Delen via

HIPAA-nalevingsfuncties

  • Artikel

Databricks raadt klanten die HIPAA-nalevingsfuncties willen gebruiken, ten zeerste aan het nalevingsbeveiligingsprofiel in te schakelen, waarmee bewakingsagents worden toegevoegd, een beperkte rekeninstallatiekopie en andere functies bieden. Zie Nalevingsbeveiligingsprofiel voor technische details.

Het is uw verantwoordelijkheid om te bevestigen dat voor elke werkruimte het beveiligingsprofiel voor naleving is ingeschakeld.

Voor deze functie moet uw werkruimte zich in de Premium-prijscategorie bevinden.

Zorg ervoor dat gevoelige informatie nooit wordt ingevoerd in door de klant gedefinieerde invoervelden, zoals werkruimtenamen, clusternamen en taaknamen.

Welke rekenresources verbeterde beveiliging krijgen

De verbeteringen in het nalevingsbeveiligingsprofiel voor HIPAA zijn van toepassing op rekenresources in het klassieke rekenvlak en het serverloze rekenvlak in alle regio's. Zie het overzicht van de Architectuur van Azure Databricks voor meer informatie over de klassieke en serverloze rekenvlakken.

HIPAA-overzicht

De Health Insurance Portability and Accountability Act van 1996 (HIPAA), de Health Information Technology for Economic and Clinical Health (HITECH) en de regelgeving die onder HIPAA is uitgegeven, is een reeks Amerikaanse gezondheidszorgwetten. Deze wetten stellen onder andere vereisten vast voor het gebruik, de openbaarmaking en de bescherming van beschermde gezondheidsinformatie (PHI).

HIPAA is van toepassing op gedekte entiteiten en zakelijke associates die PHI maken, ontvangen, onderhouden, verzenden of openen. Wanneer een gedekte entiteit of zakelijke associate de services van een cloudserviceprovider (CSP), zoals Azure Databricks, inschakelt, wordt de CSP een zakelijke associate onder HIPAA.

Staat Azure Databricks de verwerking van PHI-gegevens in Azure Databricks toe?

Ja. Databricks raadt u ten zeerste aan het nalevingsbeveiligingsprofiel in te schakelen en HIPAA toe te voegen tijdens die configuratie.

HIPAA inschakelen voor een werkruimte

Als u gegevens wilt verwerken die worden gereguleerd door de HIPAA-nalevingsstandaard, raadt Databricks aan dat voor elke werkruimte het nalevingsbeveiligingsprofiel is ingeschakeld en dat de HIPAA-nalevingsstandaard wordt toegevoegd.

U kunt het beveiligingsprofiel voor naleving inschakelen en een nalevingsstandaard toevoegen aan een nieuwe werkruimte of een bestaande werkruimte met behulp van Azure Portal, of een ARM-sjabloon gebruiken. Zie Verbeterde beveiligings- en nalevingsinstellingen configureren voor instructies en sjablonen.

Belangrijk

Het toevoegen van een nalevingsstandaard aan een werkruimte is permanent.

Belangrijk

  • U bent volledig verantwoordelijk voor uw eigen naleving van alle toepasselijke wet- en regelgeving. Informatie die wordt verstrekt in de onlinedocumentatie van Azure Databricks is geen juridisch advies en u moet uw juridische adviseur raadplegen voor vragen over naleving van regelgeving.
  • Azure Databricks biedt geen ondersteuning voor het gebruik van preview-functies voor de verwerking van PHI op het HIPAA op het Azure-platform, met uitzondering van de functies die worden vermeld in preview-functies die worden ondersteund voor de verwerking van PHI-gegevens.

Preview-functies die worden ondersteund voor de verwerking van PHI-gegevens

De volgende preview-functies worden ondersteund voor de verwerking van PHI:

Gedeelde verantwoordelijkheid voor HIPAA-naleving

Naleving van HIPAA heeft drie belangrijke gebieden, met verschillende verantwoordelijkheden. Hoewel elke partij talloze verantwoordelijkheden heeft, worden hieronder de belangrijkste verantwoordelijkheden van ons opgesomd, samen met uw verantwoordelijkheden.

In dit artikel wordt het azure Databricks-terminologiebeheervlak en een rekenvlak gebruikt. Dit zijn twee hoofdonderdelen van de werking van Azure Databricks:

Belangrijke verantwoordelijkheden van Microsoft zijn onder andere:

  • Voer zijn verplichtingen uit als een zakelijke partner onder uw BAA met Microsoft.

  • Geef uw VM's onder uw contract met Microsoft die HIPAA-naleving ondersteunen.

  • Verwijder versleutelingssleutels en -gegevens wanneer Azure Databricks de VM-exemplaren vrijgeeft.

Belangrijke verantwoordelijkheden van Azure Databricks zijn:

  • Versleutel in-transit PHI-gegevens die naar of van het besturingsvlak worden verzonden.
  • PHI-data-at-rest versleutelen in het besturingsvlak
  • Beperk de set exemplaartypen tot ondersteunde exemplaartypen voor het beveiligingsprofiel voor naleving. Azure Databricks beperkt de exemplaartypen zowel in de accountconsole als via de API.
  • De inrichting van VM-exemplaren ongedaan maken wanneer u in Azure Databricks aangeeft dat ze ongedaan moeten worden gemaakt, bijvoorbeeld automatische beëindiging of handmatige beëindiging, zodat Azure ze kan wissen.

Belangrijke verantwoordelijkheden van u:

  • Configureer uw werkruimte voor het gebruik van door de klant beheerde sleutels voor beheerde services of het interactieve Store-notitieblok resulteert in de functie klantaccount .
  • Gebruik geen preview-functies in Azure Databricks om andere phi-functies te verwerken dan functies die worden vermeld in preview-functies die worden ondersteund voor de verwerking van PHI-gegevens
  • Volg de aanbevolen beveiligingsprocedures, zoals onnodig uitgaand verkeer van het rekenvlak uitschakelen en de functie Azure Databricks-geheimen (of andere vergelijkbare functionaliteit) gebruiken om toegangssleutels op te slaan die toegang bieden tot PHI.
  • Voer een business associate agreement in met Microsoft om alle gegevens te behandelen die worden verwerkt in het VNet waar de VM-exemplaren worden geïmplementeerd.
  • Doe niets binnen een virtuele machine die een schending van HIPAA zou zijn. Stuur bijvoorbeeld Azure Databricks om niet-versleutelde PHI naar een eindpunt te verzenden.
  • Zorg ervoor dat alle gegevens die PHI bevatten, in rust worden versleuteld wanneer u deze opslaat op locaties waarmee het Azure Databricks-platform kan communiceren. Dit omvat het instellen van de versleutelingsinstellingen voor de hoofdopslag van elke werkruimte (ADLSgen2 voor nieuwere werkruimten, Blob-opslag voor oudere werkruimten) die deel uitmaken van het maken van de werkruimte. U bent verantwoordelijk voor het garanderen van de versleuteling (evenals het uitvoeren van back-ups) voor deze opslag en alle andere gegevensbronnen.
  • Zorg ervoor dat alle gegevens die PHI kunnen bevatten, worden versleuteld tussen Azure Databricks en een van uw gegevensopslaglocaties of externe locaties die u opent vanaf een rekenvlakmachine. Elke API die u gebruikt in een notebook die verbinding kan maken met een externe gegevensbron, moet bijvoorbeeld de juiste versleuteling gebruiken voor uitgaande verbindingen.
  • Zorg ervoor dat alle gegevens die PHI bevatten, in rust worden versleuteld wanneer u deze opslaat op locaties waarmee het Azure Databricks-platform kan communiceren. Dit omvat het instellen van de versleutelingsinstellingen voor de hoofdopslag van elke werkruimte die deel uitmaakt van het maken van een werkruimte.
  • Zorg ervoor dat de versleuteling (evenals het uitvoeren van back-ups) voor uw hoofdopslag (ADLSgen2) voor nieuwere werkruimten, Blob-opslag voor oudere werkruimten) en alle andere gegevensbronnen.
  • Zorg ervoor dat alle gegevens die PHI kunnen bevatten, worden versleuteld tussen Azure Databricks en een van uw gegevensopslaglocaties of externe locaties die u opent vanaf een rekenvlakmachine. Elke API die u gebruikt in een notebook die verbinding kan maken met een externe gegevensbron, moet bijvoorbeeld de juiste versleuteling gebruiken voor uitgaande verbindingen.

Over door de klant beheerde sleutels:

  • U kunt door de klant beheerde sleutels toevoegen voor de hoofdopslag van uw werkruimte met behulp van de door de klant beheerde sleutels voor de DBFS-functie , maar Azure Databricks vereist dit niet.
  • U kunt door de klant beheerde sleutels toevoegen voor beheerde schijfvolumes, maar dit is niet nodig voor HIPAA-naleving.