Канфідэнцыяльнасць, бяспека і маштабаванасць з'яўляюцца асновай відэазванкоў. У гэтым дакуменце тлумачыцца, як відэакансультацыі робяць бяспечнымі і прыватнымі ў вялікіх маштабах.

Відэазванок заснаваны на 4 важных канцэпцыях:

• Канфідэнцыяльнасць — вызначае абавязак правільна збіраць, выкарыстоўваць, раскрываць і захоўваць асабістую інфармацыю ў адпаведнасці з Законам Садружнасці аб прыватнасці 1988 года і Аўстралійскімі прынцыпамі прыватнасці.
• Бяспека — відэазванкі абаронены ад несанкцыянаванага доступу і выкарыстання, а дадзеныя надзейныя, дакладныя і даступныя для выкарыстання.
• Суверэнітэт дадзеных — інфармацыя пра пацыентаў не павінна перадавацца за мяжу, як таго патрабуюць аўстралійскія правілы прыватнасці
• Маштабаванасць – відэазванкі як нацыянальная магчымасць маюць архітэктурную маштабаванасць для апрацоўкі вялікіх аб'ёмаў відэакансультацый без неабходнасці наладжвання традыцыйнай інфраструктуры відэаканферэнцый.

Гэтыя чатыры канцэпцыі з'яўляюцца фундаментальнымі для распрацоўкі відэазванкоў. Яго сеткавая архітэктура ахоплена працэсамі забеспячэння праектавання, якія гарантуюць, што новыя функцыі і магчымасці будуць адпавядаць неабходным стандартам.

Кароткі змест

Відэазванок пабудаваны на тэхналогіі Web Real-Time Communications (WebRTC). Убудаваная бяспека WebRTC выкарыстоўвае цалкам зашыфраваныя злучэнні .

Відэазванок быў распрацаваны як цэласная экасістэма тэлемедыцыны, якая складаецца з сервераў і праграм, што працуюць з выкарыстаннем тэхналогіі WebRTC.

Відэазванок healthdirect адпавядае дзеючаму кібербяспечнаму рэкамендацыям Кіраўніцтва па інфармацыйнай бяспецы ўрада Аўстраліі (ISM) Essential Eight і Закону аб партатыўнасці і падсправаздачнасці медыцынскага страхавання ( HIPAA ) і абараняе прыватнасць, не пакідаючы лічбавага следу. Платформа відэазванкоў таксама сертыфікавана па ISO 27001 .

Іншыя платформы відэакансультацый захоўваюць падрабязную інфармацыю аб званку, у тым ліку запіс званка, на цэнтральных серверах (звычайна за межамі Аўстраліі), даступных пастаўшчыку відэапаслуг, і могуць падвяргаць клініцыстаў рызыцы парушэння заканадаўства аб прыватнасці без інфармаванай згоды пацыента.

Для таго, каб сістэма на базе WebRTC была сапраўды бяспечнай і прыватнай, былі ўжытыя дадатковыя меры бяспекі:

• Віртуальныя пакоі, піяршчыкі і сесіі забяспечваюць бяспечнае асяроддзе для зносін карыстальнікаў.
• Відэазванок па змаўчанні не захоўвае асабістую інфармацыю або абароненую медыцынскую інфармацыю.
• Сучасная сеткавая бяспека прадухіляе праслухоўванне і атакі тыпу «чалавек пасярэднік».
• Тэставанне нагрузкі і праверка кода забяспечваюць высокі ўзровень бяспекі прыкладанняў.

На гэтай старонцы мы тлумачым, якія крокі робяцца для забеспячэння бяспекі, надзейнасці, прыватнасці і маштабаванасці відэакансультацый.

Канфідэнцыяльнасць, бяспека і абарона дадзеных на ўзроўні аховы здароўя з'яўляюцца асновай дызайну відэазванкоў

Бяспека званкоў

Медыятрафік відэазванкоў WebRTC абаронены 128-бітным або 256-бітным шыфраваннем AES паміж вэб-браўзерамі. Гэта стандарт для сэрвісаў на базе WebRTC, такіх як Video Call. Аднак гэтая бяспека распаўсюджваецца толькі на аднарангавыя званкі, а не на сістэмную інфраструктуру. Некалькі элементаў інфраструктуры ў любым відэазванку WebRTC могуць быць атакаваны, і Video Call быў распрацаваны для прадухілення гэтых вектараў атакі.

Напрыклад, стандартнае шыфраванне выклікаў WebRTC не можа перашкодзіць зламысніку выдаваць сябе за карыстальніка на любым канцы выкліку. Шыфраванне таксама не можа прадухіліць захоп сервера сігналізацыі, прыкладання або рэтрансляцыі (TURN).

Да відэазванка былі ўжытыя асноўныя меры прыватнасці і бяспекі для абароны ад:

• выдаванне сябе за іншую асобу з мэтай атрымання неправамернага доступу да анлайн-клінікі для кансультацый з пацыентамі.
• незаконны перахоп кімсьці з мэтай атрымання несанкцыянаванага доступу да сігналізацыі відэазванка або сервера TURN.
• назіранне за гісторыяй выклікаў трэцімі асобамі, якія атрымліваюць доступ да журналаў выклікаў на прыладзе пацыента або на серверы маніторынгу.
• Мадэль прыватнасці і бяспекі відэазванка гарантуе наступнае:
• толькі аўтарызаваныя пастаўшчыкі паслуг і адміністратары клінікі могуць абслугоўваць пацыента,
• кожная кансультацыя пацыента можа праводзіцца ў выглядзе прыватнай аднаразовай відэасесіі,
• аднаразовыя відэасесіі адрозніваюцца ад пастаянных відэапакояў (апошнія могуць выкарыстоўвацца для ўнутраных мэт клінікі),
• даныя пацыентаў, якімі абменьваюцца падчас відэазванка або ў відэапакоі, не захоўваюцца пасля заканчэння кансультацыі, або, калі клініка вырашыць іх захоўваць, захоўваюцца ў зашыфраваным выглядзе з ключамі расшыфроўкі, даступнымі толькі клініцы,
• сігнальныя і рэтрансляцыйныя серверы апрацоўваюць толькі зашыфраваны медыятрафік,
• выкарыстоўваюцца найноўшыя меры бяспекі і працэдуры, каб серверная інфраструктура не магла быць узламаная з мэтай выдаць сябе за клініцыста або назіраць за кансультацыяй, і
• Для максімальнага павышэння бяспекі праграм праводзіцца экспертная праверка кода для ўсіх праграмных патчаў.

Бяспека дадзеных

Усе дадзеныя — не толькі відэазванок у рэжыме рэальнага часу — зашыфраваны.

Відэазванок надзейна захоўвае інфармацыю і паролі пастаўшчыка паслуг у Amazon RDS ( Relational Database Service ). Паролі перадаюцца з дапамогай TLS ( Transport Layer Security ) і ніколі не захоўваюцца ў выглядзе звычайнага тэксту. Відэазванок захоўвае ў RDS толькі хэшаваныя і салёныя хэшы пароляў, што адпавядае сучасным галіновым стандартам аўтэнтыфікацыі і аўтарызацыі карыстальнікаў.

Відэазванок не захоўвае ніякай асабістай або абароненай медыцынскай інфармацыі.

Бяспека сеткі

Усе аўдыё- і відэададзеныя, а таксама ўсе іншыя дадзеныя, якія перадаюцца падчас відэазванка ў рэжыме рэальнага часу, шыфруюцца.

Відэазванок выкарыстоўвае найноўшыя механізмы бяспекі для ўсіх падключэнняў, а таксама для рэалізацыі WebRTC. Злучэнні паміж браўзерам і серверам прыкладанняў, серверам сігналізацыі або STUN/TURN шыфруюцца і аўтэнтыфікуюцца з дапамогай TLS, з выкарыстаннем моцнай крыптаграфіі і належнай праверкі сертыфікатаў. Абарона TLS для перамоваў STUN/TURN гарантуе, што перанакіраванне відэазванка не адбудзецца.

Бяспека сувязі WebRTC павышаецца дзякуючы таму, што сігнальны сервер забяспечвае крыптаграфічную наладу для сувязі паміж браўзерамі: браўзеры надзейна ўстанаўліваюць агульны ключ для кожнага канала перадачы дадзеных.

Бяспека праграм

Паколькі гэта размеркаваная сістэма, усе кампаненты экасістэмы відэазванкоў абаронены ад нападаў.

• Пратакольны фазінг — паколькі сігнальны сервер выкарыстоўвае карыстальніцкі пратакол для перадачы паведамленняў, ён быў падвергнуты пратакольнаму фазінгу, каб пераканацца ў адсутнасці шляхоў кода, якія прыводзяць да непрадбачаных або непажаданых паводзін. Рэалізацыя відэазванка ў браўзеры была падвергнута такому ж пратакольнаму фазінгу.
• Тэставанне на пранікненне (пен-тэставанне) — сервер прыкладанняў і сістэма маніторынгу выклікаў былі пратэставаны пен-тэстам для абароны ад узломаў. Пен-тэставанне праводзіцца рэгулярна.
• Бяспека браўзера — WebRTC злучае браўзеры паміж сабой. Для тэставання рэалізацыі відэазванкоў у браўзеры выкарыстоўваецца фазінг пратаколаў.
• Бяспека маніторынгу — сувязь адбываецца толькі ў адным кірунку: ад браўзераў да манітора выклікаў. Браўзеры адпраўляюць інфармацыю толькі на манітор выклікаў; браўзеры не могуць атрымліваць ніякай інфармацыі з манітора выклікаў. Манітор выклікаў быў пратэставаны на пяро і апрацаваны для абароны ад распаўсюджаных пагроз.

Канфідэнцыяльнасць

Відэазванок адпавядае палітыцы прыватнасці ўрада Аўстраліі.

Інфраструктура і паслугі відэазванкоў адпавядаюць рэкамендацыям Закона аб прыватнасці Садружнасці 1988 года , Аўстралійскім прынцыпам прыватнасці (раздзел 8), якія тычацца суверэнітэту дадзеных, і, дзе гэта магчыма, Кіраўніцтву па інфармацыйнай бяспецы ўрада Аўстраліі (ISM) . 

Відэазванкі ўсталёўваюцца па прынцыпе peer-to-peer (ад браўзера да браўзера без выкарыстання цэнтральнай відэаінфраструктуры). Дадзеныя, якія перадаюцца падчас рэальных званкоў паміж удзельнікамі, даступныя толькі ў расшыфраваным выглядзе для ўдзельнікаў званка. Усе іншыя пасярэднікі, якія пераадрасоўваюць званок, могуць бачыць толькі зашыфраваныя даныя. Гэта датычыцца аўдыё- і відэададзеных, а таксама ўсёй інфармацыі, якой абменьваюцца падчас сеансу, напрыклад, паведамленняў у чаце і дакументаў. Па змаўчанні відэазванкі не захоўваюць ніякіх агульных даных з званкоў.

Пацыенты трапляюць у зоны чакання праз вэб-сайт надзейнага пастаўшчыка паслуг і чакаюць у сваім прыватным відэапакоі. Напрыклад, калі пастаўшчык паслуг спазняецца з-за таго, што кансультацыя з іншым пацыентам працягваецца занадта доўга, пацыенты не будуць сустракацца адзін з адным. Пакой, створаны з дапамогай відэазванка, выдаляецца пасля кансультацыі.

Пацыентаў можа прымаць любы пастаўшчык паслуг або адміністратар клінікі, які мае права доступу да клінікі. Аўтарызацыя вызначаецца унікальным лагінам і прызначанымі ролямі на платформе. Адміністратары клінікі нясуць адказнасць за прадастаўленне такога доступу сваім супрацоўнікам.

Па змаўчанні відэазванок не захоўвае ідэнтыфікаваную інфармацыю пацыента. Пацыенты не пакідаюць лічбавага следу на платформе.

Суверэнітэт дадзеных

Калі аўстралійскія даныя або кіраванне данымі пераносяцца за мяжу, яны больш не кантралююцца ўнутры Аўстраліі і падпарадкоўваюцца заканадаўству замежнай краіны або практыцы замежнай карпарацыі. Доступ і кантроль даных Аўстраліі з боку замежных кампаній не прызнаюць існуючыя правы аўстралійцаў на належную абарону сваёй прыватнасці і даных.

Таму канфідэнцыйныя дадзеныя аб грамадзянах Аўстраліі павінны захоўвацца ў воблачным асяроддзі, сертыфікаваным ASD ( Аўстралійскім дырэктаратам сігналаў ), якое можа гарантаваць, што замежныя арганізацыі не атрымаюць да іх доступу.

Video Call строга прытрымліваецца падыходу да размяшчэння толькі ў воблаку AWS ( Amazon Web Services ), сертыфікаваным праграмай IRAP ( Information Security Registered Assessors Program ) ASD, што гарантуе наяўнасць у AWS адпаведных элементаў кантролю, патрабаваных ISM ( Кіраўніцтвам па інфармацыйнай бяспецы ўрада Аўстраліі ).

Відэазванок можа пацвердзіць, што для аўстралійскіх карыстальнікаў:

• асабістыя дадзеныя пра здароўе выкарыстоўваюцца выключна ў межах юрысдыкцыі Аўстраліі,
• абмежаванне ўсяго захоўвання дадзеных абмежавана наземнымі цэнтрамі апрацоўкі дадзеных, і
• пратаколы і сістэмы бяспекі захоўваюцца ў Аўстраліі і адпавядаюць патрабаванням ASD.

Маштабаванасць

Аднарангавыя званкі адбываюцца непасрэдна з браўзера ў браўзер, а таксама паміж пастаўшчыкамі медыцынскіх паслуг і іх кліентамі. Гэта дазваляе пазбегнуць выкарыстання відэасервераў-пасрэднікаў і дазваляе ажыццяўляць неабмежаваную колькасць паралельных званкоў.

Часам аднарангавыя званкі завісаюць за карпаратыўнымі брандмаўэрамі. Для гэтай мэты выкарыстоўваюцца рэтрансляцыйныя серверы (STUN/TURN), якія перасылаюць аўдыё-, відэа- і даныя атрымальнікам за межамі карпаратыўнай сеткі. Хоць рэтрансляцыйныя серверы могуць апрацоўваць значную нагрузку да таго, як яны будуць перагружаныя, важна разгарнуць іх маштабуемым чынам. Відэазванок быў разгорнуты ў AWS Cloud, таму рэтрансляцыйныя серверы кантралююцца, і калі выяўляецца больш высокая нагрузка, ствараюцца дадатковыя рэтрансляцыйныя серверы, якія празрыста бяруць на сябе дадатковую працу рэтрансляцыі. Гэта называецца «балансаваннем нагрузкі».

Сігнальныя серверы ўдзельнічаюць у арганізацыі відэазванкоў, таму асаблівая ўвага была нададзена разгортванню маштабуемай сігнальнай інфраструктуры. На сігнальных серверах відэазванкоў было праведзена тэставанне нагрузкі, і яны змаглі падтрымаць сотні тысяч паралельных званкоў. Акрамя таго, у розных месцах AWS была разгорнута сетка сігнальных сервераў, каб знізіць затрымку паміж канцавымі кропкамі відэазванка і сігнальным серверам шляхам выбару бліжэйшага сігнальнага сервера для забеспячэння сігналізацыі званкоў.

Вэб-праграма распаўсюджваецца ў вэб-браўзеры з сервера прыкладанняў. Па меры таго, як вялікая колькасць карыстальнікаў пачынае выкарыстоўваць відэазванок, серверы вэб-прыкладанняў таксама могуць стаць вельмі загружанымі. У відэазванку рэалізавана балансаванне нагрузкі для сервераў прыкладанняў.

Відэазванок распрацаваны з улікам маштабавання. Уся інфраструктура базы дадзеных і сервера была распрацавана з выкарыстаннем архітэктуры мікрасэрвісаў без захавання стану, што дазваляе кожнаму кампаненту быць адмоўстойлівым і мець магчымасць індывідуальнага гарызантальнага маштабавання ў адпаведнасці з нагрузкай на кожны сэрвіс у любы момант часу.

Падтрымка вашай арганізацыі

На аснове WebRTC — кампаненты WebRTC рэалізаваны ў Chrome, Firefox і Safari з праектаў з адкрытым зыходным кодам пад кіраўніцтвам і пад наглядам многіх экспертаў па бяспецы ў Інтэрнэце і тэлекамунікацыях.

Распрацавана для аховы здароўя — асяроддзе відэазванкоў рэгулярна правяраецца і аптымізуецца для аховы здароўя. Уразлівасці, якія прысутнічаюць у іншых службах сувязі, у відэазванку абмежаваныя.

Доступ цалкам праз вэб — відэазванок абноўлены для працы з апошнімі версіямі Chrome, Firefox і Safari (плануецца падтрымка Microsoft Edge, паколькі ён пераходзіць на рухавік Blink). Гэтыя браўзеры рэгулярна абнаўляюць бяспеку, таму няма неабходнасці чакаць абнаўленняў для відэазванка.

Прыкладанне, абмежаванае браўзерам — відэазванок бяспечна працуе ў вэб-браўзерах, што абмяжоўвае яго здольнасць уплываць на асяроддзе працоўнага стала кампутара або мабільную прыладу з дапамогай стандартных мер бяспекі, рэалізаваных у вэб-браўзерах.

Бяспека сеткі — для відэазванка патрабуецца доступ толькі да некалькіх стандартных HTTPS і бяспечных медыяпартоў з вашага настольнага кампутара, ноўтбука або мабільнай прылады. Падрабязная інфармацыя пра іх апісана на старонцы «Асновы сеткі» ў Цэнтры рэсурсаў.

Сэрвісы вэб-проксі — вэб-трафік для відэазванкоў выкарыстоўвае існуючыя сэрвісы вэб-проксі і палітыкі бяспекі.

Профілі якасці выклікаў — усталёўваючы профілі якасці відэазванкоў, клініцысты могуць знізіць нагрузку на сеткавыя злучэнні, каб заставацца ў пэўных межах.

Даступнасць — відэазванок імкнецца забяспечыць універсальны доступ для ўсіх карыстальнікаў, каб усе пастаўшчыкі паслуг і іх пацыенты маглі атрымаць найлепшы вопыт. Для падтрымкі сляпых і слабавідушчых карыстальнікаў вэб-прыкладанне даступнае для праграм чытання з экрана, а таксама можна выкарыстоўваць інструменты маштабавання. Відэазванок таксама можна выкарыстоўваць у трох- і чатырохбаковых званках, каб перакладчык мовы жэстаў мог далучыцца да відэасесіі ў рэжыме рэальнага часу і падтрымаць глухога карыстальніка з дапамогай мовы жэстаў ASLAN.