המטרה
המידע במערכת הוא לוח הזמנים של הצוות שלכם. בנינו את המערכת כך שהמידע יוצג לכל משתמש לפי ההרשאות שלו, ושגם מי שמנסה לעקוף את המסך לא יקבל מהשרת מידע שלא מיועד לו. בדף הזה מתוארים האמצעים העיקריים, בשפה פשוטה.
1 הפרדה בין שפ"חים ובין משתמשים
- כל שפ"ח הוא יחידה נפרדת עם נתונים משלו. אין אפשרות לראות נתונים של שפ"ח אחר.
- ההרשאות נבדקות בשרת ולא רק במסך. גם אם מישהו ישנה את הדף בדפדפן, השרת לא ישמור פעולה שאינה מותרת לו.
- מידע שאינו מיועד למשתמש כלל אינו נשלח אליו מהשרת. למשל, הנושא וההערות של פגישה שלא הוזמן אליה, ותוכן פעילות אישית של איש צוות אחר. החריג היחיד הוא גישת המפעיל לצורך תמיכה, כמפורט בסעיף 4.
2 התחברות וסיסמאות
- כל הזמנה למערכת ואיפוס סיסמה נעשים בקישור אישי וחד פעמי שנשלח במייל, עם תוקף מוגבל.
- הסיסמאות אינן נשמרות כפי שהן. נשמר רק גיבוב חד כיווני, עם "מלח" ייחודי לכל משתמש ועם מפתח סודי שנשמר בנפרד ממסד הנתונים.
- מספר ניסיונות הכניסה מוגבל, לפי משתמש ולפי כתובת, כדי למנוע ניחוש סיסמאות. מוני הניסיונות נמחקים אחרי יום.
- הודעת שגיאה בכניסה אינה מגלה אם חשבון קיים.
- ההתחברות נשמרת בעוגייה מוגנת שקוד בדף אינו יכול לקרוא, ונשלחת רק לאתר עצמו.
3 תקשורת ותשתית
- כל התקשורת מוצפנת (HTTPS), והאתר מוגש דרך Cloudflare, שמגנה גם מפני התקפות עומס.
- האתר מגדיר מדיניות אבטחה בדפדפן (Content Security Policy) שמונעת טעינת קוד מאתרים זרים והטמעת האתר בדפים אחרים.
- מסד הנתונים נמצא בשירות הענן של Google, והגישה אליו אפשרית רק דרך השרת של המערכת.
4 תיעוד וגישת תמיכה
- כל כניסה מוצלחת למערכת נרשמת ביומן הכניסות, שנשמר 90 יום.
- גישת המפעיל לשפ"ח לצורך תמיכה נעשית מחשבון נפרד, מסומנת בבירור ונרשמת. בגישה זו המפעיל רואה את כל נתוני השפ"ח.
- חשבון ניהול המערכת מתנתק ביציאה, בסגירת הדפדפן, ואחרי חצי שעה ללא פעילות.
5 מזעור מידע
- המערכת מיועדת לתיאום בלבד ואוסרת הזנת מידע על תלמידים ומטופלים.
- מידע שנמחק נמחק בפועל. הזמנות שפג תוקפן ויומני כניסה ישנים נמחקים אוטומטית.
- אין כלי אנליטיקה, אין עוגיות פרסום ואין מעקב אחרי משתמשים. גם הגופן מתארח באתר עצמו ולא נטען משירות חיצוני.
6 מה אתם יכולים לעשות
- לבחור סיסמה חזקה שאינה משמשת באתר אחר.
- לא לשתף את פרטי הכניסה.
- להתנתק ממחשב משותף.
- לא להזין למערכת מידע על תלמידים, מטופלים או הוריהם.
- לדווח לנו מיד על כל חשד: tmicha360@clinikaplus.com
7 לארגונים ולרשויות
נשמח לספק לגורמי מחשוב ואבטחת מידע ברשות מידע נוסף, מענה לשאלוני אבטחה, והסכם עיבוד מידע. פנייה: tmicha360@clinikaplus.com