الأمن والحماية

ملخص: نستخدم تشفير AES-256 للبيانات المخزّنة وTLS 1.3 للنقل، وعزل كامل بين بيانات كل مستخدم (Multi-Tenant)، ومراقبة أمنية على مدار الساعة.

🔐

AES-256

تشفير البيانات

🌐

TLS 1.3

نقل آمن

🏗️

Multi-Tenant

عزل تام

👁️

24/7

مراقبة أمنية

١. تشفير البيانات

✓AES-256-GCM: جميع البيانات الحساسة (السجلات الطبية، الوصفات) مشفّرة في قواعد البيانات
✓TLS 1.3: جميع البيانات المنقولة بين متصفحك والخوادم مشفّرة بالكامل
✓كلمات المرور (إن وجدت): نستخدم bcrypt مع salt عشوائي — لا نخزّن كلمات المرور كنص صريح أبداً
✓JWT Tokens: موقّعة بـ HS256 وذات صلاحية زمنية محددة
✓قواعد البيانات: مشفّرة بالكامل على مستوى القرص (encryption at rest)

٢. عزل البيانات (Multi-Tenant)

كل مستخدم — مريض، طبيب، صيدلاني، مورد، مخزن — يعمل في بيئة معزولة تماماً. لا يمكن لأي مستخدم الوصول لبيانات مستخدم آخر إلا عبر علاقات مصرّح بها صراحةً (طبيب-مريض مثلاً).

✓tenant_id فريد لكل عيادة / صيدلية / مورد — يُضاف تلقائياً لكل استعلام
✓Row-Level Security في PostgreSQL يمنع أي تسرّب عرضي للبيانات
✓JWT يحمل role و user_id — كل طلب يُتحقق منه مستقلاً
✓السجلات الطبية: مقيّدة بالطبيب المعالج والمريض فقط

٣. أمان البنية التحتية

✓الخوادم محمية بجدار حماية (Firewall) يسمح فقط بالمنافذ الضرورية (443, 80)
✓NGINX كطبقة عكسية (Reverse Proxy) مع حماية من هجمات DDoS الأساسية
✓حماية Cloudflare من الهجمات الآلية والـ Bots الضارة
✓نسخ احتياطية يومية تلقائية لقواعد البيانات — محتفظ بها 30 يوماً
✓بيئات منفصلة للتطوير والإنتاج — لا تتشارك بيانات حقيقية

٤. التحقق من الهوية والوصول

✓Google OAuth 2.0 فقط لتسجيل الدخول — بدون كلمات مرور تقليدية
✓JWT tokens ذات صلاحية محدودة — تنتهي تلقائياً بعد فترة الخمول
✓كل API endpoint يتحقق من الـ token وصلاحيات الدور قبل أي عملية
✓تسجيل دخول متعدد الأجهزة مدعوم مع إمكانية إلغاء جميع الجلسات

٥. مراقبة الأمان والاستجابة للحوادث

✓مراقبة مستمرة لسجلات الدخول والأخطاء غير المعتادة
✓تنبيهات تلقائية عند محاولات دخول فاشلة متعددة
✓نسخ احتياطية يومية مع اختبار الاستعادة دورياً
✓خطة استجابة للحوادث: إشعار المستخدمين خلال 72 ساعة من اكتشاف أي اختراق
✓سجل تدقيق كامل (Audit Log) لكل عمليات الوصول للبيانات الحساسة

٦. ما يمكنك فعله لحماية حسابك

✓استخدم حساب Google المخصص للعمل وليس الشخصي لتقليل مشاركة البيانات
✓لا تشارك رابط حسابك أو أي screenshots تحتوي بيانات مرضى
✓سجّل الخروج من الأجهزة المشتركة بعد الانتهاء
✓أبلغنا فوراً عن أي نشاط مشبوه على: deepnoorana@gmail.com
✓راجع قائمة الجلسات النشطة دورياً من إعدادات حسابك
✓لا تُرسل بيانات مرضى عبر قنوات خارج المنصة (واتساب، بريد إلكتروني…)

٧. الامتثال والمعايير

نعمل على الامتثال للمتطلبات التالية:

✓قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020
✓اشتراطات وزارة الصحة المصرية للسجلات الطبية الإلكترونية
✓أفضل الممارسات الأمنية لـ OWASP Top 10
✓مبادئ Privacy by Design في تصميم الأنظمة

٨. الإبلاغ عن ثغرات أمنية

إذا اكتشفت ثغرة أمنية في منصتنا، نرحب بتقريرها المسؤول (Responsible Disclosure):

📧 security@sehaty.app

أو: deepnoorana@gmail.com

يرجى تضمين: وصف الثغرة، خطوات إعادة الإنتاج، التأثير المحتمل. نستجيب خلال 48 ساعة ونُبلّغك عند الإصلاح.

٩. تحديثات الأمان

نُصدر تحديثات أمنية دورية ونُطبّق patches الحرجة خلال 24 ساعة من اكتشافها. يمكنك متابعة إشعارات الأمان عبر بريدك المسجّل.