Hasta gizliliği ve veri güvenliği.

1Yerel kurulumda veriler kurumunuzdan çıkmaz

Yerel kurulumda program internete ihtiyaç duymaz. Kurumunuzdaki bir bilgisayar sunucu olur ve tüm kayıtlar onda saklanır. Hemşire istasyonları ve tabletler bu bilgisayara kurumunuzun kendi yerel ağı (kablo veya Wi-Fi) üzerinden bağlanır.

• Hasta adları, ilaçlar, dozlar ve stok bilgileri başka bir sunucuya gönderilmez.
• İnternet bağlantısı kesildiğinde program çalışmaya devam eder.
• Verilerin fiziksel olarak nerede durduğunu siz bilirsiniz: kendi bilgisayarınızda.

2Şifreli veritabanı

Veritabanı diske AES-256-GCM ile şifrelenmiş olarak yazılır. Şifre anahtarı Windows’un kendi koruma mekanizmasıyla (DPAPI) saklanır. Veri dosyası bir USB belleğe kopyalansa veya bilgisayar çalınsa bile, anahtar olmadan içeriği okunamaz.

3Kimlik doğrulama

• Kişiye özel hesaplar: Her hemşire ve yönetici kendi kullanıcı adıyla giriş yapar; ortak şifre kullanılmaz.
• Güvenli şifre saklama: Şifreler düz metin olarak değil, geri çözülemeyen scrypt özeti olarak saklanır.
• İlk girişte şifre değişimi: Yönetici tarafından açılan hesaplar, ilk girişte kendi şifresini belirlemek zorundadır.
• İki adımlı doğrulama: Authy, Google Authenticator veya Microsoft Authenticator ile girişte telefondaki 6 haneli kod istenir. Yöneticilerde varsayılan olarak açıktır; hemşireler için kurum tercih eder. İnternet gerektirmez.
• Hatalı giriş kilidi: 5 hatalı denemeden sonra hesap 5 dakika kilitlenir.
• Otomatik kilit: Ortak kullanılan istasyonlarda belirli süre işlem yapılmazsa oturum kendiliğinden kapanır.

4Yetkilendirme: herkes yalnızca işine gerekeni görür

Programda iki rol vardır. Hemşireler ilaç verme, stok ve reçete işlemlerini yapar. Yöneticiler bunlara ek olarak kullanıcıları, ayarları, yedekleri ve işlem kaydını yönetir. Pasif hale getirilen kullanıcının açık oturumları anında kapanır.

5Mühürlü işlem kaydı

Giriş ve hatalı giriş denemeleri, ilaç verme ve geri alma, stok hareketleri, hasta ve ilaç değişiklikleri, kullanıcı ve ayar işlemleri tarih, saat ve kullanıcı bilgisiyle kaydedilir. Bu kayıtlar program arayüzünden silinemez ve değiştirilemez; yönetici dilediği zaman filtreleyerek inceleyebilir. Her kayıt bir öncekine kriptografik olarak bağlıdır ve zincirin ucu her gün veritabanı dışına mühürlenir: kayıtlar programın dışından değiştirilir veya silinirse doğrulama bunu gösterir. Yedekten geri yükleme gibi geçmişi değiştiren işlemler de kalıcı iz bırakır.

Hemşire kendi hatalı ilaç verme kaydını 24 saat içinde geri alabilir. Geri alınan doz çizelgeden kalkar ve stoğa döner, ama ilk kayıt yok olmaz: işlem kaydında hem ilk kayıt hem geri alma ayrı ayrı görünür.

6Ağ içi iletişim de şifreli

Hemşire istasyonları ile sunucu arasındaki tüm trafik TLS (HTTPS) ile şifrelenir. İstasyon sunucuya ilk bağlandığında sunucunun güvenlik kodunu doğrular ve kaydeder; ağa sonradan sunucu gibi davranan başka bir cihaz bağlanırsa istasyon bağlanmayı reddeder.

7Şifreli ve otomatik yedekleme

• Sunucu her gün otomatik yedek alır ve son 30 yedeği saklar (sayı ayarlanabilir).
• Yedekler isteğe bağlı olarak USB belleğe veya ikinci bir diske de kopyalanır.
• Yedek dosyaları da şifrelidir. Kurulumda belirlenen kurtarma parolası olmadan başka bir bilgisayarda açılamaz.
• Sunucu bilgisayar bozulursa, yedek dosyası kurtarma parolasıyla yeni bilgisayara yüklenir ve kaldığınız yerden devam edersiniz.

8Bulut kurulumu seçen kurumlar için

Sürekli açık bir bilgisayarı olmayan kurumlar için isteğe bağlı bulut kurulumu sunulur. Bulutta her kurumun verisi kendine ait ayrı bir veritabanında tutulur; bir kurumun kullanıcısı başka bir kurumun verisine yapısal olarak erişemez. Bağlantılar HTTPS ile şifrelidir, yöneticiler için iki adımlı doğrulama zorunludur ve son 30 gün içindeki herhangi bir ana geri dönülebilir.

Bulut kurulumunda veriler yurt dışındaki veri merkezlerinde saklanabilir. Sağlık verisinin yurt dışına aktarımı KVKK kapsamında ek yükümlülükler doğurur. Bu konuda hassas olan kurumlara yerel kurulumu öneriyoruz.

9KVKK ve kurumunuzun sorumluluğu

6698 sayılı Kişisel Verilerin Korunması Kanunu’na göre sağlık verileri özel nitelikli kişisel veridir ve veri sorumlusu olan kurumun bu verileri korumak için uygun teknik ve idari tedbirleri alması gerekir. Şafak İlaç Takip, bu tedbirlerin teknik tarafını destekleyecek şekilde tasarlanmıştır:

• Erişimin kişiye özel hesaplar ve rollerle sınırlandırılması
• Verilerin saklandığı ortamda ve iletim sırasında şifrelenmesi
• Erişimlerin ve işlemlerin kayıt altına alınması
• Düzenli ve şifreli yedekleme
• Verinin kurum dışına çıkmadığı yerel çalışma seçeneği

Bir yazılım tek başına bir kurumu “KVKK uyumlu” yapmaz. Aydınlatma metinleri, açık rıza süreçleri, personel eğitimi ve kurum içi politikalar veri sorumlusunun yükümlülüğündedir. Şafak İlaç Takip bu sürecin teknik tarafında size yardımcı olur.

?Sorularınız mı var?

Güvenlik ve gizlilik konusundaki sorularınızı Sık Sorulan Sorular sayfasında bulabilir veya bizimle iletişime geçebilirsiniz.