Протестировал бесплатную программу записи для клиники, но данные пациентов в открытом доступе — что делать?

Бесплатный софт в медицине — самая дорогая ошибка, которую только можно совершить. Если утекут данные хоть одного пациента, официальные штрафы и судебные иски перекроют стоимость платной лицензии на годы вперед. Не тяните время, заключайте нормальный договор и переходите на лицензионный софт.

То, что вы описали со ссылкой подтверждения — это чистая уязвимость авторизации (IDOR). Если подменой ID в строке URL открываются чужие карточки, система дырявая насквозь. При выборе платного решения требуйте подтверждения безопасности API, ролевой модели доступа (RBAC) и шифрования базы на уровне AES-256.

Первым делом прямо сегодня отключите в панели эту функцию со ссылками подтверждения. Отправляйте подтверждения вручную по SMS или с корпоративной почты. И пока не найдете нормальную программу ни в коем случае не пишите туда диагнозы и жалобы — оставляйте только имя, фамилию и время приема.

Мы в прошлом году для похожей клиники взяли систему с локальными серверами, платим по 300 AED в месяц за врача. На троих специалистов выходит 900 AED. За первичное внедрение и обучение взяли разово 1500 AED, зато при проверках вообще никаких вопросов.

Вы пользовательское соглашение у этой бесплатной программы читали? Большинство бесплатных SaaS-сервисов тихо прописывают в оферте право продавать «обезличенные» данные сторонним аналитическим конторам. Сколько уникальных пациентов вы уже успели туда забить?

Пару лет назад у знакомой в салоне красоты из-за похожей дыры две клиентки увидели записи и процедуры друг друга. Дело дошло до полиции и защиты прав потребителей, салон чуть не прикрыли. С тех пор к бесплатному софту там никто на пушечный выстрел не подходит.

да в бесплатном софте вечно дыр навалом. с бюджетом 1200 aed в месяц даже не думайте, берите нормальную платную систему и спите спокойно.

Сам по себе ценник безопасность не гарантирует. Полно систем, которые дерут тысячи дирхамов в месяц, а данные хранят на дешевых зарубежных серверах на шаред-хостинге. Обязательно запрашивайте у компании сертификаты безопасности и отчеты независимого аудита.

хорошо что вы создали эту тему.

Я сталкивался с тем же.

Здесь нужно провести различие. При принятии решений записывайте и худший сценарий, а не только лучший.

Маленький рынок — это не плохо; плохо работать на маленьком рынке с низкой маржой. Надеюсь, это будет полезно.

Буду рад, если напишете о результате. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Интересно, есть ли те, кто делает иначе.

Согласен с этим. Большая часть потерь времени копится на задачах, ожидающих согласования.

Здесь есть ловушка, не могу промолчать. Изменить привычку сложнее и дороже, чем выстроить систему.

Если делаете впервые, начните с малого, масштабирование потом. Интересно, есть ли те, кто делает иначе.

На что обратить внимание при выполнении этого. Если делаете впервые начните с малого, масштабирование потом.

Позвольте подвести итог сказанному выше. Когда пытаешься изменить всё сразу, ничего не приживается.

Если напишете результат здесь, это поможет и другим.

Хочу предупредить. Чем сложнее отменить решение, тем медленнее его принимайте.

Я бы пошел этим путем.

Если я правильно понял, вы имеете в виду следующее: Пытаться сделать это в одиночку — самый дорогой путь.

Надеюсь, это будет полезно.