אבטחה והגנה על נתונים

נבדק לאחרונה: 7 בנובמבר 2026. חל על פלטפורמת הח Mobility UK שבון והספק.

אחסון והצפנה

שירותי חשבון ליבה, רשומות יישומים והעלאות פרטיות מוגדרים באזור AWS לונדון (eu-west-2). רשומות יישומים משתמשות ב- Amazon DynamoDB עם הצפנת AWS KMS במנוחה. העלאות פרטיות משתמשות ב- Amazon S3 עם הצפנה בצד השרת AES-256 בקשות כניסה וממשק API משתמשות ב- HTTPS.

תוכן אתר ציבורי עשוי להימסר באמצעות רשת אספקת תוכן גלובלית. אזור אירוח בלונדון לא אומר שכל שירות, דוא"ל, תהליך תמיכה או מעבד משנה פועל רק בבריטניה. כל הסכם עיבוד NHS חייב לציין מיקומים רלוונטיים, מעבדי משנה ואמצעי הגנה להעברה.

מסמכים פרטיים

הגישה הציבורית לדלי ההעלאה חסומה. היישום בודק בעלות לפני הנפקת קישור להורדה. קישורים יפוגו כעת לאחר שתי דקות ויש להתייחס אליהם כאל סודיים בזמן שהם תקפים. הרשאות ההעלאה פוגות גם הן ומגבילות את סוגי התוכן המקובלים ואת גודל הקובץ. בדיקות אלה אינן טענה כי קבצים שהועלו עברו סריקה של תוכנות זדוניות.

חשבונות וגישה

אמזון קוגניטו מנהלת סיסמאות, אימות דוא"ל חשבון ושחזור סיסמאות. הסיסמאות חייבות להכיל לפחות 12 תווים, אותיות גדולות וקטנות ומספר. היישום מאמת אסימוני גישה באמצעות Cognito ובודק את היישום ואת מאגר המשתמשים הצפויים.

הרשומות והעלאות החשבון האישי מוגדרות לחשבון שנכנס אליו. סביבות עבודה של ספקים דורשות חברות מורשית פעילה או תפקיד Mobility UK צוות מורשה או סוקר. בחירת ספק או סוג חשבון מקצועי במהלך ההרשמה אינה מעניקה בפני עצמה גישה לרשומות של ארגון אחר.

צוותי NHS וארגונים נפרדים

יישום סביבת העבודה של NHS בודק חברות בארגון בשרת. לחשבון אחד יכולה להיות חברות ביותר מסביבת עבודה אחת, כאשר הגישה נבדקת בנפרד עבור כל אחד מהם. תפקידים מבחינים בין צוותים קליניים, מאשרים, כספים ומנהלי סביבת עבודה. תגובות הכספים והמאשר משמיטות תמונות והערות של פרופיל קליני.

הנראות הקלינית הנוכחית היא ברמת סביבת העבודה. הגישה מוגבלת למקרים שהוקצו בנפרד, הרשאות תמיכה צרות יותר ומטריצת הגישה המלאה של NHS דורשות אימות נוסף לפני השימוש הקליני. על מנהלי הארגון לבדוק את החברות ולהסיר גישה כאשר האחריות משתנה.

הפניות למטופלים ומידע מינימלי

זרימת העבודה של ציוד NHS משתמשת בהפניות מקומיות למטופלים, דרישות ציוד, גובה ומשקל. הוא מבקש מהמשתמשים לא להכניס שמות מטופלים או מספרי NHS. שדות טקסט חופשי אינם חייבים להכיל מזהים מיותרים או רשומות קליניות.

הפניה אינה הופכת מידע באופן אוטומטי לאנונימי. מידע שניתן לקשר בחזרה לאדם נשאר מידע אישי מוגן. על הנאמנות לשמור על מיפוי ההפניה למטופל במערכת המורשית שלו ולהסכים איזה מידע Mobility UK צריך להצעות מחיר, אספקה ומסירה.

הגנת כניסה

הפלטפורמה הנוכחית משתמשת בכניסה לסיסמה. אימות דוא"ל במהלך רישום או שחזור סיסמה אינו אימות דו-גורמי בכל כניסה. כניסה אופציונלית למפתח גישה זמינה בפורטל NHS לאחר ההתקנה מחשבון מחובר. הנחיות נפרדות של אימות או דוא"ל דו-גורמי נותרו שיפורים מתוכננים.

מקשי סיסמה מאפשרים למכשיר נתמך להשתמש בטביעת אצבע, זיהוי פנים או נעילת המסך שלו כדי לאשר כניסה. Mobility UK מקבל אישור מפתח ציבורי, לא תבניות ביומטריות. כניסה לסיסמה נשארת זמינה.

היסטוריית פעילות ומעקב

כניסות פורטל NHS, תצוגות סביבת עבודה ושינויי רשומות כוללות רשומות אירועים נפרדות שנכתבו על ידי השרת. אלה אינם יומנים בלתי ניתנים לשינוי מאושרים באופן עצמאי. תהליכי עבודה נבחרים של ספק ותיק רושמים את חשבון הפעולה, חותמת הזמן ותיאור השינויים. יומני יישומים טכניים נשמרים למשך 30 יום. היסטוריית זרימת העבודה הקיימת אינה מסלול ביקורת שלם ובלתי ניתן לשינוי של כל כניסה, תצוגה, הורדה או פעולה.

ביקורת גישה מקיפה, שמירת ביקורת מוגנת, התראות ודוחות ביקורת בהיקף הארגון מהווים חלק מעבודת המוכנות של NHS. אנו נטען לרישום מלא רק לאחר אימות הכיסוי וההגנה.

שמירה, התאוששות ומחיקה

תקופות השמירה חייבות לשקף את מטרת כל רשומה, דרישות חוזיות והתחייבויות משפטיות רלוונטיות. לוח זמנים מלא לחשבונות, פניות, הזמנות, העלאות ורישומי ביקורת נמצא בסיום. צור איתנו קשר כדי לבקש גישה, תיקון או מחיקה; הבקשות נבדקות כנגד זכויות וחובות שמירה רלוונטיות.

שחזור גיבוי, שמירה על גרסת קבצים ומחיקה מעותקים הניתנים לשחזור דורשים מדיניות מתועדת ובדיקת שחזור לפני השימוש הקליני של NHS. הצפנה לבדה אינה מוכיחה שהסדרי השחזור עומדים בדרישות הארגון.

מידע לצוותי IT ונתונים של NHS

לפני הפעלת עיבוד הקשור למטופל, הסכים לאחריות הבקר והמעבד, הבסיס החוקי וכל תנאי רלוונטי בקטגוריה מיוחדת, הסכם עיבוד, זרימת נתונים, מעבדי משנה מאושרים, לוח הזמנים לשמירה ותהליך הודעה על אירועים. הערכת הארגון צריכה להתייחס גם לבקרות גישה, בדיקות אבטחה עצמאיות וכל הערכת השפעה נדרשת על הגנת נתונים.

דף זה אינו טוען לאישור NHS, הערכה מלאה של ערכת כלים לאבטחת נתונים והגנה, הסמכת ISO 27001 או הסמכת Cyber Essentials. יש לקבוע מצב ביטחון רלוונטי וראיות תומכות לפני הגשת טענות אלה.

יצירת קשר להגנה על נתונים ואבטחת מידע

Mobility UK מופעל על ידי ארגון הניידות בע"מ. צור קשר hello@mobility.org.uk לשאלות הגנת נתונים, חששות אבטחה או חקירת אבטחת NHS. אל תכלול סיסמאות, קודי אימות או רישומי מטופלים בדוא"ל ראשוני.

קרא את שלנו מידע על פרטיות לקבלת מידע על איסוף ושימוש. ניתן גם ליצור קשר עם משרד נציב המידע.