Architecture de sécurité
L'autorité ne descend jamais la chaîne.
Le clone de chaque clinicien agit avec l'autorité de son humain, et jamais un millimètre de plus. Une question peut traverser tout l'hôpital, de clone en clone en clone. Ce qui revient est une réponse que chaque humain avait le droit de donner. Ce qui ne revient jamais, c'est le privilège.
Le clone de l'infirmière
Le clone du médecin responsable
Le clone du pharmacien
Une chaîne de clones porte les questions à travers l'hôpital. Elle ne porte l'autorité nulle part.
Les deux invariants
Tout sur cette page existe pour garder deux phrases vraies.
L'autorité est héritée et jamais dépassée.
L'autorité d'un clone est un sous-ensemble strict de celle de son humain, à chaque instant, sur chaque chemin, y compris chaque chemin de clone à clone et chaque chaîne de ces chemins. Aucun mécanisme ne permet à un clone d'obtenir une information que son humain n'aurait pas pu obtenir.
L'autorité ne descend jamais une chaîne, seules les réponses le font.
Un clone ne gagne rien en demandant. Il reçoit une réponse que l'autre clinicien avait le droit de donner, et rien de plus : aucune accumulation, aucun privilège transitif, aucun chemin par lequel une chaîne de clones ferait apparaître ce qu'aucun de leurs humains n'aurait pu voir.
Les deux sont rendus vrais par un mécanisme, pas par une intention. Le mécanisme est ci-dessous, et il est délibérément ennuyeux : une vérification déterministe qu'un relecteur peut attaquer.
Les cinq prédicats
Cinq conditions admettent un message. Les cinq, à chaque message.
Avant qu'un clone réponde à un autre clone, une seule vérification s'exécute. C'est une conjonction de cinq prédicats : aucun score, aucun modèle, aucune entrée apprise, et aucun chemin d'exception.
- P1 · Lien
La relation existe.
Une relation vivante et nommée entre les deux cliniciens doit exister dans le propre graphe de l'hôpital, et le message doit citer exactement celle-là. Le message ne choisit pas : il doit citer le lien sur lequel le graphe s'accorde, et une divergence est un événement de sécurité.
- P2 · Classe
La classe de la demande est permise.
Chaque relation permet des types de demandes précis. Une relation qui porte une question d'horaire ne porte pas pour autant une question d'ordonnance.
- P3 · Urgence
L'urgence reste sous son plafond.
L'urgence déclarée est plafonnée par relation. Au-dessus du plafond elle est ramenée au plafond, l'écrêtage est inscrit dans la chaîne d'audit, et le demandeur en est informé. L'inflation d'urgence est visible et imputable à une personne, jamais silencieuse.
- P4 · Temps
La relation est valide à cette heure.
Les tableaux de service changent à 08:00 et la portée du clone change à 08:00. Hors de la fenêtre de validité, seule une délégation enregistrée, qui passe elle-même les trois premiers prédicats, peut porter le message.
- P5 · Sujet
Les deux parties ont une base légale pour ce patient.
Si un patient est nommé, les deux cliniciens doivent avoir une relation de soins licite avec ce patient à cet instant, ou une finalité pré-approuvée par la gouvernance clinique pour cette classe, ou une autorisation d'urgence effectuée par un humain. Un humain brise la vitre. Jamais un clone.
Déterministe.
Étant donné le message et l'instantané du graphe qu'il cite, la décision se reproduit octet pour octet, indéfiniment. C'est ce qui rend possible la reconstitution par un régulateur.
Jamais apprise.
La couche qui apprend qui répond le plus vite ne peut jamais écrire une permission, et la vérification d'autorisation ne lit jamais un poids appris. Les deux couches sont séparées dans les deux sens.
Échoue en refus.
Un lien manquant, une portée périmée, un rôle non résolu : chacun produit un refus, jamais une autorisation par défaut.
La chaîne d'audit
Chaque échange écrit son reçu.
La seule question qu'un régulateur pose est qui a fait cela. Le registre répond par deux noms, l'humain et le clone qui agit pour lui, et par tout ce que la décision a touché.
Anatomie d'une entrée de chaîne
- En ajout seul et chaînée par hachage, enracinée dans le propre module de sécurité matériel de l'hôpital. Pas nos serveurs. Les siens.
- La reprise est vérifiée de bout en bout avant qu'une seule entrée mise en tampon soit réadmise dans la chaîne.
- Un trou ou une divergence est lui-même un événement audité. Un trou dans une chaîne d'audit est indiscernable d'une falsification, alors la chaîne est bâtie pour rendre les trous bruyants.
- Portable. L'hôpital peut remettre la chaîne à un régulateur, ou l'emporter chez un fournisseur successeur, sans nous demander.
Aucune défense connue ne rend l'injection d'invite impossible. L'hypothèse de conception est le confinement, pas la prévention. Une injection peut faire poser une question stupide à un clone. Elle ne peut pas lui faire dépasser l'autorité de son humain.
Le texte injecté n'atteint jamais le chemin d'autorisation, parce que le texte libre n'est jamais une entrée d'une décision d'autorisation. L'autorité vit dans l'enveloppe du message, vérifiée par les cinq prédicats ; la charge utile peut être aussi persuasive qu'elle le veut.
Le socle sous les invariants
Quatre faits qui portent le reste.
L'hôpital les détient
La garde des clés est liée au matériel et détenue par l'hôpital. Aucun fournisseur, nous compris, ne détient les clés du cerveau de l'hôpital.
Caviardage avant transmission
La parole est transcrite et caviardée sur l'appareil de chevet, avant que quoi que ce soit quitte la chambre. Ce qui n'a jamais été transmis ne peut jamais fuir en transit.
Hybride post-quantique
À l'intérieur du propre réseau de l'hôpital, le transport utilise TLS 1.3 avec échange de clés hybride, classique plus post-quantique, pour qu'un dossier écrit la première année ne soit pas moissonné contre un ordinateur ultérieur.TLS 1.3 · X25519 + ML-KEM-768
Un humain signe
Rien n'entre au dossier sans signature. Le clone rédige, relance et informe ; le clinicien possède la décision. Cette règle ne plie jamais, nulle part dans l'architecture.
Divulgation responsable
Vous avez trouvé quelque chose ? Nous répondons.
Notre contact sécurité est publié à /.well-known/security.txt sur ce site. Les rapports sont lus par des personnes, pas par une file.