Bảo mật và bảo vệ dữ liệu
Trang này giải thích cách PrimaCite bảo vệ dữ liệu người bệnh và tài liệu nội bộ của bệnh viện trong bản triển khai dành cho bệnh viện. Các biện pháp được mô tả ở mức tổng quát; các bên xử lý dữ liệu thay mặt bản triển khai (bên xử lý phụ) được nêu tên trong thỏa thuận xử lý dữ liệu (DPA) ký với từng bệnh viện.
Dữ liệu đi qua những đâu
Với cấu hình triển khai tham chiếu đi kèm nền tảng, bác sĩ chỉ truy cập hệ thống qua kết nối được mã hoá (HTTPS). Tài liệu của bệnh viện được lưu trữ và tìm kiếm ngay bên trong bản triển khai; khi bệnh viện tải tài liệu lên, hình minh hoạ và ảnh trang tài liệu có thể được gửi tới mô hình AI để mô tả nội dung, giúp tìm kiếm được cả phần này. Để soạn câu trả lời, hệ thống gửi câu hỏi, phần hội thoại gần đây và các đoạn trích liên quan tới nhà cung cấp mô hình AI; nếu bệnh viện bật tìm kiếm trên web, hệ thống gửi thêm truy vấn tìm kiếm tới một dịch vụ tìm kiếm. Câu trả lời được trả về bản triển khai, rồi hiển thị cho bác sĩ cùng các trích dẫn.
Thông tin định danh người bệnh được thay thế trước khi mô hình AI trả lời
Với bản triển khai cho bệnh viện, họ tên, số điện thoại, email, số CCCD, số hộ chiếu, mã bệnh án, số thẻ bảo hiểm y tế, địa chỉ và ngày tháng cụ thể được nhận diện ngay bên trong bản triển khai và thay bằng mã thay thế như [BN_1]. Việc thay thế diễn ra trước khi câu hỏi, lịch sử hội thoại và nội dung tệp mà người dùng đính kèm hoặc thêm vào thư viện cá nhân được gửi tới mô hình AI hoặc dịch vụ tìm kiếm để trả lời, nên các dịch vụ này chỉ nhận được mã thay thế. Thông tin gốc chỉ được khôi phục bên trong bản triển khai, trong nội dung hiển thị cho bác sĩ và trong dữ liệu bản triển khai lưu lại. Việc nhận diện dựa trên các quy tắc cố định chạy trong bản triển khai, không dùng mô hình AI. Tuổi, mốc thời gian tương đối, thuật ngữ lâm sàng và tên thuốc được giữ nguyên.
Mức độ nhận diện
Bộ nhận diện được đánh giá trên một tập mẫu có gắn nhãn gồm hơn 300 thông tin định danh bằng tiếng Việt và tiếng Anh: hệ thống phải tìm ra ít nhất 95% trong số đó, với độ chính xác từ 90% trở lên, và không được làm thay đổi nội dung lâm sàng. Dù vậy, hệ thống vẫn có thể bỏ sót, chẳng hạn một tên riêng đứng một mình, nên bác sĩ chỉ nên nhập những thông tin về người bệnh thật sự cần cho câu hỏi. Cơ chế này không xử lý được thông tin trong hình ảnh. Vì vậy, tệp mà người dùng đính kèm hoặc thêm vào thư viện cá nhân được đọc dưới dạng văn bản ngay trong bản triển khai, hình ảnh bên trong không được gửi đi, và tệp không có lớp văn bản sẽ bị từ chối. Tính năng nhập bằng giọng nói và đọc to câu trả lời, vốn phải gửi âm thanh ra ngoài, được tắt.
Điều kiện với nhà cung cấp mô hình AI
Yêu cầu gửi tới mô hình trả lời chỉ được chuyển tới những nhà cung cấp không thu thập dữ liệu và có cam kết không lưu giữ dữ liệu. Nếu không có nhà cung cấp nào đáp ứng, yêu cầu sẽ bị từ chối chứ không được chuyển sang nơi khác.
Che thông tin trong dữ liệu theo dõi và nhật ký
Khi tính năng theo dõi chẩn đoán được cấu hình, bản triển khai lưu lại dữ liệu theo dõi (trace) của từng câu trả lời để rà soát chất lượng. Với bản triển khai cho bệnh viện, thông tin định danh người bệnh trong phần văn bản của dữ liệu này được che đi và hình ảnh nhúng được loại bỏ trước khi lưu; cơ chế che thông tin được kiểm tra bằng dữ liệu mẫu mỗi giờ. Nếu cơ chế che thông tin gặp lỗi khi xử lý một đoạn văn bản, đoạn đó sẽ được lưu nguyên văn và lỗi được ghi vào nhật ký. Dữ liệu theo dõi được xoá sau một số ngày quy định. Trong nhật ký ứng dụng, một số mã định danh bản ghi và yêu cầu được ghi dưới dạng mã băm một chiều, còn các dạng thông tin xác thực và mã truy cập thông dụng được xoá bỏ.
Dữ liệu của từng người dùng được tách biệt
Mỗi cuộc hội thoại, tệp đính kèm, tài liệu trong thư viện cá nhân và câu trả lời đều thuộc về một người dùng. Việc tách biệt được thực thi ngay ở tầng cơ sở dữ liệu bằng cơ chế bảo mật theo từng dòng (row-level security): mỗi yêu cầu chạy dưới danh nghĩa người dùng đã đăng nhập và chỉ đọc được dữ liệu của người đó. Với mỗi thay đổi của nền tảng, các bước kiểm tra tự động xác nhận rằng tất cả các bảng chứa dữ liệu người dùng đều có lớp bảo vệ này, đồng thời thử đọc chéo dữ liệu trên một cơ sở dữ liệu thử nghiệm có dữ liệu của hai người dùng. Đội ngũ công nghệ thông tin của bệnh viện có thể chạy các phép thử tương tự trên bản triển khai của mình bằng báo cáo bảo mật được mô tả bên dưới.
Quyền truy cập tài liệu nội bộ
Chỉ quản trị viên của bản triển khai mới được thêm, sắp xếp hoặc gỡ bỏ tài liệu của bệnh viện; người dùng đã đăng nhập vào bản triển khai có thể tìm kiếm và trích dẫn các tài liệu này. Thư viện cá nhân và tệp đính kèm trong hội thoại của một người dùng chỉ người đó xem được.
Lưu giữ và xoá dữ liệu
Người dùng có thể xoá một cuộc hội thoại bất cứ lúc nào; nội dung câu hỏi và câu trả lời sau đó sẽ bị xoá hẳn sau một khoảng chờ (mặc định là 24 giờ). Theo mặc định, tệp đính kèm trong hội thoại hết hạn sau 7 ngày, tệp do hệ thống tạo ra hết hạn sau 30 ngày, và tệp hết hạn sau đó được dọn theo lịch. Bản triển khai cho bệnh viện còn bắt buộc đặt thời hạn lưu giữ tối đa cho hội thoại và cho dữ liệu theo dõi; thiếu một trong hai thì hệ thống không khởi động. Người dùng có thể xoá tài khoản của mình: hội thoại, tệp, tài liệu và hồ sơ của họ được xoá khỏi cơ sở dữ liệu, kho lưu trữ tệp và chỉ mục tài liệu, dữ liệu theo dõi của họ được yêu cầu xoá (phần còn sót lại sẽ bị xoá khi hết thời hạn lưu giữ dữ liệu theo dõi), và sau cùng là tài khoản đăng nhập. Một số bản ghi kiểm toán và bản ghi xoá tài khoản được giữ lại để phục vụ trách nhiệm giải trình.
Bản triển khai riêng cho từng bệnh viện
Mỗi bệnh viện được cấp một bản triển khai chính thức riêng, với dữ liệu và địa chỉ riêng; mỗi bản triển khai chỉ mang thương hiệu của một tổ chức, và nền tảng không có cơ chế để nhiều tổ chức dùng chung một bản triển khai. Bản triển khai có thể chạy trên hạ tầng do bệnh viện quản lý. Bản triển khai cho bệnh viện dùng một cấu hình riêng, theo đó hệ thống sẽ không khởi động nếu các biện pháp sau chưa được bật: thay thế thông tin định danh, che thông tin trong dữ liệu theo dõi, điều kiện với nhà cung cấp mô hình AI, thời hạn lưu giữ hội thoại và dữ liệu theo dõi, cùng với việc tắt nhập bằng giọng nói và đọc to câu trả lời.
Ứng phó sự cố
Sự cố vận hành được xử lý theo quy trình ứng phó bằng văn bản, nêu rõ cách phát hiện, khắc phục và tìm nguyên nhân gốc cho các tình huống sự cố mà quy trình đề cập. Nếu bản triển khai đã cấu hình đầu mối liên hệ bảo mật, thông tin này được công bố trong tệp security.txt của bản triển khai. Cách thông báo cho bệnh viện khi xảy ra sự cố liên quan đến dữ liệu cá nhân là một điều khoản của DPA.
Báo cáo bảo mật có thể chạy lại
Đội ngũ công nghệ thông tin của bệnh viện có thể chạy báo cáo bảo mật ngay trong bản triển khai vào bất cứ lúc nào. Báo cáo kiểm tra các thiết lập của cấu hình dành cho bệnh viện có đang được áp dụng hay không, thử cơ chế che thông tin bằng dữ liệu mẫu, chạy tập mẫu thông tin định danh qua bộ nhận diện đang triển khai, và thử khả năng tách biệt dữ liệu giữa người dùng trên các bảng dữ liệu người dùng chính của cơ sở dữ liệu đang vận hành bằng các phiên chỉ đọc; nếu một bảng có dữ liệu của ít hơn hai người dùng, kết quả tách biệt được ghi là chưa đủ cơ sở kết luận thay vì đạt. Báo cáo không kiểm tra các mục khác trên trang này. Kết quả được ghi kèm ngày giờ, gồm một bản tóm tắt dễ đọc và một tệp có cấu trúc để hệ thống khác xử lý. Bệnh viện có thể đề nghị đơn vị vận hành bản triển khai cung cấp kết quả gần nhất.