Säkerhet

1. Så skyddar vi uppgifterna

• Kryptering vid överföring: all kommunikation sker via HTTPS (TLS) med HSTS.
• Kryptering vid lagring: databasen och filerna lagras krypterade.
• Drift endast inom EU: servrarna finns i Frankfurt, Tyskland.
• Engångskoder: för att öppna ett provsvar krävs alltid en sexsiffrig kod som gäller i 10 minuter, med 5 försök.
• Begränsning av antalet kodförfrågningar och inloggningsförsök, mot gissningsattacker.
• Obligatorisk tvåstegsverifiering för laboratoriepersonal: en kod via e-post eller sms på varje ny enhet.
• Åtskillnad mellan laboratorier: varje laboratorium ser endast sina egna patienter och provsvar, genom isolering på radnivå i databasen.
• Oföränderliga PDF-filer: varje provsvar lagras med sitt SHA-256-fingeravtryck, så att varje ändring skulle upptäckas.
• Fullständiga åtkomstloggar: varje gång ett provsvar öppnas och varje ändring av telefonnummer eller e-postadress loggas.
• Inget provsvar öppnas enbart via länken i e-postmeddelandet: koden krävs alltid.
• Säkerhetsrubriker: webbplatsen kan inte bäddas in i andra webbplatser och skickar inte sin adress vidare till andra webbplatser (ingen referrer).
• Personalen öppnar PDF-filer endast via våra servrar: varje öppning loggas och över 200 på en timme stängs åtkomsten.
• Känsliga analyser (hiv, hepatit, genetik): laboratoriet kan välja att lämna dem personligen. Patienten aviseras då inte och ser inget online förrän laboratoriet tillåter det.
• Register för tillsyn: varje laboratorium kan lämna listan över sina utskick till tillsynsmyndigheten, utan medicinskt innehåll.

2. Kontrollerbart för alla

Dessa oberoende kontroller är offentliga: vem som helst kan köra dem igen för rezulto.app.

• Qualys SSL Labs — HTTPS-konfiguration: A+
• Mozilla HTTP Observatory — säkerhetsrubriker: A+
• Tjänstestatus — kontrolleras varje timme, senaste 90 dagarna

3. Råd till patienter

• Dela aldrig din kod med någon.
• Rezulto ber dig aldrig om din kod per telefon.
• Kontrollera att adressen i webbläsaren är rezulto.app.
• Logga ut när du är klar om du använder en delad enhet.

4. Rapportera sårbarheter

Om du hittar en säkerhetsbrist, skriv till oss på security@rezulto.app med en beskrivning och stegen för att återskapa den.

Vi vidtar inga rättsliga åtgärder mot forskare som agerar i god tro och följer dessa regler:

• kom inte åt fler uppgifter än vad som behövs för att bevisa sårbarheten;
• genomför inga attacker som stör tjänsten (DoS);
• ge oss tid att åtgärda problemet innan det offentliggörs.

5. Incidenter

Vid en säkerhetsincident som rör personuppgifter underrättas berörda laboratorier inom 48 timmar, så att de kan vidta nödvändiga åtgärder och informera patienter och myndigheter enligt lag.