Privatliv, sikkerhed og skalerbarhed er fundamentalt for videoopkald. Dette dokument forklarer, hvordan videoopkaldskonsultationer gøres sikre og private i stor skala.

Videoopkald er baseret på 4 vigtige koncepter:

• Privatliv - definerer forpligtelsen til at indsamle, bruge, videregive og opbevare personlige oplysninger korrekt i henhold til Commonwealth Privacy Act 1988 og australske principper for privatlivsbeskyttelse.
• Sikkerhed - videoopkald er sikre mod uautoriseret adgang og brug, og dataene er pålidelige, præcise og tilgængelige til brug.
• Datasuverænitet - patientoplysninger må ikke overføres til udlandet, som krævet af australske privatlivsregler
• Skalerbarhed – Videoopkald som en national funktion er arkitektonisk skalerbar til at håndtere store mængder videokonsultationer uden behov for opsætning af traditionel videokonferenceinfrastruktur.

Disse fire koncepter er grundlæggende for designet af Video Call. Netværksarkitekturen er dækket af designsikringsprocesser, der sikrer, at nye funktioner og muligheder fortsat opfylder de krævede standarder.

Oversigt

Videoopkald er bygget på WebRTC-teknologi (Web Real-Time Communications). WebRTC's indbyggede sikkerhed bruger fuldt krypterede forbindelser .

Videoopkald er designet som et holistisk telehealth-økosystem, der består af servere og applikationer, der kører via WebRTC-teknologi.

healthdirect Video Call følger den gældende australske regerings Information Security Manual (ISM) Essential Eight baseline og Health Insurance Portability and Accountability Act ( HIPAA ) for cybersikkerhedsretningslinjer og beskytter privatlivets fred ved ikke at efterlade digitale fodaftryk. Video Call-platformen er også ISO 27001-certificeret .

Andre videokonsultationsplatforme gemmer oplysningerne om opkaldet, inklusive optagelsen, på centrale servere (normalt uden for Australien), som videotjenesteudbyderen har adgang til, og kan udsætte klinikere for risiko for brud på privatlivslovgivningen uden informeret samtykke fra patienten.

Yderligere sikkerhedsforanstaltninger er blevet anvendt for at gøre det WebRTC-baserede system virkelig sikkert og privat:

• Virtuelle rum, peers og sessioner giver et sikkert miljø, hvor brugerne kan kommunikere.
• Videoopkald gemmer som standard ikke personligt identificerbare oplysninger eller beskyttede sundhedsoplysninger.
• Avanceret netværkssikkerhed forhindrer aflytning og man-in-the-middle-angreb.
• Belastningstest og kodegennemgange giver et højt niveau af applikationssikkerhed.

På denne side forklarer vi, hvilke skridt der tages for at sikre, at videokonsultationer er sikre, private og skalerbare.

Sundhedsmæssig beskyttelse af personlige oplysninger, sikkerhed og data er fundamentalt for design af videoopkald

Opkaldssikkerhed

WebRTC-videoopkaldsmedietrafik er beskyttet med AES 128-bit eller AES 256-bit kryptering mellem webbrowsere. Dette er standarden for WebRTC-baserede tjenester såsom videoopkald. Denne sikkerhed gælder dog kun for peer-to-peer-opkald og ikke for systeminfrastrukturen. Flere infrastrukturelementer i ethvert WebRTC-videoopkald kan angribes, og Videoopkald er blevet udviklet til at hæmme disse angrebsvektorer.

For eksempel kan standard WebRTC-opkaldskryptering ikke forhindre en angriber i at udgive sig for at være en bruger i nogen af enden af opkaldet. Kryptering kan heller ikke forhindre en signalerings-, applikations- eller relæserver (TURN) i at blive kapret.

Vigtige privatlivs- og sikkerhedsforanstaltninger er blevet anvendt på videoopkald for at beskytte mod:

• efterligning af en person for at få uretmæssig adgang til onlineklinikken for at konsultere patienter.
• ulovlig aflytning af en person for at opnå uautoriseret adgang til videoopkaldssignalering eller en TURN-server.
• Observation af opkaldshistorik foretaget af tredjeparter, der tilgår opkaldslogge på patientens enhed eller på en overvågningsserver.
• Videoopkalds privatlivs- og sikkerhedsmodel sikrer, at:
• Kun autoriserede serviceudbydere og administratorer fra klinikken må betjene en patient,
• hver patientkonsultation kan afholdes i en privat engangsvideosession,
• Engangsvideosessioner adskiller sig fra vedvarende videorum (sidstnævnte kan bruges til klinikinterne formål),
• Patientdata, der udveksles under et videoopkald eller i et videorum, bevares ikke efter konsultationens afslutning, eller hvis klinikken beslutter at gemme dem, opbevares de krypteret med dekrypteringsnøgler, der kun er tilgængelige for klinikken,
• signalerings- og relæservere håndterer kun krypteret medietrafik,
• at der følges avancerede sikkerhedsopsætninger og -procedurer, så serverinfrastrukturen ikke kan hackes for at udgive sig for at være en kliniker eller observere en konsultation, og
• Der udføres peer-code review for alle softwarepatches for at maksimere applikationssikkerheden.

Datasikkerhed

Alle data – ikke kun live videoopkaldet – er krypteret.

Video Call gemmer tjenesteudbyderoplysninger og adgangskoder sikkert på Amazon RDS ( Relational Database Service ). Adgangskoder transmitteres ved hjælp af TLS ( Transport Layer Security ) og gemmes aldrig i almindelig tekst. Video Call gemmer kun hashede og saltede adgangskodhashes i RDS, hvilket opfylder gældende branchestandarder inden for brugergodkendelse og -autorisation.

Ingen personligt identificerbare eller beskyttede sundhedsoplysninger gemmes af Videoopkald.

Netværkssikkerhed

Alle lyd- og videodata og alle andre data, der udveksles under et live videoopkald, krypteres.

Videoopkald bruger avancerede sikkerhedsmekanismer til alle forbindelser samt til implementeringen af WebRTC. Forbindelser mellem browser og applikationsserver, signaleringsserver eller STUN/TURN er alle TLS-krypterede og autentificerede med stærk kryptografi og korrekt certifikatkontrol. TLS-beskyttelsen til STUN/TURN-forhandling sikrer, at der ikke kan finde omdirigering af videoopkaldskommunikation sted.

Sikkerheden for WebRTC-kommunikation forbedres ved at signaleringsserveren faciliterer den kryptografiske opsætning for browser-til-browser-kommunikation: browsere etablerer sikkert en delt nøgle for hver datakanal.

Applikationssikkerhed

Som et distribueret system er alle komponenter i videoopkaldsøkosystemet beskyttet mod angreb.

• Protokolfuzzing - da signaleringsserveren bruger en brugerdefineret protokol til at transportere beskeder, er den blevet udsat for en protokolfuzzer for at sikre, at der ikke er kodestier, der fører til uforudset eller uønsket adfærd. Browserimplementeringen af Video Call har været udsat for den samme protokolfuzzing.
• Penetrationstest (pentest) - applikationsserveren og opkaldsovervågningssystemet er blevet pentestet for at beskytte mod indtrængen. Pentest udføres regelmæssigt.
• Browsersikkerhed – WebRTC forbinder browsere peer-to-peer. Protokolfuzzing bruges til at teste implementeringen af videoopkaldsbrowsere.
• Overvågningssikkerhed – kommunikation finder kun sted i én retning; fra browsere til opkaldsmonitoren. Browsere sender kun information til opkaldsmonitoren; browsere kan ikke hente eller modtage information fra opkaldsmonitoren. Opkaldsmonitoren er blevet pentestet og fuzzet for at beskytte den mod almindelige trusler.

Privatliv

Videoopkald overholder den australske regerings privatlivspolitikker.

Infrastrukturen og tjenesten for videoopkald er i overensstemmelse med retningslinjerne i Commonwealth Privacy Act 1988 , de australske principper for privatlivsbeskyttelse (afsnit 8) vedrørende datasuverænitet og, hvor det er praktisk muligt, den australske regerings informationssikkerhedsmanual (ISM) . 

Videoopkaldsforbindelser oprettes peer-to-peer (browser-to-browser uden at krydse den centrale videoinfrastruktur). Data, der deles i faktiske opkald mellem deltagere, er kun tilgængelige i dekrypteret form for de deltagende slutpunkter i opkaldet. Alle andre formidlere, der viderestiller opkaldet, kan kun se krypterede data. Dette gælder for lyd- og videodata samt alle oplysninger, der udveksles i sessionen, såsom chatbeskeder og dokumenter. Videoopkald gemmer som standard ikke nogen af de delte data fra opkald.

Patienter går ind i venteområder via en betroet tjenesteudbyders hjemmeside og venter i deres eget private videorum. Hvis en tjenesteudbyder f.eks. bliver forsinket, fordi en konsultation med en anden patient løber over tid, vil patienterne ikke møde hinanden. Rummet, der er oprettet af videoopkaldet, slettes efter konsultationen.

Patienter kan ses af enhver serviceudbyder eller klinikadministrator, der er autoriseret til at få adgang til klinikken. Autorisation defineres af et unikt login og tildelte roller i platformen. Klinikadministratorer er ansvarlige for at tildele sådan adgang til deres personale.

Som standard gemmer videoopkaldet ikke identificerbare patientoplysninger. Patienterne efterlader ikke et digitalt fodaftryk på platformen.

Datasuverænitet

Hvis australske data eller datahåndtering flyttes til udlandet, kontrolleres de ikke længere i Australien og bliver underlagt lovgivningen i et fremmed land eller praksis i et udenlandsk selskab. Adgang til og kontrol af australske data fra udenlandske virksomheder anerkender ikke australieres eksisterende rettigheder til at få deres privatliv og data tilstrækkeligt beskyttet.

Følsomme data om australske statsborgere skal derfor opbevares i en ASD-certificeret cloud ( Australian Signals Directorate ), der kan garantere, at udenlandske enheder ikke har adgang til oplysningerne.

Video Call har en streng tilgang til kun at hoste i AWS ( Amazon Web Services )-clouden, som er certificeret af ASD's IRAP ( Information Security Registered Assessors Program ), hvilket giver sikkerhed for, at AWS har de gældende kontroller på plads, der kræves af ISM ( Australian Government Information Security Manual ).

Videoopkald kan bekræfte følgende for australske brugere:

• personlige helbredsoplysninger anvendes udelukkende inden for australsk juridisk jurisdiktion,
• begrænsningen af al datalagring er begrænset til onshore datacentre, og
• Sikkerhedsprotokoller og -systemer opbevares i Australien og overholder ASD-kravene.

Skalerbarhed

Peer-to-peer-opkald finder sted direkte fra browser til browser og mellem sundhedsudbydere og deres klienter. Dette undgår mellemliggende videoservere og tillader et ubegrænset antal parallelle opkald.

Nogle gange sidder peer-to-peer-opkald fast bag virksomhedens firewalls. Til dette formål er der relæservere (STUN/TURN) på plads til at videresende lyd-, video- og datastrømme til deres modtagere uden for virksomhedens grænser. Selvom relæservere kan håndtere en betydelig belastning, før de bliver mættede, er det vigtigt at implementere dem på en skalerbar måde. Video Call er blevet implementeret på AWS Cloud, så relæservere overvåges, og hvis der opdages en højere belastning, oprettes yderligere relæservere, der transparent overtager yderligere relæarbejde. Dette kaldes 'load balancing'.

Signaleringsservere er involveret i opsætning af videoopkald, så der er blevet lagt særlig vægt på at implementere en skalerbar signaleringsinfrastruktur. Der er udført belastningstest på videoopkaldssignaleringsserverne, og de har været i stand til at understøtte hundredtusindvis af parallelle opkald. Derudover er et netværk af signaleringsservere blevet implementeret på forskellige AWS-placeringer for at reducere latenstiden mellem endepunkterne for et videoopkald og signaleringsserveren ved at vælge den nærmeste signaleringsserver til at levere opkaldssignalering.

Webapplikationen distribueres til webbrowsere fra en applikationsserver. Efterhånden som et stort antal brugere begynder at bruge Video Call, kan webapplikationsserverne også blive meget travle. Video Call har implementeret load balancing for applikationsserverne.

Videoopkald er designet til at skalere. Al database- og serverinfrastruktur er designet ved hjælp af en statsløs mikroservicearkitektur, der gør det muligt for hver komponent at være fejltolerant og i stand til individuelt horisontalt at skalere for at matche belastningen på hver tjeneste på et givet tidspunkt.

Støtte til din organisation

WebRTC-baseret - WebRTC -komponenter implementeres i Chrome, Firefox og Safari fra Open Source-projekter under vejledning og gennemgang af mange sikkerhedseksperter fra web- og telekommunikationsbranchen.

Designet til sundhedspleje - Videoopkaldsmiljøet gennemgås regelmæssigt og optimeres til sundhedspleje. Eksponering for sårbarheder, der findes i andre kommunikationstjenester, er begrænset i Videoopkald.

Fuldstændig adgang via internettet - Videoopkald er opdateret til at fungere med de nyeste versioner af Chrome, Firefox og Safari (Microsoft Edge-understøttelse er planlagt, når det flyttes til blinkmotoren). Disse browsere kører regelmæssige sikkerhedsopdateringer, så der er ingen grund til at vente på opdateringer til Videoopkald.

Browserbegrænset applikation - Videoopkald kører sikkert i webbrowsere, hvilket begrænser dets evne til at påvirke en computers skrivebordsmiljø eller den mobile enhed, der bruges, via standardsikkerhedsforanstaltninger implementeret i webbrowsere.

Netværkssikkerhed - Videoopkald kræver kun adgang til et par standard HTTPS- og sikre medieporte fra din stationære, bærbare eller mobile enhed. Disse er beskrevet på siden Netværksgrundlæggende i Ressourcecenteret.

Webproxytjenester - webtrafik til videoopkald bruger eksisterende webproxytjenester og sikkerhedspolitikker.

Profiler for opkaldskvalitet – ved at indstille kvalitetsprofiler for videoopkald kan klinikere sænke mediekravene til netværksforbindelser for at holde sig inden for bestemte grænser.

Tilgængelighed - Video Call er forpligtet til universel adgang for alle brugere, så alle serviceudbydere og deres patienter kan få den bedst mulige oplevelse. For at støtte blinde og synshandicappede brugere er webapplikationen tilgængelig for skærmlæsere, og zoomværktøjer kan bruges. Video Call kan også bruges i trevejs- og firevejsopkald, så en tegnsprogstolk kan deltage i en live videosession og støtte den døve bruger med ASLAN-tegnsprog.