Арендованный сервер для клиники — это ещё «у себя» или уже облако?

В четверг я зашла в ординаторскую отдать график дежурств и увидела, как молодая врач диктует выписку в телефон. Не в наш диктофон, а в бесплатный чат-бот. Фамилия пациента, дата рождения, диагноз, всё как положено в выписке. Она делала это не со зла: до конца смены у неё оставалось двенадцать карт, а бот за минуту превращает сбивчивую диктовку в аккуратный текст. Я попросила удалить, она удалила. Мы обе понимаем, что «удалила у себя в телефоне» почти ничего не значит.

Я администратор клиники, не врач и не программист. В медицинские решения не лезу, моя зона — где лежат данные и кто может до них дотянуться. После четверга мне стало ясно одно: просто запрещать бесполезно. Если не дать врачам удобную замену, они найдут способ сами, и я узнаю об этом снова случайно.

Потом я читала, в том числе здесь, как люди поднимают распознавание речи и языковые модели на своём сервере. Идея понятная: диктовка уходит на машину, которую контролируем мы, текст возвращается, наружу ничего не уходит. Но я застряла на словах «которую контролируем мы».

Вариантов у нас, грубо говоря, два.

Первый — железо в самой клинике. В подсобке за регистратурой стоит шкаф с роутером и сервером медицинской системы. Летом там сломался кондиционер, и неделю дверь держали открытой, чтобы всё не перегрелось. Ключ от шкафа есть у меня и у завхоза, а когда в подсобке моют пол, дверь открыта для уборщицы. Формально это «у себя». По факту я не уверена, что это надёжнее чего угодно.

Второй — арендованный сервер в дата-центре. Там охрана, резервное питание, нормальное охлаждение. Но диск физически стоит в чужом здании, и руками его трогают чужие люди.

У руководства простое правило: облако нельзя, своё можно. Я сама годами так говорила. А сейчас не могу честно ответить, куда отнести арендованный сервер. Юридическую часть я буду выяснять у нашего юриста и у того, кто отвечает за защиту персональных данных. Сюда я с этим не иду и не прошу никого угадывать, что разрешено законом. Мне нужен технический взгляд, чтобы прийти к ним с нормальными вопросами, а не с «ну вроде сервер наш».

Что я пока не понимаю:

1. Кто вообще может получить содержимое диска арендованного сервера: сотрудники дата-центра, хостер, кто-то ещё? Если диск зашифровать, где тогда хранится ключ и кто его вводит после перезагрузки? Если ключ лежит там же, это шифрование или его видимость?

2. Есть ли разница между виртуальным и выделенным сервером именно в этом смысле? Я слышала, что у виртуального есть снимки и общая с соседями физическая машина, но не понимаю, что из этого реально важно.

3. Что происходит с данными, когда аренда заканчивается? Какой ответ хостера стоит считать нормальным, а какой должен насторожить?

4. Резервные копии. Если копию сервера кладут ещё куда-то, то мест хранения уже не одно, а два или три. Как это обычно продумывают люди, у которых данные чувствительные?

5. Может, правильнее вообще ничего там не хранить: сервер принимает аудио, отдаёт текст и ничего не оставляет на диске? Это реально настроить, или где-то всё равно останутся временные файлы и журналы?

Есть и организационная сторона. Врач может диктовать без фамилии и даты рождения, а данные пациента потом подставлять уже в нашей медицинской системе. Тогда на сервер уходит текст без имени, и половина вопросов, возможно, снимается. Но я видела, как работают в конце смены. Если правило требует лишнего действия, его будут пропускать. Поэтому полагаться только на дисциплину не хочу.

Готовые команды мне не нужны, я их сама выполнять всё равно не буду. У нас приходящий админ два раза в неделю, а решение будет принимать руководство. Мне нужно понять, какие вопросы задать админу и хостеру, чтобы мы не подписали красивое «у нас всё своё», которое на деле мало отличается от того бесплатного бота в телефоне.

Если кто-то проходил это в медицине или в другой сфере с чувствительными данными — бухгалтерия, юристы, школа, — где вы для себя провели черту между «своё» и «чужое»?

Вера, про «удалила у себя в телефоне» очень знакомо, только у меня вместо выписок вопросы про отпуска и больничные. Сотрудница из бухгалтерии на прошлой неделе спросила меня в коридоре: «Жанна, а ваш бот по регламентам — это тот же чат-бот, просто с вашей картинкой?» Я начала объяснять про сервер, она вежливо кивнула и ушла с тем же выражением лица, с каким пришла.

Я сделала для себя вывод, что для сотрудников вопрос «шкаф за регистратурой или арендованная машина» почти невидим. Они видят окно на экране. Если наше окно похоже на бесплатное, они будут путать, а при спешке откроют то, что ближе. Поэтому я сейчас думаю не только о том, где стоит сервер, но и о том, как это выглядит для человека в конце смены: отдельный адрес, понятное название, одна фраза на входе, куда уходит текст. И короткая памятка, где прямо написано, что можно диктовать сюда, а чего нельзя диктовать никуда, кроме вашей системы.

А вот с тем, считается ли арендованный сервер «у себя», я бы не полагалась на форумное мнение, даже своё. Это вопрос договора с хостингом и того, что скажет ваш юрист про персональные данные пациентов. У меня с кадровыми документами ровно та же развилка, и я пока честно не знаю ответа.

У вас врачи будут диктовать с рабочих компьютеров или всё равно с телефонов? От этого, мне кажется, зависит, насколько удобной замена вообще может стать.

Жанна, про «окно на экране» очень узнаваемо. Для игровых вечеров я завела отдельный чат записи, а половина всё равно писала в общий, потому что он был выше в списке. Объяснения не помогали. Помогло другое: я закрепила ссылку в общем, а новый чат переименовала в «ЗАПИСЬ СЮДА» капсом. Некрасиво, зато больше никто не путал. Врачам в конце смены, кажется, нужно то же самое: ваше окно должно быть ближе бесплатного, а не только правильнее.