Tilgangsstyring av API-et

[maritane]

Har vi gjort oss opp noen tanker om tilgangsstyring på ulike operasjoner? Er det mest hensiktsmessig i ikke detaljere noe mer, eller er det viktig å kunne gi tilgang til visse operasjoner, men ikke andre? Er dette noe man best finner ut av underveis, eller er det viktig for standardisering?

I det ene enden: en systembruker har full tilgang, hvis den har tilgang. I motsatt ende: spesifikke scope for hver ressurs og operasjon. En mellomløsning: en generell lesebruker, og noen skrive-roller?

[maritane]

Dette svares ut av Normen: https://www.ehelse.no/normen/normen-for-informasjonssikkerhet-og-personvern-i-helse-og-omsorgssektoren#5.5.3.3-datadeling-i-sanntid

Iallfall skille mellom lese- og skrivetilgang