La messaggistica professionale del CHU di Montpellier si basa su un’autenticazione multifattoriale abbinata a una rete segmentata per sito. Per un agente che tenta di connettersi, la combinazione di queste due restrizioni tecniche trasforma un gesto banale (leggere le proprie email) in un percorso in cui l’ordine delle operazioni conta tanto quanto le credenziali stesse.
Browser o applicazione mobile: impatto sulla sicurezza dei dati ospedalieri
Prima di parlare della procedura di connessione, una scelta preliminare condiziona il livello di esposizione dei dati. Il browser apre una sessione temporanea, che si chiude al momento della disconnessione o dopo un periodo di inattività. Nessun messaggio né allegato viene memorizzato localmente sulla postazione.
L’applicazione mobile, al contrario, può sincronizzare localmente i messaggi e i loro allegati sul telefono dell’agente. In un contesto ospedaliero, dove gli scambi contengono regolarmente informazioni sanitarie, questa differenza non è trascurabile.
| Criterio | Browser (sessione web) | Applicazione mobile |
|---|---|---|
| Memorizzazione locale dei messaggi | Nessuna | Sincronizzazione possibile sul terminale |
| Persistenza della sessione | Chiusura automatica dopo inattività | Sessione mantenuta in background |
| Rischio in caso di perdita del terminale | Basso (niente memorizzato) | Alto (messaggi e allegati accessibili) |
| Compatibilità postazione condivisa | Adatta (disconnessione semplice) | Inadatta (account legato al terminale) |
Per gli agenti che lavorano su postazioni condivise in sala di cura o in ufficio di guardia, il browser rimane il modo di accesso più sicuro. L’applicazione mobile è più giustificata per i dirigenti o i professionisti che dispongono di un terminale professionale dedicato.
Una guida dettagliata sulla messaggistica per agenti del CHU Montpellier descrive le differenze funzionali tra questi due modi di accesso.
Registrazione MFA al CHU Montpellier: la restrizione di rete che nessuno espone chiaramente
La registrazione MFA deve avvenire dalla rete interna del CHU. Questa obbligazione costituisce il principale punto di blocco durante la prima connessione. Tentare di attivare il codice usa e getta da un Wi-Fi ospite, da casa propria o tramite condivisione di connessione mobile non genera alcun messaggio di errore esplicito: la procedura fallisce silenziosamente.
L’agente deve trovarsi fisicamente in un servizio del CHU, connesso alla rete cablata o al Wi-Fi professionale, per avviare l’associazione tra il proprio account e l’applicazione di autenticazione (tipo Microsoft Authenticator). Una volta convalidata questa registrazione sulla rete interna, le connessioni dall’esterno diventano possibili.
Passaggi concreti per la registrazione iniziale
- Recarsi in un servizio del CHU e connettersi alla rete professionale (cablata o Wi-Fi interno, non la rete ospite)
- Aprire il portale di autenticazione del CHU da un browser e inserire le proprie credenziali fornite dal servizio informatico
- Seguire la procedura di associazione con l’applicazione di autenticazione sul proprio telefono personale o professionale
- Convalidare il codice usa e getta generato dall’applicazione per confermare la registrazione
Dopo questo passaggio, l’accesso remoto funziona normalmente. Qualsiasi tentativo di registrazione al di fuori della rete interna fallirà senza avviso, il che spiega la maggior parte dei ticket di assistenza legati alla prima connessione.
Perdita del telefono e MFA disincronizzato: due blocchi distinti
Una password dimenticata può essere reimpostata in pochi minuti tramite la procedura standard. La perdita o la sostituzione del telefono associato al MFA rientra in un circuito completamente diverso.
La reimpostazione del secondo fattore richiede un intervento del supporto informatico. L’agente non può riassociare da solo un nuovo terminale al proprio account. Questa dipendenza crea un ritardo di indisponibilità variabile a seconda del carico del servizio di assistenza.
Password scaduta versus telefono perso
Una password scaduta viene gestita in self-service dal portale di autenticazione. Il processo rimane accessibile anche dall’esterno della rete, a condizione che la registrazione MFA sia già stata effettuata.
La perdita del telefono, al contrario, interrompe l’accesso al secondo fattore. L’agente deve contattare il supporto, dimostrare la propria identità e poi ripetere la procedura di registrazione dalla rete interna. Questo doppio passaggio obbligato (supporto poi rete interna) allunga il tempo di ripristino.
Gestione del ciclo di vita degli accessi: arrivo, trasferimento, partenza
L’accesso alla messaggistica del CHU non si riduce a un identificativo e una password. I diritti sono legati alla posizione occupata. Durante un trasferimento interno, un cambio di servizio o una partenza, gli accessi devono essere disattivati e poi riattribuiti secondo il nuovo perimetro.
Questa gestione del ciclo di vita delle identità implica che l’agente che cambia servizio può temporaneamente perdere l’accesso alla propria messaggistica, fino a quando i diritti non vengono riconfigurati. Il portale intranet e le applicazioni aziendali seguono la stessa logica di riattribuzione.
- Arrivo: creazione dell’account, attribuzione dei diritti secondo il servizio, registrazione MFA obbligatoria in loco
- Trasferimento: disattivazione dei diritti precedenti, riattribuzione sul nuovo perimetro, a volte necessità di rifare la registrazione
- Partenza: disattivazione completa dell’account e rimozione degli accessi remoti
Ogni cambio di posizione può comportare una nuova registrazione MFA. Gli agenti trasferiti frequentemente tra i servizi traggono vantaggio dall’anticipare questo passaggio con il supporto informatico prima del loro effettivo ingresso in servizio.
L’accesso alla messaggistica del CHU di Montpellier dipende meno dalla conoscenza di un URL che dalla padronanza del sequenziamento tecnico: registrazione sulla rete interna prima, scelta del modo di accesso adatto alla propria posizione poi, e anticipazione dei casi di blocco legati al telefono o ai cambi di servizio.
