Kontrol Keamanan
Informasi Keamanan
Sistem manajemen keamanan informasi (ISMS) kami yang komprehensif dan kontrol keamanan yang kuat sangat penting dalam melindungi data praktisi dan pasien. Kami juga memastikan bahwa subkontraktor, pihak ketiga, dan subpemroses kami diperiksa dengan cermat untuk mempertahankan standar keamanan yang tinggi.
*Physitrack terdaftar di Kantor Komisioner Informasi Inggris Raya dengan nomor ZA396165.
* Di bawah ini, Anda dapat menemukan ringkasan tingkat tinggi dari beberapa kontrol keamanan yang kami miliki. Karena filosofi kami adalah untuk terus meningkatkan diri, kontrol ini ditinjau dan - jika memungkinkan - ditingkatkan setiap tahun.
Kontrol yang melindungi kerahasiaan
Kami meminta dan menyimpan sesedikit mungkin data dan telah merancang platform dan operasi kami sesuai dengan prinsip-prinsip GDPR Uni Eropa yang ketat. Subpemroses non-UE memiliki Klausul Kontrak Standar.
Semua data yang dikirim ke dan dari platform kami dienkripsi saat transit dan dienkripsi saat tidak aktif. Lihat SSL Labs score kami
Bagi Physitrack Telehealth, semua aktivitas antara klien dan Dolby® terenkripsi. Semua media antara klien dan server menggunakan protokol standar (DTLS/SRTP) yang dienkripsi dengan AES 128 bit.
Enkripsi TLS digunakan untuk email masuk dan keluar.
Di atas semua kontrol yang melindungi kerahasiaan, integritas, dan ketersediaan PHI, kami memiliki BAA dengan pihak ketiga dan subkontraktor yang memiliki akses ke PHI.
Akses ke data pasien sangat dibatasi, dan setiap orang atau pihak yang (berpotensi) memiliki akses ke data pasien terikat dengan perjanjian kerahasiaan.
Physitrack menjalankan platform yang terisolasi secara fisik di berbagai pusat data di seluruh dunia untuk menghindari kebocoran data di luar yurisdiksi sebanyak mungkin.
- Setiap tahun, kami menyewa pihak ketiga yang terakreditasi untuk melakukan uji penetrasi grey box pada platform kami. Ini termasuk pengujian kerentanan terhadap ancaman OWASP
- Setiap minggu, pihak ketiga independen memindai platform kami untuk mencari kerentanan yang diketahui.
Setiap kerentanan yang tidak terungkap diprioritaskan, diselesaikan, dan disebarkan sesegera mungkin setelah penemuan.
Sertifikasi ISO 27001 & ISO 27018
ISO 27001 (secara resmi dikenal sebagai ISO/IEC 27001:2013) adalah standar untuk Sistem Manajemen Keamanan Informasi (SMKI).
SMKI adalah kerangka kerja kebijakan dan prosedur yang mencakup semua kontrol hukum, fisik, dan teknis yang terlibat dalam proses manajemen risiko informasi organisasi dengan tujuan menjaga keamanan informasi.
Data di-host dan diproses di dalam AWS. AWS memiliki sertifikasi SOC dan ISO 27001.
*Physitrack memiliki ISMS, dengan peran Manajer Keamanan Informasi dan Petugas Perlindungan Data yang ditunjuk. Kepatuhan kami terhadap persyaratan ISO telah dikonfirmasi oleh audit independen dan didukung oleh sertifikat ISO27001 (Keamanan Informasi) dan ISO27018 (Perlindungan Data di Cloud).
Arsitektur keamanan jaringan kami terdiri dari beberapa zona keamanan. Kami memantau dan melindungi jaringan kami, untuk memastikan tidak ada akses yang tidak sah yang dilakukan dengan menggunakan:
- virtual private cloud (VPC);
- host benteng atau VPN dengan daftar kontrol akses jaringan (ACL) dan tidak ada alamat IP publik;
- firewall yang memantau dan mengontrol lalu lintas jaringan yang masuk dan keluar;
- pemfilteran alamat IP.
Infrastruktur kami dihosting di dalam AWS. Kontrol terkait keamanan fisik dan lingkungan untuk server kami, yang mencakup bangunan, kunci, atau kunci yang digunakan di pintu, dikelola oleh AWS:
"Akses fisik dikontrol secara ketat baik di perimeter maupun di titik-titik ganti rugi oleh staf keamanan profesional. Staf yang berwenang harus melewati otentikasi dua faktor minimal dua kali untuk mengakses pusat data.
Privasi Anda adalah hal yang paling penting bagi kami. Sebagai bagian dari komitmen kami untuk melindungi data Anda, kami tidak menyimpan informasi bank atau kartu kredit apa pun di server kami. Sebaliknya, kami mengandalkan layanan pembayaran pihak ketiga yang bersertifikat PCI-DSS untuk menangani semua transaksi. Mereka adalah pemimpin industri dalam hal keamanan dan kepatuhan pembayaran, yang memastikan bahwa informasi pembayaran Anda diproses dengan aman dan efisien.
Untuk pemrosesan pembayaran, kami menggunakan layanan tepercaya berikut ini:
- Adyen adalah layanan pembayaran terkemuka yang dikenal dengan teknologi canggih dan kepatuhan terhadap standar PCI-DSS. Anda dapat meninjau praktik privasi mereka di halaman kebijakan privasi mereka.
- Stripe adalah platform pembayaran yang diakui secara global yang dikenal dengan langkah-langkah keamanannya yang kuat dan kepatuhannya terhadap standar PCI-DSS. Anda dapat mempelajari lebih lanjut tentang praktik privasi mereka dengan mengunjungi halaman kebijakan privasi mereka.
- GoCardless mengkhususkan diri dalam pembayaran debit langsung dan mematuhi standar keamanan tertinggi. Informasi terperinci tentang perlindungan data dan kebijakan privasi mereka dapat ditemukan di halaman kebijakan privasi mereka.
- Chargebee menawarkan platform penagihan langganan yang komprehensif dengan protokol keamanan yang kuat. Silakan lihat kebijakan privasi mereka untuk detail lebih lanjut tentang bagaimana Chargebee menangani data Anda.
Komitmen kami terhadap keamanan data Anda semakin diperkuat oleh kemitraan kami dengan layanan tepercaya yang memiliki reputasi baik. Bersama-sama, kami menerapkan serangkaian langkah keamanan yang komprehensif, memastikan bahwa informasi keuangan Anda dikelola dengan sangat hati-hati dan aman.
Kontrol yang melindungi integritas
Kami menggunakan proses pengembangan praktik terbaik industri baik untuk aplikasi dan infrastruktur kami.
Kode berada di bawah kontrol versi (Git), dan fitur/perbaikan dikembangkan di cabang yang terpisah.
Sebelum ditinjau oleh rekan sejawat, kode harus lulus ribuan tes otomatis dan dipindai untuk masalah keamanan yang diketahui. Perbaikan/fitur kemudian diuji secara manual (QA) dan digabungkan ke cabang kode master.
Kami memiliki lingkungan pengujian, pementasan, dan produksi terpisah.
Kontrol yang melindungi ketersediaan
Basis data dengan ketersediaan tinggi
Data kami diproses di database AWS RDS (Postgresql) dan direplikasi dalam konfigurasi ketersediaan tinggi.
Backup harian
Setiap hari, basis data kami diback-up dan disimpan dengan terenkripsi. Cadangan basis data tersebut diverifikasi secara teratur.
Pemantauan selama 24/7
NOC virtual kami memantau infrastruktur kami 24/7/365 dan tim SRE kami serta seluruh tim pengembangan kami diberi tahu jika metrik infrastruktur melewati ambang kritis tertentu.
Jendela pemeliharaan
Pembaruan yang dapat mempengaruhi ketersediaan dilakukan sebisa mungkin di luar jam kerja lokal untuk menghindari gangguan bagi Anda dan pasien Anda.
Pengungkapan yang bertanggung jawab
Jika Anda yakin telah menemukan bug dalam keamanan kami, silakan kirim email ke support@physitrack.com dan kami akan menghubungi Anda kembali dalam waktu 24 jam. Kami meminta Anda untuk tidak mengungkapkan masalah ini secara publik sampai kami memiliki kesempatan untuk mengatasinya.
