العمارة الأمنية
الصلاحية لا تنتقل عبر السلسلة.
نسخة كل ممارس تتصرف بصلاحية صاحبها، ولا تتجاوزها مليمترًا واحدًا. السؤال يستطيع أن يعبر المستشفى كله، من نسخة إلى نسخة إلى نسخة. والذي يعود جواب كان لكل إنسان في السلسلة أن يعطيه. والذي لا يعود أبدًا هو الصلاحية.
نسخة الممرضة
نسخة الطبيب المشرف
نسخة الصيدلي
سلسلة من النسخ تحمل الأسئلة عبر المستشفى. ولا تحمل الصلاحية إلى أي مكان.
الثابتان
كل ما في هذه الصفحة موجود ليبقي جملتين صادقتين.
الصلاحية موروثة ولا تُتجاوَز أبدًا.
صلاحية النسخة مجموعة جزئية صارمة من صلاحية صاحبها، في كل لحظة، على كل مسار، بما في ذلك كل مسار بين نسخة وأخرى وكل سلسلة من تلك المسارات. لا توجد آلية تحصل بها نسخة على معلومة ما كان لصاحبها أن يحصل عليها.
الصلاحية لا تنتقل عبر سلسلة، الأجوبة وحدها تنتقل.
النسخة لا تكسب شيئًا بالسؤال. تتلقى جوابًا كان للممارس الآخر أن يعطيه، ولا شيء أكثر: لا تراكم، ولا امتياز متعدٍّ، ولا مسار تُظهر به سلسلة من النسخ شيئًا ما كان لأصحابها أن يروه.
الجملتان صادقتان بالآلية، لا بالنية. والآلية أدناه، وهي مملة عن قصد: فحص حتمي يستطيع المراجع أن يهاجمه.
الشروط الخمسة
خمسة شروط تسمح بمرور الرسالة. الخمسة كلها، في كل رسالة.
قبل أن تجيب أي نسخة أي نسخة أخرى، يجري فحص واحد. وهو اقتران خمسة شروط: لا تقييم، ولا نموذج، ولا مدخل متعلَّم، ولا مسار استثناء.
- الشرط 01 · الصلة
العلاقة قائمة.
يجب أن توجد علاقة حية ومسماة بين الممارسَين في شبكة العلاقات التي يملكها المستشفى، وأن تستشهد الرسالة بتلك الصلة بعينها. الرسالة لا تختار: عليها أن تستشهد بالصلة التي تقرّها الشبكة، وأي عدم تطابق حدث أمني.
- الشرط 02 · الصنف
صنف الطلب مسموح به.
كل علاقة تسمح بأصناف محددة من الطلبات. والعلاقة التي تحمل سؤال جدولة لا تحمل بذلك سؤال وصفة دوائية.
- الشرط 03 · الإلحاح
الإلحاح داخل سقفه.
الإلحاح المُدَّعى مسقوف لكل علاقة على حدة. وفوق السقف يُقصّ، ويُكتب القصّ في سلسلة التدقيق، ويُبلَّغ صاحب الطلب. تضخيم الإلحاح مرئي ومنسوب إلى شخص، لا صامتًا أبدًا.
- الشرط 04 · الوقت
العلاقة صالحة في هذه الساعة.
جداول المناوبات تتغير عند 08:00، ونطاق النسخة يتغير عند 08:00. وخارج نافذة الصلاحية، لا يحمل الرسالة إلا تفويض مسجل يجتاز هو نفسه الشروط الثلاثة الأولى.
- الشرط 05 · الموضوع
الطرفان يحملان أساسًا قانونيًا تجاه المريض.
إن سُمّي مريض، وجب أن يحمل الممارسان علاقة رعاية قانونية بذلك المريض في تلك اللحظة، أو غرضًا صادقت عليه الحوكمة السريرية مسبقًا لذلك الصنف، أو إذنًا استثنائيًا أتمّه إنسان. الإنسان هو من يكسر الزجاج. والنسخة لا تفعل ذلك أبدًا.
حتمي.
بالنظر إلى الرسالة وإلى لقطة الشبكة التي تستشهد بها، يتكرر القرار بتًا ببت، إلى الأبد. وهذا ما يجعل إعادة بناء الحدث أمام جهة تنظيمية ممكنة.
لا يتعلم أبدًا.
الطبقة التي تتعلم من يجيب أسرع لا تستطيع أبدًا أن تكتب إذنًا، وفحص الصلاحية لا يقرأ أبدًا وزنًا متعلَّمًا. الطبقتان مفصولتان في الاتجاهين.
يفشل مغلقًا.
صلة مفقودة، أو نطاق قديم، أو دور لا يمكن حسمه: كل واحدة منها تنتج رفضًا، لا سماحًا افتراضيًا.
سلسلة التدقيق
كل تبادل يكتب إيصاله.
السؤال الوحيد الذي تطرحه جهة تنظيمية هو: من فعل هذا. والسجل يجيب باسمين، الإنسان والنسخة التي تصرفت باسمه، وبكل ما لمسه القرار.
تشريح مدخلة واحدة في السلسلة
- إلحاقية ومسلسلة بالتجزئة، متجذرة في وحدة الأمان العتادية التي يملكها المستشفى. لا خوادمنا. خوادمه هو.
- تُتحقَّق إعادة التشغيل من طرفها إلى طرفها قبل قبول أي مدخلات مخزَّنة مؤقتًا في السلسلة من جديد.
- الفجوة أو عدم التطابق حدث مُدقَّق بذاته. الثقب في سلسلة تدقيق لا يمكن تمييزه عن العبث، لذلك بُنيت السلسلة كي تجعل الثقوب صاخبة.
- قابلة للنقل. يستطيع المستشفى أن يسلّم السلسلة إلى جهة تنظيمية، أو يحملها إلى مورّد خلف، من دون أن يسألنا.
لا دفاع معروف يجعل حقن التعليمات مستحيلًا. وافتراض التصميم هو الاحتواء، لا المنع. الحقن يستطيع أن يجعل نسخة تطرح سؤالًا سخيفًا. ولا يستطيع أن يجعل نسخة تتجاوز صلاحية صاحبها.
النص المحقون لا يصل إلى مسار الإذن أبدًا، لأن النص الحر ليس مدخلًا في قرار إذن قط. الصلاحية تعيش في مظروف الرسالة، وتفحصها الشروط الخمسة؛ أما الحمولة فلها أن تكون مقنعة كما تشاء.
الأرضية تحت الثابتين
أربع حقائق يقف عليها ما تبقى.
المستشفى يحوزها
حيازة المفاتيح مرتبطة بالعتاد وبيد المستشفى. لا مورّد، بمن في ذلك نحن، يحوز مفاتيح دماغ المستشفى.
الحجب قبل الإرسال
يُفرَّغ الكلام نصًا ويُحجَب على جهاز السرير، قبل أن يغادر أي شيء الغرفة. وما لم يُرسَل قط لا يمكن أن يتسرب في الطريق.
هجين ما بعد كمومي
داخل نسيج المستشفى نفسه، يعمل النقل على TLS 1.3 بتبادل مفاتيح هجين، تقليدي مع ما بعد كمومي، كي لا يُحصَد سجل كُتب في السنة الأولى ضد حاسوب لاحق.TLS 1.3 · X25519 + ML-KEM-768
إنسان يوقّع
لا شيء يدخل السجل من دون توقيع. النسخة تصوغ وتتابع وتوجز؛ والممارس يملك القرار. هذه القاعدة لا تنحني أبدًا، في أي موضع من العمارة.
الإفصاح المسؤول
وجدت شيئًا؟ نحن نجيب.
جهة اتصال الأمن لدينا منشورة على /.well-known/security.txt في هذا الموقع. التقارير يقرؤها بشر، لا طابور.