אבטחה ואמון

הצפנה בצד הלקוח כברירת מחדל. מסרים מוצפנים מקצה לקצה. מסירה לתחום הבריאות מגובה ב-BAA. שמירת יומני ביקורת למשך שש שנים. מסלולי פריסה בענן מנוהל, בשרתים שלכם ובניתוק מהרשת. אפס מידע בריאותי מוגן ביומני היישום, מתוך תכנון. כל מערכת בקטלוג נמסרת על אותו בסיס אבטחה שעליו פועלת Vavus AI, והדף הזה מתאר את הבסיס הזה. אנחנו מפרסמים את מה שאנחנו יכולים להראות; אם הבדיקה שלכם זקוקה למשהו שאינו מופיע כאן, בקשו ונענה תוך יום עסקים.

היסטוריה, מסמכים ואודיו שנשמרים מוצפנים במכשיר המשתמש עוד לפני האחסון, כאשר מפתח חשבון ראשי לכל משתמש, השמור במחסן המפתחות של המכשיר, עוטף מפתחות נפרדים לכל פריט. המסרים משתמשים בהצפנה מקצה לקצה מבוססת Signal Protocol, כך שמפעיל המערכת אינו יכול לקרוא את תוכן ההודעות. התעבורה מוגנת ב-TLS 1.2 ומעלה במאזן העומסים; נתונים היסטוריים השמורים בצד השרת מוצפנים ב-AES-256-GCM, לקריאה בלבד.

אנחנו לא מתיימרים שכל שלב הוא קופסה קסומה. דיבור חי חייב לעבור עיבוד קצר בזיכרון כדי שיזוהה, יתורגם וייאמר לפני שכללי האחסון חלים, ותכונה שהשרת חייב לחשב, כמו ספירת קולות בסקר קבוצתי, אינה יכולה להיות מוצפנת מקצה לקצה; בפריסות לתחום הבריאות תכונות כאלה מושבתות. כאשר משתמש נותן הסכמה מפורשת לפעולה בצד השרת על פריט בודד, ההסכמה נרשמת ונכללת ביומני הביקורת.

• הרשאות בעלים, מנהל, חבר וצופה, עם שליטה ברמת הצוות.
• כניסה יחידה מבוססת SAML 2.0 עם ספקי הזהות המרכזיים, לחשבונות ארגוניים.
• הגנה מפני ניחוש סיסמאות בכוח, עם השהיה מצטברת ונעילת חשבון.
• ביטול אסימונים ביציאה מהחשבון ובשינוי סיסמה; אסימוני הזרמה נפרדים להפעלות חיות.
• זיהוי פריצות לפי פעילות חריגה, שינויי מיקום וחריגות בכתובות רשת.
• חומת אש ליישומי אינטרנט עם הגבלת קצב וחסימת הזרקות, לפני כל פריסה מנוהלת.
• מחיקה מאובטחת, בדריסה לפני הסרה, לכל נכס שעשוי להכיל מידע בריאותי מוגן.

יומני הביקורת מתעדים אירועים המכילים מטא-נתונים בלבד: מי עשה מה, מתי ומאיזה מכשיר. הם לעולם אינם מכילים מידע בריאותי מוגן, תוכן הודעות או תוכן תרגום. הם נשמרים למשך שש שנים, ובפריסות ארגוניות ניתן לייצא אותם כקובץ מובנה או להזרים אותם למערכת ניטור אירועי אבטחה שבשליטת הלקוח.

התקשרויות בתחום הבריאות נכנסות לתהליך הקליטה תחת הסכם שותף עסקי חתום, וכל תהליך עבודה נבחן יחד איתכם — התאמה קלינית ומעקות בטיחות תפעוליים — עוד לפני שאירוע PHI אחד זורם במערכת. רמת האבטחה הנמסרת תואמת ל-HIPAA: תפוגת אסימון הפעלה לאחר 8 שעות, ניתוק לאחר 15 דקות של חוסר פעילות, מחיקה מאובטחת של נכסי PHI, אפס PHI ביומני היישום ושמירת יומני ביקורת למשך שש שנים.

שום דבר שאנחנו מספקים אינו מכשיר רפואי. פלט שנוגע בטיפול בחולה חייב להיבדק על ידי איש מקצוע קליני מוסמך, ואף מערכת שלנו אינה מחליפה מתורגמן רפואי מקצועי במקום שבו החוק הפדרלי או חוק המדינה מחייב זאת.

ייצוא נתונים מאומת ומסלול למחיקת חשבון הם חלק מכל מערכת שנמסרת. אנחנו לעולם לא מוכרים נתוני משתמשים ולעולם לא משתמשים בתוכן של לקוחות לאימון מודלים. מצב ההסכמה נשמר לכל משתמש, הסכמת העוגיות באתר היא ברמת פירוט גבוהה, ומעבדי המשנה שמאחורי פריסה מנוהלת מוגדרים כך שתוכן לא ייכנס לאימון מודלים, והם לעולם אינם מקבלים את זהות החשבון של המשתמש. רשימת מעבדי משנה נקובה בשמם ניתנת במסגרת הסכם עיבוד הנתונים.

The managed cloud runs across a primary United States region with European and Asian edges behind a global load balancer. Regional data residency is scoped in the quote. Most catalog entries can also be delivered on your own cloud or on-premise — each entry lists its delivery modes — and entries with no external provider dependency can run fully air-gapped, with the entire stack, AI included, inside your perimeter and nothing leaving your network.

שיחות התמיכה מתנהלות על תשתית שאנחנו עצמנו מארחים, כך שתמלילי התמיכה לעולם אינם נמסרים לספק חיצוני. זה משנה כששרשור תמיכה מכיל צילום מסך של נתוני מטופל.

לפי בקשה אנחנו מספקים את ערכת מסמכי האבטחה: תרשימי ארכיטקטורת ההצפנה, ניהול המפתחות, סכמת יומן הביקורת, טופולוגיות הפריסה, תבנית הסכם שותף עסקי ותבנית הסכם עיבוד נתונים. בקשת ערכת המסמכים. לתיאום בנושאי אבטחה, כתבו אל constantine@vavusai.com.