مركز الثقة

تقع خوادم التطبيق الرئيسية وقواعد البيانات وتخزين الكائنات والنسخ الاحتياطية الخاصة بالنشر في داخل المنطقة. تصف السجلات الإدارية المناطق وموافقات التغيير، ويثبّت النشر التقني الموارد في المشروع الإقليمي.

تستخدم نقاط الدخول العامة إصدارات حديثة من TLS. وتستخدم الحركة المتجهة إلى مزوّدي التعرّف على الكلام ونماذج الذكاء الاصطناعي بروتوكول TLS إلى نقاط النهاية المهيّأة لكل مزوّد. وهذا ضابط تقني يُتحقق منه في مراجعات البنية وإعدادات النشر.

تستخدم قواعد البيانات وتخزين الكائنات وكائنات النسخ الاحتياطي خوارزميات معيارية في القطاع (مثل AES-256-GCM)، بمفاتيح تُدار وفق سياسة التشفير لدينا. وتضيف النسخ الاحتياطية عبر WAL-G تشفيرًا من جهة العميل قبل التخزين خارج الموقع.

تقف طبقة حافة مُدارة أمام أسماء المضيفين العامة، فتمتص الهجمات الحجمية وتطبق قواعد WAF للتصدي لأشكال إساءة الاستخدام الشائعة على الويب. وتبقى الحمايات على مستوى المزوّد وإعدادات جدار الحماية المحكمة قائمة خلف الحافة.

كشف متعدد الطبقات: توفّر منصة الاستضافة نظام كشف التسلل (IDS) على مستوى الشبكة، بينما يشغّل كل خادم افتراضي fail2ban (لمنع هجمات التخمين على SSH)، و UFW برفض افتراضي، وتحديثات أمنية تلقائية. وتُرسل أحداث المصادقة والوصول من وكيل المصادقة إلى منظومة مركزية من Loki و Grafana، فتظهر أنماط تسجيل الدخول غير الاعتيادية في لوحات المعلومات والتنبيهات. وتحدد السياسات المسؤول عن الفرز عند إطلاق التنبيهات. ويُعدّ نظام كشف التسلل أثناء التشغيل على مستوى النواة للحاويات تحسينًا مخططًا فوق هذا الأساس.

يصادق الممارسون الصحيون على هوياتهم عبر مزوّد هوية مُدار (تدفقات بأسلوب OIDC/OAuth)؛ ويتحقق كل مسار في واجهة API من الهوية. وتتوافق مدة الجلسة وسلوك قفل الحساب مع سياسة التحكم في الوصول لدينا.

تُفصل صلاحيات الممارس الصحي والمريض والمسؤول في نموذج البيانات وطبقة GraphQL، بحيث يكون مبدأ الحد الأدنى من الصلاحيات هو الوضع الافتراضي. وتُوثَّق تعريفات الأدوار ووتيرة مراجعتها إداريًا.

تُفرض المصادقة متعددة العوامل إلزاميًا، عبر مزوّد الهوية لدينا، على الحسابات التي يمكنها تغيير الإعدادات الحساسة أمنيًا أو الوصول إلى بيانات عالية المخاطر.

تمر التغييرات عبر نظام التحكم في المصدر والمراجعة والاعتماديات مثبّتة الإصدار. ويُنظر في الأثر الأمني للميزات الجوهرية كبوابة إدارية؛ وتدعم الأدوات التقنية (Dependabot وغيرها) السلامة المستمرة للشيفرة.

يحمل كل إصدار جردًا للاعتماديات قابلًا للقراءة آليًا، للاستجابة للثغرات. وتصدير SBOM مدمج في التكامل المستمر (CI) ضمن برنامجنا لضمان سلسلة الإمداد.

تخضع المواد الصوتية والتفريغات النصية افتراضيًا لفترة احتفاظ قصيرة مع حذف آلي؛ وتتبع الملاحظات السريرية سياسة الاحتفاظ لدى كل مؤسسة. وبعد التكامل مع نظام سجلاتكم، يبقى السجل السريري المرجعي ملكًا لكم.

تُسجَّل عمليات الحذف الناتجة عن سياسة الاحتفاظ في deletion_log، وهو جدول Postgres للإضافة فقط، لا يمنح أي دور صلاحيات UPDATE أو DELETE. ويرتبط كل صف بالصف السابق عبر سلسلة تجزئة SHA-256 (row_hash = sha256(prev_hash ‖ canonical(metadata)))، لذا فإن تعديل أي صف سابق أو حذفه يكسر كل التجزئات اللاحقة، ويكشفه المُتحقِّق داخل قاعدة البيانات hanah_verify_deletion_chain(). والجداول التدقيقية المرافقة (ai_audit و secret_access_audit) للإضافة فقط أيضًا. وتُنتَج الملخصات الفصلية الموجّهة للعملاء عبر hanah_deletion_report_quarter(year, quarter).

يمكن للأفراد طلب الوصول إلى معلوماتهم الشخصية أو تصحيحها؛ وتوثّق Hanah المُهل الزمنية والصيغ (JSON إضافة إلى نسخ مُصدَّرة سهلة القراءة) ومسارات التصعيد. وتدعم الأدوات التصدير حيث تكون البيانات في أنظمة Hanah.

الأحداث ذات الصلة بالأمان (المصادقة، واستخدام الصلاحيات، وتغييرات الإعدادات) قابلة للاستعلام للعملاء المؤسسيين، ويمكن تحويلها إلى نظام SIEM لديكم (مثل Microsoft Sentinel) حيث يُتفق على ذلك تعاقديًا. وتُهيّأ لكل عميل على حدة.

تحظر شروط مزوّدي التعرّف على الكلام ونماذج الذكاء الاصطناعي لدينا التدريب على محتوى العملاء، وتُرسل الطلبات مع إيقاف التخزين لدى المزوّد حيثما يتيح المزوّد ذلك. ولا تُشغّل Hanah أي مسار تدريب داخلي على بياناتكم الصحية. وتدعم مراجعات المورّدين الإدارية هذا الادعاء.

تتطلب الملاحظات المُنشأة مراجعة صريحة من الممارس الصحي واعتمادها قبل أن تُعامل كجزء من السجل السريري. وهذا ضابط في المنتج (بوابات في سير العمل) والتزام في تقييم الأثر على الخصوصية (PIA) معًا.

منظومة اختبار واحدة وطبقتا تقييم، تعملان في كل جولة تقييم: معدل خطأ الكلمات مقابل تفريغات نصية حرفية من المرجع الصحيح (الطبقة A)، ولجنة تحكيم من النماذج اللغوية تقيس كلًّا من التغطية (هل تتضمن الملاحظة كل توقّع مُسجَّل مسبقًا؟) والهلوسة (هل تحتوي الملاحظة على ادعاءات لا يدعمها التفريغ النصي، أي محتوى اختلقه النموذج؟). المنهجية الكاملة منشورة، والنتائج المباشرة تُعرض مباشرة من المخرجات المجمّعة لمنظومة الاختبار. وتواصل مجموعة التسجيلات المرجعية تطورها من v1 (اصطناعية) إلى v2 (تمثيل أدوار) إلى v3 (حقيقية بموافقة المشاركين) إلى v4 (بالشراكة مع أنظمة صحية).

يتحكم الخادم في تعليمات النظام، وتقتصر المدخلات على سير العمل السريري (لا توجد واجهة دردشة حرة). وتعمل مصنِّفات السلامة لدى المزوّد على كل عملية إنشاء؛ وعند تفعيلها، يُظهر البث سبب إنهاء بفعل مرشّح المحتوى، يُسجَّل في صف ai_audit الخاص بكل استدعاء إلى جانب رمز خطأ معياري ai.content_policy، وزمن الاستجابة، وعدد الرموز (tokens)، ومعرّف تتبع Tempo. وتظهر الأنماط غير الاعتيادية في لوحات معلومات مبنية على جدول التدقيق هذا. ويُعدّ كشف الشذوذ السلوكي عبر الاستدعاءات لرصد أنماط إساءة الاستخدام تحسينًا مخططًا فوق هذا الأساس.

عندما يضغط الممارس الصحي زر التسجيل، يفتح المنتج نافذة موافقة تتطلب تأكيدًا صريحًا بأن الموافقة قد أُخذت من المريض ومن أي مشاركين آخرين في الجلسة. ولا يمكن بدء التسجيل حتى يُقَرّ بهذا التحقق، ويُربط التأكيد بالمقابلة السريرية إلى جانب سياسة العيادة المشار إليها في تقييم الأثر على الخصوصية.

يتولى مسؤول تنفيذي محدد بالاسم المساءلة عن أمن المعلومات؛ وتُسجَّل المخاطر مع أصحابها وتواريخها المستهدفة، وتُراجع وفق وتيرة ثابتة. وهذا يطابق ما يتوقعه المشترون عادة من نظام إدارة على غرار ISO، حتى بحجمنا الحالي.

تغطي السياسات الرسمية الوصول، والتشفير، والاستجابة للحوادث، والمورّدين، وإدارة التغيير. والحزمة معتمدة من مجلس الإدارة ومحفوظة تحت نظام التحكم في الإصدارات؛ ويتاح محتواها الكامل بموجب اتفاقية عدم إفصاح (NDA).

تُحوَّل أحداث الأمان من الأنظمة التي تتحكم بها Hanah إلى مساحة عمل Sentinel لديكم (أو ما يعادلها) للمراقبة المشتركة حيث يُتفق على ذلك تعاقديًا. وتُهيّأ لكل عميل مؤسسي على حدة.