Güvenlik
Güvenlik ve yetkilendirme
Kimin neye eriştiği, hangi olayların kaydedildiği ve dosyaların nasıl korunduğu. Her satırda durum ve bilinen sınırlar belirtilir.
Kimlik ve yetki
Giriş, oturum ve yetkilendirme
-
Giriş ve oturum güvenliği
ÇalışıyorParolalar bcrypt ile saklanır. Art arda hatalı girişler kademeli olarak sınırlanır. Oturumlar 30 dakika hareketsizlikte, en geç 8 saatte kapanır.
-
Modül ve işlem bazlı yetkilendirme
ÇalışıyorYetkiler modül ve işlem (görüntüleme, oluşturma, güncelleme, silme) bazında tanımlanır ve her istekte yeniden kontrol edilir. Doğrudan silme yalnızca Baş Yönetici'dedir; diğer kullanıcılar silme talebi açar.
Sınır: Eski yapıdan gelen yetki kuralları sürüyor; sahip, yönetici ve kullanıcı rollerine dayalı hedef model uygulanmadı.
-
Silme talebi ve geri dönüşüm kutusu
ÇalışıyorSilme işlemi talep ve onay akışından geçer. Silinen dokümanlar geri dönüşüm kutusundan geri alınabilir.
-
Kayıt sahibi denetimi
ÇalışıyorOlay bildirimi ve bildirimler gibi hassas kayıtlarda kaydın sahibi, modül yetkisinden ayrı olarak denetlenir.
Sınır: Yalnızca belirli kayıt türlerinde uygulanır.
İzlenebilirlik
Kayıt altına alınan olaylar
-
Güvenlik olay kaydı
ÇalışıyorGiriş, yetki değişikliği ve reddedilen erişim gibi güvenlik olayları kaydedilir. Kayıtları uygulama arayüzünden düzenleme veya silme seçeneği yoktur.
Sınır: Veritabanı düzeyinde değişmezlik ve saklama süresi tanımı yoktur; kayıtları yalnızca Baş Yönetici görüntüler.
-
Değişmez ve özetli denetim izi
Planlananİş kayıtlarında değişiklik geçmişi ve özetli (hash) denetim izi planlanmaktadır.
Sınır: Bugün iş kayıtlarında "önce / sonra" değer geçmişi tutulmaz.
Dosya ve tarayıcı
Yükleme, sunum ve veritabanı
-
Dosya yükleme güvenliği
ÇalışıyorYüklenen dosyalar tür ve boyut denetiminden geçer. Dosyalara yalnızca yetkili oturumla erişilir.
Sınır: Dosyaların web sunucusundan doğrudan okunmaması Apache yapılandırmasına bağlıdır; diğer sunucularda ek kural gerekir.
-
Tarayıcı güvenlik başlıkları
ÇalışıyorTemel tarayıcı güvenlik başlıkları gönderilir; oturum çerezi yalnızca sunucu tarafından okunur.
Sınır: İçerik güvenlik politikası şu an yalnızca izleme modundadır.
-
Veritabanı sorguları
ÇalışıyorVeritabanı sorguları hazırlanmış ifadelerle çalıştırılır.
Kurum ayrımı
Kurumlar arası yetki ve veri
Kurum yapısı pilot aşamadadır; kurumlar arası veri yalıtımı ve ileri yetki modeli planlanan kapsamdadır.
-
Kurum ve üyelik yapısı
PilotHer sağlık kuruluşu ayrı bir organizasyon ve ayrı bir lisans olarak ele alınır. Kurum bağlamı, oturum açan kullanıcının üyeliğinden sunucuda belirlenir; istemciden gelen kurum bilgisi kabul edilmez.
Sınır: Yalnızca yerel doğrulama ortamında; canlı çok kurumlu etkinleştirme yapılmadı.
-
Kurum kapsamlı yetki
PilotRol atamaları kurum kapsamındadır; bir kurumdaki yöneticilik başka kurumda yetki vermez.
-
Kurumlar arası veri yalıtımı
PlanlananPaylaşımlı, çok kurumlu hizmet henüz yayında değildir. Kurumlar arası veri yalıtımı tasarım ve sınama aşamasındadır.
Sınır: Önbellek, dosya depolama, günlük ve yedek katmanlarında kurum ayrımı henüz uygulanmadı.
-
İleri yetki modeli
PlanlananKayıt özelliğine ve ilişkisine dayalı yetki, süreli yetki devri ve iki aşamalı doğrulama planlanmaktadır.
Kapsam
Bu sayfanın sınırı
Bu sayfadaki ifadeler, uygulamanın mevcut kodu ve testleriyle doğrulanmış kontrolleri anlatır. Bağımsız bir güvenlik değerlendirmesi sonucu yayımlanmamıştır; bu nedenle sayfada genel bir güvenlik ya da mevzuat uyumu iddiası yer almaz. Güvenlik sorularınızı iletişim formundan iletebilirsiniz.
Güvenlik beklentilerinizi birlikte gözden geçirelim.
Kurumunuzun gereksinimlerini paylaşın; hangi kontrollerin bugün çalıştığını, hangilerinin planlandığını demoda gösterelim.