Sicherheit

Wie Salisan Anmeldung, Sitzungen und gespeicherte Daten schützt und was noch nicht veröffentlicht ist.

Diese Seite listet die Sicherheitsmaßnahmen auf, die Sie im Produkt und in der Infrastrukturkonfiguration von Salisan nachprüfen können. Sie ist keine Zertifizierung und ersetzt weder die Nutzungsbedingungen noch die Datenschutzerklärung.

Konten melden sich mit E-Mail und Passwort, mit Google, mit einem Passkey oder über das Single Sign-on der Praxis an.

Passwörter müssen 8 bis 128 Zeichen lang sein. Salisan lehnt Passwörter ab, die in bekannten Datenlecks vorkommen. Die Prüfung sendet nur die ersten fünf Zeichen eines Hashwerts des Passworts an den Range-Dienst von Have I Been Pwned.
Ein neues Konto mit E-Mail und Passwort muss seine E-Mail-Adresse mit einem Code bestätigen, bevor es sich anmelden kann.
Die Passwortwiederherstellung verwendet einen per E-Mail gesendeten Code.
Anfragen zu Anmeldung, Registrierung, E-Mail-Code und Wiederherstellung sind ratenbegrenzt.
Sitzungs-Cookies sind als „Secure“ gekennzeichnet.

Zwei-Faktor-Authentifizierung

Jede Person kann die Zwei-Faktor-Authentifizierung mit einer beliebigen Authenticator-App einschalten. Salisan zeigt bei der Einrichtung einmalige Wiederherstellungscodes an. Jeder Code funktioniert nur einmal.

Der Praxisinhaber kann unter Organisation → Einstellungen → Zwei-Faktor-Authentifizierung für jedes Mitglied eine Authenticator-App verlangen. Nur der Inhaber kann diese Richtlinie ändern. Passkeys erfüllen die Anforderung nicht.

Ist die Richtlinie aktiv, prüft der Server sie bei Anfragen nach Praxisdaten. Ein Mitglied ohne Authenticator-App wird aufgefordert, eine einzurichten, bevor es fortfahren kann. Außerdem muss die Anmeldesitzung mit einem Authenticator-Code erstellt oder durch einen solchen hochgestuft worden sein.

Single Sign-on

Single Sign-on ist im Enterprise-Tarif verfügbar. Die Praxis verbindet Microsoft Entra ID oder einen anderen vom Salisan-Support freigegebenen OpenID-Connect-Anbieter, bestätigt die E-Mail-Domain der Klinik mit einem DNS-Eintrag und testet die Anmeldung.

Der Inhaber kann dann SSO für Mitglieder der Praxis verlangen wählen. Das blockiert die lokale Anmeldung für Mitglieder. Das Inhaberkonto behält für den Notfallzugriff die lokale Anmeldung und die Zwei-Faktor-Authentifizierung, und die Einstellungsseite zeigt vor der Durchsetzung, ob das Inhaberkonto bereit ist. Single Sign-on legt keine Konten an. Eine Person muss zuvor eingeladen werden.

Sitzungen und Warnungen

Unter Einstellungen → Sicherheit → Sitzungen kann jede Person ihre aktiven Sitzungen sehen, eine davon widerrufen oder Andere Sitzungen widerrufen wählen. Eine Passwortänderung meldet die anderen Sitzungen ab.

Salisan sendet eine Benachrichtigung, wenn eine Anmeldung von einem Gerät erfolgt, das das Konto bisher nicht verwendet hat. Es benachrichtigt außerdem, wenn sich ein Passwort, eine E-Mail-Adresse oder ein Passkey ändert und wenn die Zwei-Faktor-Authentifizierung ein- oder ausgeschaltet wird. Daten zu Anmeldewarnungen werden 90 Tage aufbewahrt, wie die Datenschutzerklärung festhält.

Verschlüsselung und Speicherung

Die Infrastrukturkonfiguration von Salisan legt Folgendes fest:

Die Web-Apps leiten auf HTTPS um und verlangen TLS 1.2 oder höher.
Die Anwendung verbindet sich mit der Datenbank über TLS mit Zertifikatsprüfung.
Der Cache verlangt verschlüsselte Verbindungen und verschlüsselt Daten im Ruhezustand.
Datenbankspeicher, Dateispeicher und Datenbank-Backups sind im Ruhezustand verschlüsselt.
Speicher-Buckets blockieren den öffentlichen Zugriff.
Produktive Datenbank-Backups werden 35 Tage aufbewahrt.

Die Datenschutzerklärung beschreibt Sicherheitsmaßnahmen als Verschlüsselung bei der Übertragung und im Ruhezustand, rollenbasierten Zugriff, Zwei-Faktor-Authentifizierung und Audit-Protokollierung.

Noch nicht veröffentlicht

Es sind keine Sicherheitszertifizierung, kein Penetrationstestbericht und kein ausgefüllter Sicherheitsfragebogen veröffentlicht. Wenn Ihre Prüfung einen benötigt, schreiben Sie an privacy@salisan.com und beschreiben Sie, was Sie brauchen.

Siehe Zugriff und Audit für Rollen und das Audit-Protokoll und Konto und Sicherheit für die Schritte, die jede Person befolgt.