Vai al contenuto principale

Checklist per fornitori di WiFi per case di cura: filtri per residenti, visitatori, personale e salvaguardia

Potrà specificare, testare e contrattualizzare un fornitore di WiFi per case di cura in grado di gestire quattro reti distinte per residenti, visitatori, personale e dispositivi clinici sui Suoi access point esistenti. Può inoltre impostare filtri di salvaguardia per ciascuna rete che tutelano gli adulti vulnerabili ai sensi del Mental Capacity Act 2005, senza bloccare le videochiamate con i familiari.

Di Iain JewittPubblicato
📖 14 minuti di lettura3,838 parole2 esempi pratici12 definizioni chiave

Parte della nostra serie principale: WiFi multi-tenant: la guida completa →

Checklist per fornitori di WiFi per case di cura: filtri per residenti, visitatori, personale e salvaguardia

Un provider WiFi per case di cura dovrebbe offrire quattro elementi: una rete privata per i dispositivi di ogni ospite, un accesso semplice per i visitatori all'ingresso, una rete basata sull'identità per il personale assistenziale e i dispositivi clinici, e un filtraggio configurato per rete che protegga gli adulti vulnerabili senza bloccare le videochiamate con le famiglie. Purple gestisce tutti e quattro sui Suoi access point esistenti.

Di cosa ha effettivamente bisogno un provider WiFi per case di cura?

Una casa di cura racchiude tre realtà sotto lo stesso tetto. È una casa per gli ospiti, un luogo di lavoro per il personale assistenziale e un ambiente clinico con i propri dispositivi. Una sola password condivisa non può gestire tutti e tre in sicurezza. Un buon provider WiFi per case di cura li separa e offre a ciascuno il giusto livello di accesso, sicurezza e filtraggio.

Il banco di prova è semplice. Il tablet di un ospite deve poter contattare la figlia su WhatsApp alle 20:00 di domenica. Un visitatore deve poter andare online in meno di un minuto alla reception. Un infermiere del turno di notte deve poter aprire la cartella clinica digitale senza dover digitare una password. Nessuno di questi gruppi deve poter vedere i dispositivi o il traffico degli altri.

Le 4 reti e chi le utilizza

Rete Chi la utilizza Come si connettono Criteri di filtraggio Isolamento
Ospite della struttura Gli ospiti e i dispositivi portati dalle famiglie: tablet, smartphone, smart speaker, smart TV Chiave individuale per ciascun ospite (iPSK), nessun portale captive Leggero: contenuti illegali, malware e phishing bloccati; chiamate e streaming consentiti I dispositivi di ciascun ospite sulla propria rete privata
Visitatore Familiari, amici, professionisti in visita, fornitori Accesso tramite portale captive con codice QR alla reception Criteri per spazi pubblici: contenuti per adulti, contenuti illegali e malware bloccati VLAN separata, nessun accesso ai dispositivi degli ospiti o del personale
Personale Personale assistenziale a tempo indeterminato e interinale, dirigenti, team amministrativi Login IEEE 802.1X con la propria identità lavorativa Criteri per l'ambiente di lavoro definiti dal Suo gruppo sanitario VLAN separata, accesso revocato quando la persona lascia la struttura
Dispositivi clinici e dell'edificio Tablet per cartelle cliniche digitali, unità di chiamata infermieri, monitor acustici, sensori di caduta Chiave specifica del dispositivo (iPSK) dove 802.1X non è supportato Allow-list: solo i servizi di cui ciascun dispositivo ha bisogno VLAN dedicata, isolata da ogni altra rete

Una VLAN (rete locale virtuale) suddivide una singola rete fisica in reti logiche separate. Il traffico di una rete non può raggiungere l'altra senza una regola che lo consenta.

Purple garantisce tutto questo attraverso le reti basate sull'identità. Ogni connessione appartiene a una persona specifica o a un dispositivo, non a una password condivisa. Multi-Tenant WiFi copre gli ospiti residenti, Guest WiFi copre i visitatori, Staff WiFi copre i Suoi team e Shield applica il filtraggio per singola rete. Per un contesto più ampio, scopra l'approccio di Purple alle strutture del settore Sanità.

Di cosa ha bisogno prima di iniziare?

Raccolga sei elementi prima di contattare qualsiasi provider. Saranno questi a definire la Sua tempistica più di qualsiasi elenco di funzionalità.

  1. Un inventario degli access point per ogni struttura. Registri marca e modello presenti in ciascuna sede. Purple funziona come overlay cloud indipendente dall'hardware su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. La maggior parte dei gruppi di case di cura può mantenere l'hardware già posseduto. Legga perché il Suo prossimo aggiornamento del WiFi non richiede nuovo hardware prima di approvare un budget di sostituzione.
  2. Una mappa della copertura delle camere degli ospiti. Porte tagliafuoco, pareti interne spesse e lunghi corridoi indeboliscono il segnale nelle camere da letto. Molte strutture hanno tamponato il problema con extender da presa, che tuttavia causano problemi con i moderni sistemi di autenticazione. Confronti le opzioni in extender WiFi e access point a confronto: di cosa ha bisogno?.
  3. Il Suo identity provider per il personale. Il WiFi del personale esegue l'autenticazione tramite Microsoft Entra ID, Okta o Google Workspace. Verifichi chi gestisce gli account e in che modo il personale interinale o d'agenzia ne riceve uno.
  4. Un elenco dei dispositivi per rete. Elenchi i dispositivi degli ospiti portati dalle famiglie, oltre a tutti i dispositivi clinici e dell'edificio. Prenda nota di quali dispositivi clinici supportano 802.1X e quali accettano solo una password.
  5. La documentazione relativa alla protezione dei dati. L'accesso dei visitatori raccoglie dati personali e gli ospiti sono spesso adulti vulnerabili. Completi una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'Articolo 35 del UK GDPR. Se compila il Data Security and Protection Toolkit (DSPT) di NHS, elenchi le prove di cui avrà bisogno da parte del fornitore.
  6. Un responsabile designato per il filtraggio. Il responsabile della salvaguardia (safeguarding) e il direttore della struttura dovrebbero approvare congiuntamente ogni criterio di filtraggio. Questa decisione spetta a chi conosce i Suoi ospiti, non al fornitore IT.

Come configurare le reti per ospiti, visitatori e personale?

L'ordine seguente è adatto alla maggior parte dei gruppi di residenze sanitarie e case di cura. Gli ospiti vengono al primo posto, poiché i loro dispositivi sono i più complessi da spostare e i malfunzionamenti risultano più evidenti.

Passaggio 1: assegnare a ciascun ospite una rete privata senza password condivisa

Utilizzi la tecnologia iPSK, sigla di "identity pre-shared key". Alcuni fornitori la definiscono PPSK (private pre-shared key). Ciascun ospite riceve la propria chiave WiFi e ogni dispositivo che utilizza tale chiave si connette alla rete privata esclusiva dell'ospite. Purple la definisce Private Area Network, o PAN: una bolla di rete privata attorno ai dispositivi di una singola persona.

iPSK è la soluzione ideale per le case di riposo e di cura per tre motivi:

  • Funziona con i dispositivi che non possono utilizzare un portale captive. Gli smart speaker, le smart TV e i tablet semplificati non possono completare una pagina di accesso web. Tutti questi dispositivi supportano invece una normale password WiFi.
  • Gli ospiti non condividono mai la password. La chiave di un ospite non può consentire l'accesso ai dispositivi di un altro ospite. Il tablet di un vicino non potrà rilevare lo smart speaker di un altro residente.
  • L'ammissione e la dimissione richiedono una sola operazione. Rilasci la chiave all'ingresso dell'ospite. La revochi quando la persona lascia la struttura o viene a mancare, senza dover intervenire sui dispositivi di nessun altro.

Stampi la chiave di ciascun residente su una scheda per la famiglia. Quando una figlia porta un nuovo tablet, inserisce la stessa chiave una sola volta per connettersi alla rete privata di sua madre.

Passaggio 2: Offrire ai visitatori una semplice procedura di accesso all'ingresso

Un portale captive è la pagina web visualizzata da un visitatore prima di collegarsi a Internet. Posizioni un codice QR alla reception e nel salone o nella caffetteria. Il codice apre direttamente la pagina di accesso, evitando ai visitatori di dover cercare il nome della rete.

Mantenga il modulo breve: nome, indirizzo email e accettazione dei termini previsti. Utilizzi opzioni di consenso consapevole per l'invio di newsletter o aggiornamenti sugli eventi, non selezionate per impostazione predefinita, per rispettare le norme sul consenso UK GDPR. Imposti la durata della sessione in base agli orari di visita, in modo che una famiglia in visita ogni pomeriggio non debba effettuare nuovamente l'accesso a metà soggiorno.

Il WiFi per ospiti di Purple gestisce questo accesso esattamente come avviene per gli ospiti negli hotel. Limiti la larghezza di banda per ciascuna sessione visitatore, in modo che una domenica affollata non rallenti mai la videochiamata di un residente.

Passaggio 3: Collocare il personale di cura e i dispositivi clinici su una rete protetta

IEEE 802.1X è lo standard che impone a ciascun dispositivo di autenticarsi prima di accedere. Un server RADIUS verifica tali credenziali confrontandole con l'identity provider. Purple fornisce un servizio RADIUS sul cloud, eliminando la necessità di gestire un server in ogni struttura.

Il personale effettua l'accesso una sola volta con l'identità di lavoro di Microsoft Entra ID, Okta o Google Workspace. In questo modo si gestiscono ingressi, trasferimenti e uscite (JML). Un nuovo dipendente ottiene l'accesso non appena l'account viene creato. Chi lascia la struttura perde l'accesso quando l'account viene disabilitato. Nessuno deve più cambiare una password scritta sulla bacheca della sala del personale.

Il personale d'agenzia richiede lo stesso trattamento. Crei account a tempo determinato per il personale d'agenzia nel Suo identity provider. Il loro accesso termina insieme all'account, senza dover attendere che qualcuno si ricordi di cambiare la password.

Spesso i dispositivi clinici non possono utilizzare 802.1X. Assegni a ciascun tipo di dispositivo una chiave iPSK dedicata sulla propria VLAN. In questo modo, una smart TV compromessa sulla rete dei residenti non avrà alcuna possibilità di raggiungere un'unità di chiamata infermieri.

Passaggio 4: Impostare filtri di salvaguardia per ciascuna rete

Applicare filtri per gli adulti vulnerabili non è come applicarli per i minori. Il Mental Capacity Act 2005 parte dal presupposto che gli adulti abbiano la capacità di intendere e di volere. Richiede inoltre di scegliere l'opzione meno restrittiva. Un blocco generalizzato sulla rete di un residente può violare tali principi e isolare i residenti dalle loro famiglie.

Shield applica una policy diversa a ciascuna rete. Utilizzi questa matrice come punto di partenza e consenta poi al Suo responsabile della salvaguardia di personalizzarla.

Categoria di contenuto Rete residenti Rete visitatori Rete personale Dispositivi clinici
Contenuti illegali Blocca Blocca Blocca Blocca
Siti di malware e phishing Blocca Blocca Blocca Blocca
Contenuti per adulti Consenti (camere private dei residenti) Blocca Blocca Blocca
Gioco d'azzardo Consenti Blocca Blocca Blocca
Videochiamate (WhatsApp, FaceTime, Zoom, Microsoft Teams) Consenti Consenti Consenti Blocca
Streaming (BBC iPlayer, YouTube) Consenti Consenti Consenti Blocca
Servizi di cartella clinica e chiamata infermieri Non applicabile Non applicabile Consenti Solo lista consentiti

Nel caso in cui un ospite necessiti di una protezione aggiuntiva, come un rischio documentato di abuso finanziario, registri una decisione nel miglior interesse nel relativo piano di assistenza. Applichi la restrizione direttamente sul dispositivo dell'ospite con il consenso della famiglia. Una regola applicata all'intera rete non dovrebbe penalizzare tutti gli altri ospiti a causa del rischio legato a una sola persona.

Chieda a qualsiasi provider se il relativo sistema di filtraggio blocca l'elenco di URL di abuso sessuale su minori della Internet Watch Foundation. Richieda una risposta scritta in sede di gara.

Scenari pratici

Entrambi gli scenari seguenti sono esempi di pianificazione. I risultati derivano dalla progettazione stessa, consentendo di misurare gli stessi risultati nelle Sue strutture.

Scenario pratico 1: una struttura di residenza assistita gestita dal comune

Situazione. Un ente locale gestisce una struttura di residenza assistita con 24 appartamenti e un salone comune. Ospiti, personale e visitatori utilizzano tutti un'unica password. Quando un operatore socio-assistenziale ha lasciato il lavoro, la struttura ha modificato la password. I tablet e gli smart speaker di tutti gli ospiti si sono disconnessi e, quella sera stessa, tre residenti hanno perso le chiamate con le rispettive famiglie.

Intervento effettuato. La struttura ha migrato i residenti a una soluzione WiFi multi-tenant WiFi con una chiave iPSK per ciascun appartamento. Il personale è passato a 802.1X tramite Microsoft Entra ID. I visitatori sono stati indirizzati a un portale captive con codice QR all'ingresso. Shield ha applicato i criteri sopra indicati per residenti, visitatori e personale.

Risultato misurabile. Le password condivise sono passate da una, nota a tutti, a zero. Il dipendente successivo a lasciare il lavoro ha perso l'accesso nel momento stesso in cui il suo account è stato disabilitato. Nessun dispositivo dei residenti ha dovuto reimpostare la chiave. Il WiFi WiFi per la residenza assistita della struttura garantisce ora a ciascun residente la separazione che ci si aspetterebbe nel proprio appartamento.

Scenario pratico 2: una casa di cura con caffetteria per le famiglie e una festa estiva

Situazione. Una casa di cura da 70 posti letto gestisce una caffetteria aperta alle famiglie e organizza una festa estiva con circa 150 partecipanti. Ai visitatori era stata fornita alla reception la password del personale. Il giorno della festa la rete ha subito rallentamenti e il personale di assistenza ha avuto difficoltà ad aggiornare le cartelle cliniche digitali.

Intervento effettuato. La struttura ha separato i visitatori indirizzandoli su un WiFi per ospiti WiFi, con codici QR alla reception, nella caffetteria e sulla segnaletica della festa. Ha limitato la larghezza di banda per sessione visitatore e ha applicato i criteri Shield per gli spazi pubblici. Il personale e i dispositivi clinici sono stati spostati su VLAN dedicate con 802.1X e chiavi specifiche per ciascun dispositivo.

Risultato misurabile. La password del personale non è più circolata tra i visitatori. Il traffico della festa è rimasto sulla rete dei visitatori e separato dai dispositivi clinici. Il direttore della struttura consulta ora gli accessi mensili dei visitatori in WiFi Analytics e li utilizza per pianificare i turni del personale nei giorni di maggiore affluenza.

Hai domande sulla tua configurazione specifica?

Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.

Come verificare che funzioni?

Esegua un test di collaudo nella struttura pilota prima dell'approvazione definitiva. Lo effettui di sera, momento in cui gli ospiti effettuano la maggior parte delle chiamate ai familiari.

  • Connessione dell'ospite. Connetta un tablet e uno smart speaker con la chiave di un ospite nella sua stanza. Porti il tablet nel salone e poi di nuovo indietro. Deve rimanere sempre sulla stessa rete privata.
  • Isolamento dei residenti. Utilizzando la chiave di un secondo residente, provare a rilevare lo smart speaker del primo residente. Non dovrebbe comparire.
  • Accesso dei visitatori. Eseguire la scansione del codice QR della reception con un iPhone e un telefono Android. Cronometrare l'operazione. I visitatori dovrebbero essere online in meno di un minuto.
  • Nuovi assunti e dimissioni del personale. Creare un account di prova, connettersi e poi disabilitarlo. Il dispositivo dovrebbe perdere l'accesso senza che nessuno debba intervenire sugli access point.
  • Isolamento clinico. Dalle reti visitatori e residenti, provare a raggiungere un'unità di chiamata infermieri. Entrambi i tentativi dovrebbero fallire.
  • Filtraggio. Su ciascuna rete, testare una categoria bloccata e una consentita. Effettuare una videochiamata WhatsApp e una chiamata FaceTime dalla rete residenti.
  • Copertura. Misurare il segnale nelle cinque stanze più lontane da un access point, con le porte tagliafuoco chiuse.

Cosa può andare storto e come risolvere il problema?

I dispositivi dei residenti si disconnettono dopo una modifica hardware

I dispositivi più vecchi a volte riscontrano problemi quando una rete passa a WPA3 o solo a 5 GHz. Mantenere la rete residenti su impostazioni supportate da tali dispositivi. Pianificare WPA3 prima per le reti del personale e cliniche.

Gli smart speaker non riescono a superare la pagina di accesso

Qualcuno ha inserito i dispositivi dei residenti nel portale captive dei visitatori. Spostarli sulla chiave iPSK del residente. I portali captive sono destinati a persone dotate di browser, non a speaker o televisori.

Un filtro blocca una videochiamata con i familiari

Una categoria troppo generica, come "social network", ha bloccato un'applicazione per chiamate. Autorizzare esplicitamente i servizi di chiamata specifici sulle reti residenti e visitatori. Eseguire nuovamente i test dopo ogni modifica del filtraggio.

I ripetitori a presa causano disconnessioni nelle camere da letto

I ripetitori ritrasmettono il segnale e spesso gestiscono male le chiavi per singolo dispositivo e 802.1X. Sostituirli con access point posizionati correttamente. Se si sta comunque aggiornando l'hardware, l'articolo WiFi 6 (802.11ax) spiegato illustra i vantaggi in termini di capacità nei salotti affollati.

I familiari installano un proprio router nella stanza di un residente

Un secondo router genera interferenze e una falla di sicurezza. Mostrare alla famiglia che la rete privata del residente fornisce già una connessione protetta e dedicata. Concordare quindi la rimozione del dispositivo.

Il personale interinale non riesce ad accedere durante il primo turno

L'account non è stato creato in tempo. Integrare la creazione dell'account per il personale interinale nel processo di prenotazione, assegnando un responsabile designato per ciascuna struttura.

Cosa dovrebbe prevedere il contratto in merito agli orari di supporto e al rollout sede per sede?

L'assistenza sanitaria è attiva 24 ore su 24, e anche il contratto deve esserlo. Utilizzare questa tabella come checklist per le clausole.

Clausola Cosa richiedere Perché è importante in una casa di cura
Orari di supporto Supporto 24/7 per l'interruzione del servizio sulle reti residenti, personale o cliniche I residenti chiamano la famiglia la sera; il personale notturno deve accedere alle cartelle cliniche alle 3 del mattino
Livelli di gravità Obiettivi scritti di risposta e risoluzione in ore per ciascun livello di gravità Trasforma un vago "ce ne occuperemo" in un impegno contrattuale esigibile
Disponibilità della piattaforma Una percentuale di uptime dichiarata nel programma; quella di Purple è del 99,999% Ogni ora di inattività equivale a una chiamata persa o a una nota assistenziale ritardata
Piano di implementazione Una struttura pilota, poi fasi successive con una data di attivazione specifica per sede Consente di verificare il progetto prima che raggiunga ogni struttura
Hardware supportato Un elenco specifico dei modelli di access point supportati per ciascuna sede Evita spese impreviste per l'hardware a metà implementazione
Protezione dei dati Accordo sul trattamento dei dati ai sensi dell'Articolo 28 del UK GDPR e una posizione specifica per i dati Obbligatorio quando un fornitore elabora i dati dei visitatori e dei residenti per Suo conto
Certificazioni Certificati ISO 27001 e Cyber Essentials in corso di validità Documentazione a supporto della DPIA e dell'invio del DSPT
Modifiche al filtraggio Un tempo di risposta stabilito per le modifiche alle policy guidate dalla salvaguardia Una decisione sulla salvaguardia non dovrebbe attendere in una coda generale di ticket
Uscita Esportazione della configurazione e dei dati dei visitatori in un formato standard Garantisce la libertà di cambiare fornitore in seguito

Implementi sede per sede. Inizi con una struttura che disponga di un manager collaborativo e di un edificio tipico. Risolva ciò che il progetto pilota evidenzia, quindi proceda per scaglioni di tre o quattro strutture. Se sta sostituendo un fornitore di WiFi per case di cura esistente, segua il documento passare a un nuovo fornitore di WiFi per ospiti: checklist per la migrazione in strutture multi-sede.

Quali sono i costi e quali vantaggi si ottengono?

Quattro fattori determinano il costo: il numero di strutture, il piano, i componenti aggiuntivi ed eventuali carenze hardware. Purple offre tre piani: Connect, Capture ed Engage. Shield è un componente aggiuntivo per il filtraggio. Poiché Purple si integra al di sopra degli access point esistenti, la maggior parte del lavoro consiste nella configurazione piuttosto che nell'installazione.

Il sopralluogo hardware stabilisce il resto. Una struttura con una buona copertura di access point non richiede spese di capitale. Una struttura che si affida a ripetitori necessita di access point nelle stanze con segnale più debole.

Il ritorno sull'investimento si manifesta in tre aree:

  • Tempo del personale. I cambi di password condivise si azzerano. Immagini una struttura con 40 dispositivi di residenti e una modifica della password dopo ogni dimissione o partenza del personale. Riconfigurare ogni dispositivo richiede ore di lavoro per gli operatori sanitari, che iPSK e 802.1X eliminano.
  • Documentazione sulla tutela. È possibile mostrare a un ispettore una policy di filtraggio scritta per ciascuna rete, firmata dal responsabile della salvaguardia. È inoltre possibile mostrare chi ha effettuato l'accesso alla rete del personale e quando.
  • Benessere di residenti e famiglie. Un servizio WiFi affidabile per l'assistenza residenziale mantiene i residenti in contatto con i propri cari. I dati di accesso dei visitatori in WiFi Analytics mostrano quali strutture le famiglie visitano maggiormente e quando.

Purple è attivo in oltre 80.000 sedi in più di 90 Paesi e gestisce 500 milioni di utenti e accessi all'anno, secondo i dati interni di Purple. La piattaforma è certificata ISO 27001, GDPR, CCPA, Cyber Essentials e B Corp.

Domande frequenti

Purple può funzionare sugli access point già presenti nelle nostre case di cura?

Sì, Purple funziona come overlay cloud sui punti di accesso esistenti. I fornitori supportati includono Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. È possibile mantenere l'hardware esistente e aggiungere a questo le reti per residenti, visitatori e personale. Un sopralluogo potrebbe comunque evidenziare una copertura debole in alcune camere da letto. In tal caso, si aggiungono punti di accesso a tali stanze anziché sostituire l'intera rete.

In che modo i residenti mantengono connessi i propri dispositivi senza condividere una password?

Ogni residente riceve la propria chiave WiFi tramite iPSK, che inserisce tutti i suoi dispositivi su una rete privata. I familiari inseriscono la chiave una sola volta su qualsiasi tablet, smart speaker o TV. Nessun residente condivide mai una password con un altro e nessun vicino può vedere i suoi dispositivi. Quando un residente se ne va, è sufficiente revocare quell'unica chiave. I dispositivi di tutti gli altri residenti rimangono connessi senza alcuna modifica.

I filtri di protezione bloccheranno le videochiamate dei residenti con i familiari?

No, non quando il filtraggio è impostato per rete. Shield applica un criterio leggero alla rete dei residenti. Blocca contenuti illegali, malware e phishing, consentendo al contempo WhatsApp, FaceTime, Zoom e Microsoft Teams. Le reti di visitatori e personale adottano criteri più restrittivi. Nel caso in cui un residente necessiti di una protezione aggiuntiva, si registra una decisione nel suo miglior interesse ai sensi del Mental Capacity Act 2005. Successivamente, si applica la restrizione sul suo dispositivo personale.

Come vengono gestiti i dati di visitatori e residenti ai sensi del UK GDPR?

Purple è conforme al GDPR e possiede le certificazioni ISO 27001 e Cyber Essentials. I visitatori prestano il consenso tramite opzioni di consenso esplicito e consapevole, deselezionate per impostazione predefinita. Il contratto deve includere un accordo sul trattamento dei dati ai sensi dell'Articolo 28 del UK GDPR. È inoltre opportuno completare una DPIA, poiché i residenti sono adulti vulnerabili. Se si invia il DSPT NHS, richiedere a Purple le prove di certificazione necessarie.

Il personale interinale può utilizzare la rete del personale senza una password condivisa?

Sì, il personale interinale accede con un proprio account a tempo determinato da Microsoft Entra ID, Okta o Google Workspace. Il WiFi del personale esegue l'autenticazione tramite IEEE 802.1X e il cloud RADIUS di Purple. L'accesso termina alla scadenza o alla disattivazione dell'account. Nessuno deve cambiare una password o riconnettere altri dispositivi. È consigliabile integrare la creazione dell'account nel processo di prenotazione dell'agenzia, in modo che l'accesso sia pronto prima del primo turno.

Quanto tempo richiede l'implementazione in un gruppo di case di cura?

I tempi di implementazione dipendono principalmente dalla configurazione e dal sopralluogo hardware, non dall'installazione. Purple si integra sui punti di accesso esistenti, quindi le strutture con una buona copertura non necessitano di nuove apparecchiature. Si consiglia di iniziare con una struttura pilota ed eseguire il test di collaudo completo, incluse le videochiamate serali. Quindi, procedere all'implementazione a scaglioni di tre o quattro strutture. Indicare nel contratto una data precisa di messa in servizio per ogni sede.

Come si effettua il passaggio dall'attuale fornitore di WiFi per case di cura?

Il passaggio avviene sede per sede, eseguendo la vecchia e la nuova rete in parallelo durante ogni transizione. Inizi con un inventario di access point, nomi di rete e dispositivi dei residenti in ogni struttura. Rilasci le chiavi dei residenti prima del cutover, così che le famiglie possano riconnettere i dispositivi in un'unica visita. Trasferisca il personale a 802.1X, quindi dismetta le password condivise. La checklist di migrazione multi-sede di Purple definisce ogni fase in ordine.

Definizioni chiave

iPSK (chiave precondivisa per identità)

Una variante per singola identità della chiave precondivisa WPA2/WPA3-Personal definita nello standard IEEE 802.11, in cui ogni residente o tipologia di dispositivo riceve una passphrase dedicata. Alcuni fornitori la denominano PPSK (chiave precondivisa privata). La chiave mappa il dispositivo collegato a una specifica rete privata o VLAN.

Si incontra quando si collegano smart speaker, TV e tablet dei residenti che non possono completare l'autenticazione tramite pagina web. Consente di revocare la chiave di un singolo residente al momento della dimissione, senza dover riconfigurare i dispositivi di nessun altro.

Rete ad area privata (PAN - Private Area Network)

Il termine utilizzato da Purple per definire la bolla di rete privata creata attorno ai dispositivi di un residente mediante la rispettiva chiave iPSK. I dispositivi che condividono la chiave possono vedersi tra loro; i dispositivi associati alle chiavi di altri residenti non possono farlo.

Rappresenta il test di isolamento nella Sua checklist di collaudo: la chiave di un secondo residente non deve mai consentire di rilevare lo smart speaker del primo residente.

VLAN (rete locale virtuale)

Un segmento di rete logico definito dallo standard IEEE 802.1Q, che contrassegna i frame consentendo a una singola rete fisica di trasportare più reti separate. Il traffico non può transitare tra VLAN diverse in assenza di una regola che lo autorizzi.

Si collocano visitatori, personale e dispositivi clinici su VLAN distinte, in modo che una smart TV compromessa non abbia alcun percorso per raggiungere un'unità di chiamata infermieri.

Portale captive

Una pagina web che intercetta il traffico HTTP di una nuova connessione e richiede l'accesso o l'accettazione delle condizioni prima di concedere la connessione a Internet. Richiede un dispositivo dotato di browser.

Si utilizza per i visitatori tramite un codice QR alla reception, escludendo gli smart speaker e le TV dei residenti poiché non possono completare la procedura sulla pagina.

IEEE 802.1X

Lo standard IEEE per il controllo dell'accesso alla rete basato su porte. Gestisce gli scambi EAP (Extensible Authentication Protocol) tra il dispositivo, l'access point e un server di autenticazione, in modo che ciascun dispositivo dimostri la propria identità prima di connettersi.

Si implementa sulla rete del personale affinché i dipendenti della struttura e il personale interinale accedano con la propria identità aziendale, verificando quali dispositivi clinici lo supportino prima di optare per iPSK.

RADIUS

Remote Authentication Dial-In User Service, specificato in IETF RFC 2865. È il protocollo utilizzato dall'access point per inviare le credenziali 802.1X a un server di autenticazione, che le verifica rispetto all'identity provider.

Purple fornisce RADIUS su cloud, consentendo di non eseguire alcun server di autenticazione presso le singole strutture.

Nuovi assunti, trasferiti e dimissionari (JML)

Il processo di gestione del ciclo di vita degli account all'interno di un identity provider come Microsoft Entra ID, Okta o Google Workspace. L'accesso alla rete segue l'account: viene creato per i nuovi assunti (joiners), modificato per i cambi di ruolo (movers) e disabilitato per i dipendenti uscenti (leavers).

Sostituisce la password condivisa del personale, garantendo che un utente in uscita perda l'accesso WiFi nel momento stesso in cui il suo account viene disabilitato, senza dover riconfigurare le chiavi sui dispositivi.

Valutazione d'impatto sulla protezione dei dati (DPIA)

Una valutazione richiesta dall'Articolo 35 del UK GDPR qualora un trattamento possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche. Descrive il trattamento, ne valuta la necessità e il rischio e registra le misure di attenuazione adottate.

È necessario effettuarne una perché la registrazione degli ospiti raccoglie dati personali e i residenti sono spesso adulti vulnerabili; le certificazioni del fornitore, come ISO 27001, costituiscono parte integrante della documentazione di conformità.

Accordo sul trattamento dei dati (Articolo 28 del UK GDPR)

Il contratto richiesto dall'Articolo 28 del UK GDPR tra un titolare del trattamento e un responsabile del trattamento. Definisce la materia disciplinata, la durata, la natura e la finalità del trattamento, nonché gli obblighi di sicurezza e relativi ai sub-responsabili a carico del responsabile.

Il contratto stipulato con il fornitore WiFi della struttura di cura ne richiede uno, con l'indicazione specifica dell'ubicazione dei dati, poiché il fornitore tratta i dati di visitatori e residenti per Suo conto.

Legge sulla capacità mentale del 2005 (Mental Capacity Act 2005)

La legge di Inghilterra e Galles che presume la capacità di intendere e di volere delle persone maggiorenni salvo prova contraria, ed esige che le decisioni adottate per conto di una persona priva di tale capacità siano nel suo miglior interesse e costituiscano l'opzione meno restrittiva.

È il motivo per cui si evitano blocchi generalizzati sulla rete dei residenti, applicando invece restrizioni individuali sul singolo dispositivo dell'ospite, registrate come decisione presa nel suo miglior interesse.

Data Security and Protection Toolkit (DSPT) di NHS

L'autovalutazione online del NHS che le organizzazioni con accesso a sistemi e dati dei pazienti del NHS completano con cadenza annuale per dimostrare la conformità agli standard di sicurezza dei dati del National Data Guardian.

Se si compila il toolkit, occorre elencare i riscontri necessari da parte del proprio fornitore WiFi, come i certificati ISO 27001 e Cyber Essentials in corso di validità.

Elenco URL della Internet Watch Foundation (IWF)

Un elenco di indirizzi web che ospitano contenuti pedopornografici, gestito dalla Internet Watch Foundation e fornito ai provider di soluzioni di filtraggio a scopo di blocco.

In sede di gara, è opportuno richiedere a ciascun fornitore per iscritto se il proprio sistema di filtraggio blocchi questo elenco.

Esempi pratici

Una struttura di alloggi protetti gestita dal comune, dotata di 24 appartamenti e di una sala comune, utilizzava un'unica password per residenti, personale e visitatori. Quando un operatore socio-assistenziale si è dimesso, la struttura ha modificato la password: i tablet e gli smart speaker di tutti i residenti si sono disconnessi e quella sera tre residenti non hanno potuto effettuare le chiamate con i familiari. Come dovrebbe essere riprogettata l'infrastruttura?

La struttura ha trasferito i residenti su un WiFi multi-tenant WiFi con una chiave iPSK per ciascun appartamento, in modo che i dispositivi di ciascun ospite si trovino sulla propria rete privata. Il personale è passato a IEEE 802.1X rispetto ad Microsoft Entra ID, associando l'accesso al proprio account aziendale. I visitatori sono stati indirizzati a un portale captive con codice QR all'ingresso. Shield ha applicato criteri di filtraggio distinti per residenti, visitatori e dipendenti. Le password condivise sono scese da una, nota a tutti, a zero. Il successivo dipendente che ha lasciato la struttura ha perso l'accesso nel momento stesso in cui il suo account è stato disabilitato, senza che fosse necessario riconfigurare alcun dispositivo dei residenti. Ciascun inquilino ottiene ora il livello di separazione che si aspetterebbe nel proprio appartamento.

Una casa di cura con 70 posti letto gestisce una caffetteria per i familiari e organizza una festa estiva con circa 150 partecipanti. Alla reception era stata fornita ai visitatori la password del personale e, il giorno della festa, la rete ha subito rallentamenti mentre il personale di assistenza faticava ad aggiornare le cartelle cliniche digitali. Cosa dovrebbe modificare la struttura?

La struttura ha separato i visitatori indirizzandoli su un WiFi per ospiti WiFi, con codici QR alla reception, nella caffetteria e sulla segnaletica della festa. Ha limitato la larghezza di banda per sessione utente e ha applicato i criteri di Shield per gli spazi pubblici. Il personale è passato al proprio VLAN con 802.1X, mentre i dispositivi clinici sono stati spostati sul proprio VLAN con chiavi iPSK specifiche per dispositivo. La password del personale non è stata più divulgata ai visitatori. Il traffico generato dalla festa è rimasto sulla rete ospiti senza interferire con i dispositivi clinici, eliminando la congestione durante l'aggiornamento delle cartelle cliniche. La direzione della struttura consulta ora gli accessi mensili dei visitatori in WiFi Analytics e li utilizza per pianificare i turni del personale nelle giornate di maggiore affluenza.

Domande frequenti

Purple può funzionare sugli access point già presenti nelle nostre case di cura?

Sì, Purple funziona come overlay cloud sui Suoi access point esistenti. I fornitori supportati includono Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Mantiene il Suo hardware e aggiunge le reti per residenti, visitatori e personale. Un sopralluogo potrebbe comunque evidenziare una copertura debole in alcune stanze. In tal caso, si aggiungono access point in quelle stanze anziché sostituire l'intera rete.

In che modo i residenti mantengono connessi i propri dispositivi senza condividere la password?

Ogni residente riceve la propria chiave WiFi tramite iPSK, che inserisce tutti i suoi dispositivi su una rete privata. Le famiglie inseriscono la chiave una sola volta su qualsiasi tablet, smart speaker o TV. Nessun residente condivide mai la password con un altro e nessun vicino può vedere i suoi dispositivi. Quando un residente se ne va, è sufficiente revocare quella singola chiave. I dispositivi di tutti gli altri residenti rimangono connessi senza alcuna variazione.

I filtri di tutela bloccheranno le videochiamate dei residenti con le famiglie?

No, non quando il filtraggio è configurato per singola rete. Shield applica criteri leggeri alla rete dei residenti: blocca i contenuti illeciti, il malware e il phishing consentendo al contempo WhatsApp, FaceTime, Zoom e Microsoft Teams. Alle reti per visitatori e personale vengono applicati criteri più restrittivi. Nel caso in cui un residente necessiti di ulteriore protezione, si registra una decisione nel suo miglior interesse ai sensi del Mental Capacity Act 2005, applicando poi la restrizione direttamente sul suo dispositivo.

Come vengono gestiti i dati di visitatori e residenti ai sensi del UK GDPR?

Purple è conforme a GDPR e possiede le certificazioni ISO 27001 e Cyber Essentials. I visitatori rilasciano il consenso tramite opt-in consapevoli e deselezionati per impostazione predefinita. Il Suo contratto deve includere un accordo sul trattamento dei dati ai sensi dell'Articolo 28 del UK GDPR. È inoltre necessario completare una DPIA, in quanto i residenti sono adulti vulnerabili. Se trasmette il DSPT di NHS, richieda a Purple la documentazione di certificazione necessaria.

Il personale interinale può utilizzare la rete per il personale senza una password condivisa?

Sì, il personale interinale effettua l'accesso con un proprio account a tempo determinato da Microsoft Entra ID, Okta o Google Workspace. Il WiFi del personale esegue l'autenticazione tramite lo standard IEEE 802.1X e il RADIUS cloud di Purple. L'accesso termina alla scadenza o alla disattivazione dell'account. Nessuno deve modificare le password o riconnettere altri dispositivi. Integrando la creazione dell'account nel processo di prenotazione dell'agenzia, l'accesso sarà pronto prima del primo turno.

Quanto tempo richiede il rollout in un gruppo di case di cura?

La durata del rollout dipende principalmente dalla configurazione e dalla verifica dell'hardware, non dall'installazione. Purple si integra sugli access point esistenti, pertanto le strutture con una buona copertura non necessitano di nuovi apparati. Si consiglia di iniziare con una struttura pilota ed eseguire il collaudo completo, incluse le videochiamate serali, procedendo poi a scaglioni di tre o quattro strutture. Indichi nel Suo contratto una data precisa di messa in funzione per ciascuna sede.

Come si effettua il passaggio dall'attuale fornitore di WiFi per case di cura?

Il passaggio avviene sede per sede, affiancando la vecchia e la nuova rete durante ciascuna transizione. Inizi con un inventario di access point, nomi di rete e dispositivi dei residenti in ogni struttura. Rilasci le chiavi dei residenti prima del passaggio, affinché le famiglie possano riconnettere i dispositivi in una sola visita. Trasferisca il personale a 802.1X, quindi dismetta le password condivise. La checklist di migrazione multisito di Purple illustra ogni fase in ordine.

Continua a leggere questa serie

Fornitori di WiFi per residence: soggiorni brevi, soggiorni lunghi e dispositivi per le pulizie

Potrà stabilire su quale rete indirizzare ciascuna prenotazione del residence, da un soggiorno di piacere di due notti a un trasferimento aziendale di tre mesi. Potrà inoltre definire le modalità con cui un fornitore gestisce l'accesso per soggiorni brevi, le chiavi per appartamenti per soggiorni lunghi e una rete separata per i dispositivi per le pulizie sui Suoi access point esistenti, con chiavi gestite direttamente dal Suo PMS.

Leggi la guida →

Perché il WiFi per gli ospiti in stile hotel non funziona negli edifici residenziali

Sarai in grado di diagnosticare il motivo per cui i residenti nei blocchi BTR, negli alloggi per studenti e nei complessi residenziali (MDU) continuano a segnalare problemi di rete e di scegliere il modello di autenticazione ideale per risolverli. La risposta è una chiave iPSK per nucleo familiare sui tuoi access point esistenti, mantenendo una rete Captive Portal separata per i visitatori.

Leggi la guida →

Progettazione di reti WiFi per edifici per uffici multi-tenant

Questa guida fornisce a responsabili IT, architetti di rete e CTO un modello indipendente dal fornitore per la progettazione di reti WiFi scalabili, sicure e isolate in edifici per uffici multi-tenant. Copre la segmentazione VLAN in conformità a IEEE 802.1Q, l'assegnazione dinamica delle VLAN tramite 802.1X e RADIUS, la pianificazione RF per ambienti ad alta densità e le considerazioni di conformità ai sensi di GDPR e PCI DSS. Gli operatori delle strutture e i gestori degli edifici troveranno linee guida sull'architettura pratiche, casi di studio reali ed errori di configurazione da evitare prima della distribuzione.

Leggi la guida →

Hai domande sulla tua configurazione specifica?

Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.