Orientações de salvaguarda do controlo de acesso
O Microsoft Entra ID atende aos requisitos de prática relacionados à identidade para implementar salvaguardas da Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996 (HIPAA). Para estar em conformidade com a HIPAA, implemente as salvaguardas usando estas orientações. Talvez seja necessário modificar outras configurações ou processos.
Para compreender a Salvaguarda de Identificação do Utilizador, recomendamos que pesquise e defina objetivos que lhe permitam:
Certifique-se de que os IDs sejam exclusivos para todos que precisam se conectar ao domínio.
Estabeleça um processo JML (Marceneiro, Mover e Largar).
Auditoria do facilitador para rastreamento de identidade.
Para a Salvaguarda de Controle de Acesso Autorizado, defina objetivos para que:
O acesso ao sistema é limitado a utilizadores autorizados.
Os utilizadores autorizados são identificados.
O acesso aos dados pessoais é limitado a utilizadores autorizados.
Para a salvaguarda do procedimento de acesso de emergência:
Garantir a alta disponibilidade dos serviços essenciais.
Elimine pontos únicos de falha.
Estabeleça um plano de recuperação de desastres.
Garanta backups de dados de alto risco.
Estabelecer e manter contas de acesso de emergência.
Para a Salvaguarda de Logoff Automático:
Estabeleça um procedimento que encerre uma sessão eletrônica após um tempo predeterminado de inatividade.
Configure e implemente uma política de saída automática.
Identificação única do utilizador
A tabela a seguir tem proteções de controle de acesso da orientação HIPAA para identificação exclusiva do usuário. Encontre recomendações da Microsoft para atender aos requisitos de implementação de salvaguarda.
Salvaguarda HIPAA - identificação única do utilizador
Assign a unique name and/or number for identifying and tracking user identity.
| Recomendação | Ação |
|---|---|
| Configurar híbrido para utilizar o Microsoft Entra ID |
O Microsoft Entra Connect integra diretórios locais com o Microsoft Entra ID, suportando o uso de identidades únicas para acessar aplicativos locais e serviços de nuvem, como o Microsoft 365. Ele orquestra a sincronização entre o Ative Directory (AD) e o Microsoft Entra ID. Para começar a usar o Microsoft Entra Connect, revise os pré-requisitos, anotando os requisitos do servidor e como preparar seu locatário do Microsoft Entra para gerenciamento. A sincronização do Microsoft Entra Connect é um agente de provisionamento gerenciado na nuvem. O agente de provisionamento oferece suporte à sincronização com a ID do Microsoft Entra a partir de um ambiente AD desconectado de várias florestas. Agentes leves são instalados e podem ser usados com o Microsoft Entra Connect. Recomendamos que você use o Password Hash Sync para ajudar a reduzir o número de senhas e proteger contra a deteção de credenciais vazadas. |
| Provisionar contas de usuário |
O Microsoft Entra ID é um serviço de gerenciamento de identidade e acesso baseado em nuvem que fornece logon único, autenticação multifator e acesso condicional para proteger contra ataques de segurança. Para criar uma conta de usuário, entre no centro de administração do Microsoft Entra como administrador de usuário e crie uma nova conta navegando até Todos os usuários no menu.
O Microsoft Entra ID fornece suporte para provisionamento automatizado de usuários para sistemas e aplicativos. Os recursos incluem criar, atualizar e excluir uma conta de usuário. O provisionamento automatizado cria novas contas nos sistemas certos para novas pessoas quando elas se juntam a uma equipe em uma organização, e o desprovisionamento automatizado desativa contas quando as pessoas saem da equipe. Configure o provisionamento navegando até o centro de administração do Microsoft Entra e selecionando aplicativos corporativos para adicionar e gerenciar as configurações do aplicativo. |
| Provisionamento orientado por RH | A integração do provisionamento de contas do Microsoft Entra em um sistema de Recursos Humanos (RH) reduz o risco de acesso excessivo e o acesso não é mais necessário. O sistema de RH torna-se o início da autoridade, para contas recém-criadas, estendendo os recursos para o desprovisionamento de contas. A automação gerencia o ciclo de vida da identidade e reduz o risco de provisionamento excessivo. Essa abordagem segue a prática recomendada de segurança de fornecer acesso com privilégios mínimos. |
| Criar fluxos de trabalho de ciclo de vida | Os fluxos de trabalho do ciclo de vida fornecem governança de identidade para automatizar o ciclo de vida JML (joiner/mover/leaver). Os fluxos de trabalho do ciclo de vida centralizam o processo de fluxo de trabalho usando os modelos internos ou criando seus próprios fluxos de trabalho personalizados. essa prática ajuda a reduzir ou potencialmente remover tarefas manuais para os requisitos da estratégia JML organizacional. No portal do Azure, navegue até Governança de Identidade no menu Microsoft Entra para revisar ou configurar tarefas que se encaixam em seus requisitos organizacionais. |
| Gerenciar identidades privilegiadas | O Microsoft Entra Privileged Identity Management (PIM) permite o gerenciamento, o controle e a capacidade de monitorar o acesso. Você fornece acesso quando necessário, em uma ativação de função baseada em tempo e aprovação. Essa abordagem limita o risco de permissões de acesso excessivas, desnecessárias ou mal utilizadas. |
| Monitorização e alertas |
O Microsoft Entra ID Protection fornece uma visão consolidada de eventos de risco e vulnerabilidades potenciais que podem afetar as identidades de uma organização. A habilitação da proteção aplica os recursos existentes de deteção de anomalias do Microsoft Entra e introduz tipos de eventos de risco que detetam anomalias em tempo real. Através do centro de administração do Microsoft Entra, pode iniciar sessão, auditar e rever os registos de aprovisionamento. Os logs podem ser baixados, arquivados e transmitidos para sua ferramenta de gerenciamento de eventos e informações de segurança (SIEM). Os logs do Microsoft Entra podem ser localizados na seção de monitoramento do menu Microsoft Entra. Os logs também podem ser enviados para o Azure Monitor usando um espaço de trabalho de análise de log do Azure onde você pode configurar alertas sobre os dados conectados. O Microsoft Entra ID identifica exclusivamente os usuários por meio da propriedade ID no respetivo objeto de diretório. Essa abordagem permite filtrar identidades específicas nos arquivos de log. |
Controlo de acesso autorizado
A tabela a seguir contém orientações da HIPAA para salvaguardas de controle de acesso para controle de acesso autorizado. Encontre recomendações da Microsoft para atender aos requisitos de implementação de salvaguarda.
Salvaguarda HIPAA - controle de acesso autorizado
Person or entity authentication, implement procedures to verify that a person or entity seeking access to electronic protected health information is the one claimed.
| Recomendação | Ação |
|---|---|
| Habilitar autenticação multifator (MFA) | MFA no Microsoft Entra ID protege identidades adicionando outra camada de segurança. A autenticação de camada extra é eficaz para ajudar a impedir o acesso não autorizado. O uso de uma abordagem de MFA permite que você exija mais validação de credenciais de entrada durante o processo de autenticação. Os exemplos incluem configurar o aplicativo Authenticator para verificação com um clique ou habilitar a autenticação sem senha. |
| Ativar políticas de Acesso Condicional | As políticas de Acesso Condicional ajudam as organizações a restringir o acesso a aplicativos aprovados. O Microsoft Entra analisa sinais do usuário, do dispositivo ou do local para automatizar decisões e aplicar políticas organizacionais de acesso a recursos e dados. |
| Habilitar o controle de acesso baseado em função (RBAC) |
O RBAC fornece segurança a nível empresarial com o conceito de separação de funções. O RBAC permite ajustar e revisar permissões para proteger a confidencialidade, a privacidade e o gerenciamento de acesso a recursos e dados confidenciais junto com os sistemas. O Microsoft Entra ID fornece suporte para funções internas, que é um conjunto fixo de permissões que não podem ser modificadas. Você também pode criar suas próprias funções personalizadas onde você pode adicionar uma lista predefinida. |
| Habilitar o controle de acesso baseado em atributos (ABAC) | O ABAC define o acesso com base em atributos associados a princípios, recursos e ambiente de segurança. Ele fornece controle de acesso refinado e reduz o número de atribuições de função. O uso do ABAC pode ter como escopo o conteúdo dentro do armazenamento dedicado do Azure. |
| Configurar o acesso a grupos de usuários no SharePoint | Os grupos do SharePoint são uma coleção de usuários. As permissões têm como escopo o nível do conjunto de sites para acesso ao conteúdo. A aplicação dessa restrição pode ter como escopo contas de serviço que exigem acesso ao fluxo de dados entre aplicativos. |
Procedimento de acesso de emergência
A tabela a seguir apresenta as salvaguardas de controle de acesso de orientação da HIPAA para procedimentos de acesso de emergência. Encontre recomendações da Microsoft para atender aos requisitos de implementação de salvaguarda.
Salvaguarda HIPAA - procedimento de acesso de emergência
Establish (and implement as needed) procedures and policies for obtaining necessary electronic protected health information during an emergency or occurrence.
| Recomendação | Ação |
|---|---|
| Usar os Serviços de Recuperação do Azure |
Os Backups do Azure fornecem o suporte necessário para fazer backup de dados vitais e confidenciais. A cobertura inclui armazenamento/bancos de dados e infraestrutura de nuvem, juntamente com dispositivos Windows locais para a nuvem. Estabeleça políticas de backup para lidar com os riscos do processo de backup e recuperação. Certifique-se de que os dados sejam armazenados com segurança e possam ser recuperados com o mínimo de tempo de inatividade.
O Azure Site Recovery fornece replicação de dados quase constante para garantir que as cópias do estejam sincronizadas. As etapas iniciais antes de configurar o serviço são determinar o RPO (Recovery Point Objetive, objetivo de ponto de recuperação) e o RTO (Recovery Time Objetive, objetivo de tempo de recuperação) para dar suporte aos requisitos organizacionais. |
| Garantir resiliência | A resiliência ajuda a manter os níveis de serviço quando há interrupção nas operações de negócios e nos principais serviços de TI. O recurso abrange serviços, dados, ID do Microsoft Entra e considerações sobre o Ative Directory. Determinar um plano estratégico de resiliência para incluir quais sistemas e dados dependem do Microsoft Entra e ambientes híbridos. A resiliência do Microsoft 365 abrange os serviços principais, que incluem Exchange, SharePoint e OneDrive para proteger contra corrupção de dados e aplicar pontos de dados de resiliência para proteger o conteúdo ePHI. |
| Criar contas de quebra de vidro | O estabelecimento de uma conta de emergência ou de quebra de vidro garante que o sistema e os serviços ainda possam ser acessados em circunstâncias imprevistas, como falhas de rede ou outros motivos de perda de acesso administrativo. Recomendamos que não associe esta conta a um utilizador ou conta individual. |
Segurança da estação de trabalho - logoff automático
A tabela a seguir contém orientações da HIPAA sobre a proteção de logoff automático. Encontre recomendações da Microsoft para atender aos requisitos de implementação de salvaguarda.
Salvaguarda HIPAA - logoff automático
Implement electronic procedures that terminate an electronic session after a predetermined time of inactivity.| Create a policy and procedure to determine the length of time that a user is allowed to stay logged on, after a predetermined period of inactivity.
| Recomendação | Ação |
|---|---|
| Criar política de grupo | Suporte para dispositivos não migrados para o Microsoft Entra ID e geridos pelo Intune, a Política de Grupo (GPO) pode impor a saída ou bloquear o tempo de ecrã para dispositivos no AD ou em ambientes híbridos. |
| Avaliar os requisitos de gerenciamento de dispositivos | O Microsoft Intune fornece gerenciamento de dispositivos móveis (MDM) e gerenciamento de aplicativos móveis (MAM). Ele fornece controle sobre a empresa e dispositivos pessoais. Você pode gerenciar o uso do dispositivo e aplicar políticas para controlar aplicativos móveis. |
| Política de Acesso Condicional do Dispositivo | Implemente o bloqueio de dispositivo usando uma política de Acesso Condicional para restringir o acesso a dispositivos compatíveis ou associados híbridos do Microsoft Entra. Defina as configurações de política. Para dispositivos não gerenciados, configure a configuração Freqüência de entrada para forçar os usuários a se autenticarem novamente. |
| Configurar o tempo limite da sessão para o Microsoft 365 | Revise os tempos limite de sessão para aplicativos e serviços do Microsoft 365 para corrigir quaisquer tempos limite prolongados. |
| Configurar o tempo limite da sessão para o portal do Azure | Revise os tempos limite da sessão para a sessão do portal do Azure, implementando um tempo limite devido à inatividade que ajuda a proteger os recursos contra acesso não autorizado. |
| Revisar sessões de acesso ao aplicativo | As políticas de avaliação contínua de acesso podem negar ou conceder acesso a aplicativos. Se o login for bem-sucedido, o usuário receberá um token de acesso válido por uma (1) hora. Quando o token de acesso expira, o cliente é direcionado de volta para o Microsoft Entra ID, as condições são reavaliadas e o token é atualizado por mais uma hora. |