機微な医療データのために設計
LifeOrionは、ラボが日々扱うデータ — 患者の属性情報、オーダー、結果、レポート — のために構築されています。セキュリティは、後から追加された層ではなく、アーキテクチャの一部です。
LifeOrionは、3つのポータルすべてにわたり、あらゆる操作で実行される制御によって、ラボおよび患者のデータを保護します。以下は、本日時点で実装済みの内容と、正式な認証取得に向けて設計を進めている内容です。
現在プラットフォームで稼働している制御
これらは、LifeOrionが本日どのように機能するかについての現在形の事実であり、目標ではありません。
あらゆる操作に対する監査ログ
すべての作成、更新、削除が完全な監査証跡とともに記録されるため、誰が何をいつ変更したかを再構築できます。
Argon2による認証情報の暗号化
ユーザーの認証情報は、ブルートフォース攻撃やGPUベースの攻撃に耐えるように設計された最新の標準であるArgon2でハッシュ化されます。
フェイルクローズのJWTセッション
セッションのセキュリティには、フェイルクローズのJWTを使用します。トークンが欠落、期限切れ、または無効の場合、アクセスはデフォルトで拒否されます。
レート制限
リクエストのレート制限により、認証およびAPIエンドポイントを不正利用、クレデンシャルスタッフィング、自動化された攻撃から保護します。
3つのポータルすべてにわたるRBAC
ロールベースのアクセス制御が、SuperAdmin、クライアント、パートナーの各ポータルを管理するため、各ユーザーはそのロールが許可する範囲のみで操作します。
暗号化
データは暗号化によって保護され、プラットフォーム全体で機密性をサポートします。
ゴミ箱と復元によるソフトデリート
削除は復元可能です。レコードはゴミ箱に移動し、すべてのエンティティにわたって、個別または一括で復元できます。
マルチリージョンのサポート
マルチリージョンの展開により、運用上および規制上の要件に合った地域にデータを保持できます。
正式なコンプライアンスに向けた現在の取り組み
以下の項目は、まだ取得済みの認証ではありません。これらは、LifeOrionがサポートするように設計されているフレームワークと、当社のロードマップに含まれる認証を示しています。各項目が達成され次第、このページを更新します。
SOC 2 Type II
ロードマップに記載当社は、セキュリティ、可用性、機密性に関する制御のSOC 2 Type II審査に向けて構築を進めています。
HIPAA
サポートするように設計LifeOrionは、監査証跡、アクセス制御、暗号化を含め、保護対象医療情報のHIPAAに沿った取り扱いをサポートするように設計されています。事業者間契約（BAA）は、当社のロードマップに含まれています。
ISO 27001
ロードマップに記載当社は、情報セキュリティマネジメントの実践をISO 27001認証に向けて整合させています。
CLIA / CAP
サポートするように設計LifeOrionは、管理された結果検証、QC、レポートのリリースを含め、CLIA認定およびCAP認定ラボのワークフローのために構築されています。
21 CFR Part 11
サポートするように設計当社の監査ログ、アクセス制御、管理されたレコードのライフサイクルは、21 CFR Part 11の電子記録および電子署名のワークフローをサポートするように設計されています。
フレームワークが「サポートするように設計」と記載されている場合、それはアーキテクチャ上の整合を反映したものであり、完了した認証や認定ではありません。
最小権限を前提に設計し、あらゆる変更の完全な記録を保持
アクセスは範囲を限定し、テナントごとに分離され、完全に監査可能です。
LifeOrionは、SuperAdmin、クライアント、パートナーの各ポータルにわたって、ロールベースのアクセス制御を適用します。権限は最小権限のモデルに従い、ユーザーはそのロールが必要とするアクセスのみを取得し、それ以上は付与されません。サイト範囲のビューにより、スタッフは割り当てられたコンテキスト内に留まります。
このプラットフォームはマルチテナントであり、テナンシーの分離によって各ラボのデータが区別されます。事業者、ラボ、パートナーは、互いのレコードを見ることなく、同じプラットフォーム上で作業します。フランチャイジーは、データを分離したまま、完全なホワイトラベル化のもとで運営できます。
すべての作成、更新、削除は、エンドツーエンドの監査証跡に記録されます。ソフトデリートおよびゴミ箱と復元と組み合わせることで、QAおよびコンプライアンスのチームに、防御可能な活動記録と、ミスから回復するための手段を提供します。
- 3つのポータルすべてにわたるロールベースのアクセス制御
- 各ラボのデータに対するテナント分離
- あらゆる変更に対するエンドツーエンドの監査証跡
- 個別および一括での復元が可能なソフトデリート
アーキテクチャを詳細にご覧ください
お客様のセキュリティ、IT、QAの各チームに、当社の制御、データモデル、コンプライアンスのロードマップをご説明し、デューデリジェンスに関するご質問に直接お答えします。