Sua opinião sobre o fornecedor que exige que todos os usuários façam login em um servidor de terminal MS com o mesmo nome de usuário e senha

Eu tenho um fornecedor informando que eles não suportam o Microsoft Server 2008 R2 Terminal Server que estão instalando, a menos que todos os usuários façam login usando o mesmo nome de usuário e senha. Eles afirmam que isso é para facilitar as coisas para os usuários finais.

O servidor é autônomo e executa o aplicativo (EMR) e o banco de dados de back-end (MySQL). Cada um de nossos escritórios receberá um desses servidores. Minhas preocupações são 1) segurança e 2) possíveis problemas com todos os usuários que usam a mesma conta de usuário. A segurança é um problema, pois caímos no HIPAA e o DB e todos os documentos armazenados, que contêm PHI, são armazenados no TS sem criptografia e sem ACLs que limitem o acesso da conta de usuário genérica. O fornecedor diz que o banco de dados requer uma senha para fazer login, portanto essa configuração é segura.

Sempre exigi que os usuários tivessem suas próprias contas ao usar um servidor RDP, Citix, etc ou farm de servidores, portanto, não tenho nenhuma experiência no mundo real com uma configuração como esta. Pensando no que todos pensam sobre esse tipo de configuração.

Se os arquivos estiverem armazenados no nível do sistema de arquivos sem criptografia baseada no usuário e sem ACLs, sim, fuja. Se TODOS os dados fossem armazenados no banco de dados, eu me sentiria um pouco menos hesitante, mas mesmo assim, qualquer fornecedor que diga que está tudo bem (especialmente quando o HIPPA está no mix) usar IDs compartilhados é suspeito em meu livro. Se você ingressar a máquina em um domínio, não haverá nada confuso do ponto de vista do usuário final sobre o uso de seu próprio ID individual. Em vez disso, seria mais confuso para eles terem o ID compartilhado adicional.

Concordamos que o compartilhamento de perfis traz uma série de problemas - entre os quais a incapacidade de ter uma boa responsabilidade (ou mesmo QUALQUER responsabilidade) por exatamente quem fez exatamente o que e exatamente quando aconteceu. Encontre outro fornecedor - um que respeite os princípios básicos de segurança. Tente encontrar alguém com uma certificação SAS 70 tipo II, se possível. Garanto que essas organizações não permitirão o compartilhamento de perfis. Obrigado por perguntar antes de pular para este e se arrepender mais tarde.

Concorrer. Isso é um desastre esperando para ocorrer. Se eles são pouco comuns com algo que você pode ver (exigindo logons compartilhados), o que eles estão fazendo que você não pode ver?