Letzte Überprüfung: 7 November 2026. Gilt für das Mobility UK Konto und die Lieferantenplattform.
Klare Sicherheitsvorkehrungen. Genaue Informationen.
Wir verwenden verschlüsselte AWS-Services und serverseitige Zugriffskontrollen, um Kontoinformationen und private Dateien zu schützen. Der NHS-Workspace befindet sich in der Entwicklung. Laden Sie keine identifizierbaren Patientenakten oder klinischen Dokumente hoch, bis Ihre Organisation den Verarbeitungsmodalitäten zugestimmt hat und der Arbeitsbereich für diese Nutzung zugelassen wurde.
Speicherung und Verschlüsselung
Kernkontodienste, Anwendungsdatensätze und private Uploads werden in der AWS-Region London (eu-west-2) konfiguriert. Anwendungsdatensätze verwenden Amazon DynamoDB mit AWS KMS-Verschlüsselung im Ruhezustand. Private Uploads verwenden Amazon S3 mit serverseitiger AES-256-Verschlüsselung. Anmelde- und API-Anfragen verwenden HTTPS.
Inhalte öffentlicher Websites können über ein globales Netzwerk zur Bereitstellung von Inhalten bereitgestellt werden. Eine Hosting-Region in London bedeutet nicht, dass jeder Dienst, jede E-Mail, jeder Support-Prozess oder jeder Unterauftragsverarbeiter nur im Vereinigten Königreich betrieben wird. In jeder NHS-Verarbeitungsvereinbarung müssen die jeweiligen Standorte, Unterauftragsverarbeiter und Sicherheitsvorkehrungen für die Übertragung festgelegt werden.
Private Dokumente
Der öffentliche Zugriff auf den Upload-Bucket ist gesperrt. Die Anwendung überprüft die Inhaberschaft, bevor sie einen Download-Link ausgibt. Links laufen derzeit nach zwei Minuten ab und sollten vertraulich behandelt werden, solange sie gültig sind. Upload-Berechtigungen laufen ebenfalls ab und beschränken die akzeptierten Inhaltstypen und die Dateigröße. Bei diesen Prüfungen wird nicht behauptet, dass die hochgeladenen Dateien den Malware-Scan bestanden haben.
Konten und Zugriff
Amazon Cognito verwaltet Passwörter, Kontobestätigungen per E-Mail und Passwortwiederherstellung. Passwörter müssen mindestens 12 Zeichen, Groß- und Kleinbuchstaben sowie eine Zahl enthalten. Die Anwendung validiert Zugriffstoken mit Cognito und überprüft den erwarteten Anwendungs- und Benutzerpool.
Persönliche Kontodatensätze und Uploads beziehen sich auf das angemeldete Konto. Für die Arbeitsbereiche von Lieferanten ist eine aktive autorisierte Mitgliedschaft oder eine autorisierte Mitarbeiter- oder Prüferrolle erforderlich. Mobility UK Wenn Sie bei der Registrierung einen Lieferanten- oder professionellen Kontotyp auswählen, erhalten Sie nicht automatisch Zugriff auf die Daten einer anderen Organisation.
NHS-Teams und separate Organisationen
Die NHS-Workspace-Implementierung überprüft die Organisationsmitgliedschaft auf dem Server. Ein Konto kann Mitglied in mehr als einem Workspace sein, wobei der Zugriff für jeden Workspace separat überprüft wird. Die Rollen unterscheiden Klinikteams, Genehmigungsberechtigte, Finanz- und Workspace-Administratoren. In den Antworten der Finanzabteilung und der Genehmigungsbehörde fehlen Schnappschüsse und Notizen zum klinischen Profil.
Der aktuelle Überblick über das klinische Umfeld erfolgt auf Workspace-Ebene. Der Zugriff ist auf individuell zugewiesene Fälle beschränkt, engere Supportberechtigungen und die vollständige NHS-Zugriffsmatrix erfordern eine weitere Validierung vor der klinischen Verwendung. Organisationsadministratoren müssen die Mitgliedschaften überprüfen und den Zugriff sperren, wenn sich die Zuständigkeiten ändern.
Patientenreferenzen und Mindestinformationen
Der Arbeitsablauf für NHS-Geräte verwendet lokale Patientenreferenzen, Geräteanforderungen, Größe und Gewicht. Benutzer werden aufgefordert, keine Patientennamen oder NHS-Nummern einzugeben. Freitextfelder dürfen keine unnötigen Identifikatoren oder klinische Aufzeichnungen enthalten.
Eine Referenz anonymisiert Informationen nicht automatisch. Informationen, die mit einer Person in Verbindung gebracht werden können, bleiben geschützte personenbezogene Daten. Der Trust sollte die Zuordnung des Patientenbezugs in seinem eigenen autorisierten System beibehalten und vereinbaren, welche Informationen für Angebote, Bereitstellung und Lieferung Mobility UK benötigt werden.
Schutz bei der Anmeldung
Die aktuelle Plattform verwendet die Passwortanmeldung. Bei der E-Mail-Überprüfung bei der Registrierung oder Passwortwiederherstellung handelt es sich nicht um eine Zwei-Faktor-Authentifizierung bei jeder Anmeldung. Die optionale Passkey-Anmeldung ist im NHS-Portal verfügbar, nachdem sie von einem angemeldeten Konto aus eingerichtet wurde. Die zweistufigen Aufforderungen per Authentifizierung oder E-Mail sind nach wie vor geplant.
Mithilfe von Passkeys kann ein unterstütztes Gerät den Fingerabdruck, die Gesichtserkennung oder die Bildschirmsperre verwenden, um die Anmeldung zu autorisieren. Mobility UK erhält einen öffentlichen Schlüssel, keine biometrischen Vorlagen. Die Passwortanmeldung ist weiterhin verfügbar.
Aktivitätsverlauf und Überwachung
Für Anmeldungen im NHS-Portal, Workspace-Ansichten und Datensatzänderungen werden separate, vom Server geschriebene Ereignisaufzeichnungen verwendet. Dies sind keine unabhängig zertifizierten unveränderlichen Protokolle. Ausgewählte Lieferanten- und Fallworkflows zeichnen den aktuellen Account, den Zeitstempel und eine Beschreibung der Änderungen auf. Technische Anwendungsprotokolle werden 30 Tage lang aufbewahrt. Bestehende Workflow-Historien sind kein vollständiger, unveränderlicher Prüfpfad für jede Anmeldung, Ansicht, jeden Download oder jede Aktion.
Umfassende Zugriffsprüfungen, geschützte Aufbewahrung von Audits, Warnmeldungen und unternehmensspezifische Auditberichte sind Teil der Vorbereitung durch den NHS. Eine vollständige Protokollierung wird erst dann geltend gemacht, wenn die Abdeckung und der Schutz überprüft wurden.
Aufbewahrung, Wiederherstellung und Löschung
Die Aufbewahrungsfristen müssen dem Zweck der einzelnen Aufzeichnungen, den vertraglichen Anforderungen und den geltenden gesetzlichen Verpflichtungen entsprechen. Ein vollständiger Zeitplan für Konten, Anfragen, Bestellungen, Uploads und Prüfungsprotokolle wird derzeit fertiggestellt. Kontaktieren Sie uns, um Zugriff, Korrektur oder Löschung zu beantragen. Anfragen werden anhand der geltenden Rechte und Aufbewahrungspflichten überprüft.
Für die Wiederherstellung von Backups, die Aufbewahrung von Dateiversionen und das Löschen von wiederherstellbaren Kopien sind vor der klinischen Verwendung durch NHS eine dokumentierte Richtlinie und Wiederherstellungstests erforderlich. Verschlüsselung allein beweist nicht, dass die Wiederherstellungsmaßnahmen den Anforderungen einer Organisation entsprechen.
Informationen für IT- und Datenteams des NHS
Bevor Sie eine patientenbezogene Verarbeitung ermöglichen, vereinbaren Sie die Verantwortlichkeiten für die Verarbeitung und den Verarbeiter, die Rechtsgrundlage und alle relevanten besonderen Bedingungen, die Verarbeitungsvereinbarung, den Datenfluss, die zugelassenen Unterauftragsverarbeiter, den Aufbewahrungszeitplan und das Verfahren zur Meldung von Vorfällen. Bei der Bewertung durch die Organisation sollten auch Zugriffskontrollen, unabhängige Sicherheitstests und alle erforderlichen Datenschutzfolgenabschätzungen berücksichtigt werden.
Auf dieser Seite wird weder eine NHS-Zulassung noch eine abgeschlossene Bewertung des Data Security and Protection Toolkits, eine ISO 27001-Zertifizierung oder eine Cyber Essentials-Zertifizierung geltend gemacht. Der geltende Versicherungsstatus und die entsprechenden Nachweise müssen nachgewiesen werden, bevor diese Ansprüche geltend gemacht werden.
Ansprechpartner für Datenschutz und Sicherheit
Mobility UK wird von The Mobility Organisation Limited betrieben. Kontakt hello@mobility.org.uk für Datenschutzfragen, Sicherheitsbedenken oder eine NHS-Versicherungsanfrage. Geben Sie in einer ersten E-Mail keine Passwörter, Authentifizierungscodes oder Patientendaten an.
Lesen Sie unsere Informationen zum Datenschutz für Informationen zur Erfassung und Verwendung. Sie können sich auch an die wenden Büro des Informationskommissars.