI, são armazenados no TS unencrpyted e sem nenhuma ACL que limite o acesso da conta de usuário genérica. O fornecedor diz que o banco de dados requer uma senha para fazer login, portanto, essa configuração é segura.

Sempre solicitei que os usuários tivessem suas próprias contas ao usar um servidor ou farm de servidores RDP, Citix etc., para que eu não tivesse nenhuma experiência real com uma configuração como essa. Imaginando o que todo mundo pensa sobre esse tipo de configuração.

    

Answer 1

Se os arquivos forem armazenados no nível do sistema de arquivos sem criptografia baseada no usuário e sem ACLs, sim, corra. Se TODOS os dados fossem armazenados dentro do banco de dados, eu me sentiria um pouco menos hesitante, mas mesmo assim, qualquer fornecedor que diga que está tudo bem (especialmente quando o HIPPA está no meio) usar IDs compartilhados é suspeito no meu livro . Se você unir a máquina a um domínio, não há nada confuso do ponto de vista do usuário final sobre o uso de seu próprio ID individual. Em vez disso, seria mais confuso para eles ter o ID compartilhado adicional.

    

Answer 2

De acordo, com o compartilhamento de perfil, há uma série de questões - entre elas, a incapacidade de ter uma boa prestação de contas (ou mesmo QUALQUER responsabilidade) por quem exatamente fez exatamente o que e exatamente quando aconteceu. Encontre outro fornecedor - um que adote princípios de segurança básicos. Tente encontrar alguém com uma certificação SAS 70 tipo II, se possível. Eu garanto que essas organizações não permitirão o compartilhamento de perfil. Obrigado por perguntar antes de pular para este e lamentar mais tarde.

    

Answer 3

Concorrente. Isso é um desastre esperando para ocorrer. Se eles são tão desinteressados com algo que você pode ver (exigindo logins compartilhados), o que eles estão fazendo que você não pode ver?