التشفير على مستوى الحقول، مشروحًا للأطباء

تشفير قاعدة البيانات بمفتاح واحد يحميها من سرقة الأقراص، ولا يحميها من شيء آخر. يمنح دوكتوباس أشدّ الفئات حساسيةً في السجلّ مفاتيحها الخاصة، معزولةً عن بقية السجلّ، ثم يفحص الصلاحية مرتين عند كل وصول — لأن المفتاح ليس حُكمًا على من ينبغي أن يقرأ.

مفتاح واحد للمبنى كلّه

تعني عبارة «مُشفَّر عند السكون» عادةً مخزنًا واحدًا خلف مفتاح واحد. وهي حماية حقيقية: إن سُرقت الأقراص كانت البيانات غير قابلة للقراءة. وهي أيضًا حماية مسطَّحة. فما إن يعمل النظام ويُستعمَل ذلك المفتاح، حتى يصير كل سجلّ يغطّيه في متناول اليد بالقدر نفسه.

هذه مقايضة صائبة لمعظم البيانات، وغير صائبة للسجلّ الطبي. فملاحظة عن التواء كاحل وملاحظة عن إدخال نفسي تقعان خلف الباب ذاته، والباب مقيس على الكاحل. والتشفير على مستوى الحقل هو أن تُعطى حقول مسمّاة شديدة الحساسية مفاتيحها الخاصة، بدل تركها تحت المفتاح الذي يغطّي كل شيء.

مفاتيح منفصلة للحقول الحسّاسة

أشدّ البيانات الصحية حساسيةً، والصحة النفسية، وسائر الفئات المحميّة، تُشفَّر على مستوى الحقل بمفاتيح منفصلة، معزولةً عن بقية السجلّ. أما النقل والتخزين فمشمولان بحسابهما: البيانات الشخصية مشفَّرة أثناء النقل عبر TLS وعند السكون، والملفات المخزَّنة لا تُبلَغ إلا عبر روابط موقَّعة قصيرة العمر.

والعزل هو الكلمة التي تعمل هنا. فالمفاتيح التي تفتح تلك الفئات ليست المفتاح الذي يفتح السجلّ من حولها، فلا يسلّم اختراقٌ على المسار العادي المحتوى الاستثنائي معه. الملف الطبي شيء واحد أمام الطبيب الذي يقرؤه، وأشياء عدّة محميّة بدرجات مختلفة تحته.

وثمة ضابط مجاور يستحقّ التسمية هنا، لأنه يحمي الملاحظة نفسها على مسار آخر: تُنزَع المعرِّفات الشخصية قبل أن يغادر أي طلب خوادمنا نحو معالجة الذكاء الاصطناعي، فيرى النموذج الصورة السريرية لا الهوية. وهذا ليس تشفيرًا ولا نقدّمه على أنه تشفير؛ بل موضعه مع سائر ما يفعله الذكاء الاصطناعي داخل العيادة التونسية.

طبقتان تُفحَصان عند كل وصول

من يجوز له فتح السجلّ أمرٌ تحسمه الصلاحية لا التشفير. فكل وصول إلى بيانات المريض يمرّ بفحص من طبقتين: حارسٌ قائم على الدور، ثم فحصُ ملكية وصلاحية لكل سجلّ على حدة في طبقة الخدمة. والوصول إلى البيانات الصحية مُقيَّد وفق مبدأ الحاجة إلى المعرفة، فلا يبلغ المستخدم إلا ما صُرِّح له به.

ومن المغري دمج الآليتين والقول إن المفتاح لا يُطلَق إلا لمن يملك الإذن الصحيح على تلك الملاحظة بعينها. ولن نكتب هذه الجملة. فالمفتاح يحسم هل الحقل المخزَّن مقروء خارج النظام؛ أما من يجوز له فتحه داخل النظام فيحسمه الفحص من طبقتين. ونحن نفضّل كتابة هذا الحدّ صراحةً على أن يُكتشف بعد التوقيع.

والزميل حالة أخرى بعد. فالطبيب غير الذي أنشأ السجلّ لا يطّلع عليه إلا إذا منح المريض موافقة صريحة، تُمنح لكل طبيب على حدة ويمكن سحبها، ويُقيَّد كل وصول من هذا النوع. والمساعدة حالة ثالثة، معالَجة تحت أذونات السكرتير.

سجلّ يتذكّر القراءة لا الكتابة وحدها

أثر التدقيق الكامل يبدأ مع باقة Pro. وهو سجلّ غير قابل للتعديل، يقيّد قراءات بيانات المريض وكتاباتها، بما في ذلك وصول طبيب آخر، وهو متاح للطبيب المسؤول. والتدقيق الكامل يحفظ من اطّلع على السجلّ ومن عدّله ومتى، بسطور تُقرأ بلغة واضحة، تسمّي من فتح السجلّ وفي أي دقيقة.

والحذف هو النصف الآخر من المحاسبة ذاتها. فبيانات المريض لا تُحذَف نهائيًا أبدًا. والحذف الليّن يحفظ السجلّ السريري والقانوني مع احترام رغبة المريض — قابلًا للاسترجاع وللمساءلة وللتدقيق.

وهذا السجلّ مقيَّد بالباقة، والحدّ يستحقّ أن يُطبع:

وهذا الحدّ يخصّ السجلّ لا المفاتيح. أما بقية النموذج — التشفير، وقائمة المصادقة، والسجلّ الممتدّ تحتهما — فمبسوطة في البنية الأمنية.

ما لا يفعله التشفير على مستوى الحقل

لا يحلّ محلّ ضوابط الوصول ولا سجلّ التدقيق ولا الأذونات الدقيقة، بل يعمل إلى جانبها. ولا يجعل حقلًا غير مقروء لمن يحقّ له قراءته. وهو لا يقرّر شيئًا: المفتاح يفتح أو لا يفتح، والحُكم في من ينبغي أن يحمله يسكن في طبقة الصلاحية فوقه.

وهو يشتري تعقيدًا أيضًا، وكل الغاية من حمل ذلك التعقيد جيدًا أن لا يلقاه الطبيب أبدًا. فالمفاتيح مشكلة المنتَج، لا مشكلة العيادة.

وأمران لن ننشرهما. لن نضع سعرًا على اختراقك. فالرقم الذي يُلجأ إليه عادةً هو رقم IBM، Cost of a Data Breach Report 2026، الذي يعطي متوسّطًا عالميًا قدره 4.99 مليون دولار، «بزيادة 12٪ عن العام الماضي وعند مستوى قياسي» — وهو متوسّط عالمي عبر القطاعات كلها، لا رقم عن عيادة تونسية، ولن نُنزِله على واحدة. ولن نقول لك ما الذي يُلزمك به الاختراق بعد وقوعه: ذلك جواب يعود إلى الـINPDP وإلى عمادتك، لا إلى مزوّد برمجيات.

أسئلة متكرّرة

أي الحقول تحصل على مفاتيح خاصة بها؟

أشدّ البيانات الصحية حساسيةً، والصحة النفسية، وسائر الفئات المحميّة، مشفَّرةً على مستوى الحقل بمفاتيح منفصلة ومعزولةً عن بقية السجلّ. ونحن نسمّي الفئات التي تسمّيها بنيتنا الأمنية ونقف عند هذا الحدّ: فجردٌ حقلًا حقلًا ادّعاء أكثر إبهارًا وأقلّ قابلية للتحقّق.

هل يمنع المفتاح المنفصل زميلًا من قراءة الملاحظة؟

لا، وهذا هو الحدّ الذي يجدر قوله صراحةً. فالفصل التشفيري ليس قرار وصول. أما جواز فتح زميل للسجلّ فيحسمه فحص الصلاحية من طبقتين، وحين يكون السجلّ لطبيب آخر تحسمه موافقة المريض الصريحة، الممنوحة لكل طبيب على حدة والقابلة للسحب، مع تقييد كل وصول من هذا النوع.

كيف أعرف من فتح سجلًّا؟

من سجلّ التدقيق، الذي يقيّد كل قراءة وكل كتابة لبيانات المريض، بما فيها الوصول بين الأطباء، ويُتاح للطبيب المسؤول. واقرأ حدّ الباقة قبل أن تعتمد عليه: الأثر الكامل يبدأ مع Pro، والبحث في السجلّ مع واجهة التحقيق في Premium.

كم تكلّف الباقات الثلاث؟

69 و159 و269 دينارًا لكل طبيب شهريًا، وتُفوتر سنويًا. بلا رسوم تركيب وبلا احتساب على الملاحظة، وترحيل البيانات مجّاني، والمرضى مجّانيون وبلا حدّ في كل الباقات. وحدّ سجلّ التدقيق مذكور إلى جانب سائر الخصائص في الباقات الثلاث مقارنةً.

التشفير حدٌّ، لا حُكم. ولترى الآليتين تعملان منفصلتين — المفاتيح المنفصلة تحت، ثم حارس الدور وفحص السجلّ عند المدخل — اطلب عرضًا توضيحيًا من ثلاثين دقيقة: أحضِر السجلّ الذي تكره أكثر من غيره أن يفتحه الشخص الخطأ، ونمرّره عبر الاثنتين.