Dela via

Funktioner för efterlevnad av HIPAA-reglerna

  • Artikel

Databricks rekommenderar starkt att kunder som vill använda HIPAA-efterlevnadsfunktioner aktiverar säkerhetsprofilen för efterlevnad, som lägger till övervakningsagenter, ger en härdad beräkningsbild och andra funktioner. Teknisk information finns i Säkerhetsprofil för efterlevnad.

Det är ditt ansvar att bekräfta att varje arbetsyta har aktiverat efterlevnadssäkerhetsprofilen.

Den här funktionen kräver att din arbetsyta är på premiumprisnivån.

Se till att känslig information aldrig anges i kunddefinierade indatafält, till exempel arbetsytenamn, klusternamn och jobbnamn.

Vilka beräkningsresurser får förbättrad säkerhet

Förbättringarna av efterlevnadssäkerhetsprofilen för HIPAA gäller för beräkningsresurser i det klassiska beräkningsplanet och det serverlösa beräkningsplanet i alla regioner. Mer information om klassiska och serverlösa beräkningsplan finns i Översikt över Azure Databricks-arkitektur.

HIPAA-översikt

Health Insurance Portability and Accountability Act från 1996 (HIPAA), Health Information Technology for Economic and Clinical Health (HITECH) och de förordningar som utfärdats enligt HIPAA är en uppsättning amerikanska hälso- och sjukvårdslagar. Bland andra bestämmelser fastställer dessa lagar krav för användning, avslöjande och skydd av skyddad hälsoinformation (PHI).

HIPAA gäller för täckta entiteter och affärsmedarbetare som skapar, tar emot, underhåller, överför eller får åtkomst till PHI. När en täckt entitet eller affärsmedarbetare engagerar tjänster från en molntjänstleverantör (CSP), till exempel Azure Databricks, blir CSP:n en affärspartner under HIPAA.

Tillåter Azure Databricks bearbetning av PHI-data i Azure Databricks?

Ja. Databricks rekommenderar starkt att du aktiverar säkerhetsprofilen för efterlevnad och lägger till HIPAA under den konfigurationen.

Aktivera HIPAA på en arbetsyta

För att bearbeta data som regleras av HIPAA-efterlevnadsstandarden rekommenderar Databricks att varje arbetsyta har säkerhetsprofilen för efterlevnad aktiverad och lägger till HIPAA-efterlevnadsstandarden.

Du kan aktivera säkerhetsprofilen för efterlevnad och lägga till en efterlevnadsstandard till en ny arbetsyta eller en befintlig arbetsyta med hjälp av Azure Portal, eller alternativt använda en ARM-mall. Anvisningar och mallar finns i Konfigurera förbättrade säkerhets- och efterlevnadsinställningar.

Viktigt!

Att lägga till en efterlevnadsstandard på en arbetsyta är permanent.

Viktigt!

  • Du är helt ansvarig för att säkerställa din egen efterlevnad av alla tillämpliga lagar och förordningar. Information som tillhandahålls i Azure Databricks onlinedokumentation utgör inte juridisk rådgivning, och du bör kontakta din juridiska rådgivare för frågor om regelefterlevnad.
  • Azure Databricks stöder inte användning av förhandsversionsfunktioner för bearbetning av PHI på HIPAA på Azure-plattformen, med undantag för de funktioner som anges i förhandsversionsfunktioner som stöds för bearbetning av PHI-data.

Förhandsversionsfunktioner som stöds för bearbetning av PHI-data

Följande förhandsgranskningsfunktioner stöds för bearbetning av PHI:

Delat ansvar för HIPAA-efterlevnad

Att följa HIPAA har tre huvudområden, med olika ansvarsområden. Medan varje part har många ansvarsområden, räknar vi under upp våra viktiga ansvarsområden, tillsammans med ditt ansvar.

Den här artikeln använder terminologin Azure Databrickskontrollplan och beräkningsplan, som är de två huvuddelarna av hur Azure Databricks fungerar.

Viktiga ansvarsområden för Microsoft är:

  • Utför sina skyldigheter som affärspartner under din BAA med Microsoft.

  • Tillhandahålla dina VM:er under ditt avtal med Microsoft som är förenliga med HIPAA-kraven.

  • Ta bort krypteringsnycklar och data när Azure Databricks släpper vm-instanserna.

Viktiga ansvarsområden för Azure Databricks är:

  • Kryptera PHI-data under överföring som överförs till eller från kontrollplanet.
  • Kryptera PHI (skyddad hälsoinformation) vid vila i kontrollplanet
  • Begränsa uppsättningen instanstyper till sådana som stöds för efterlevnadsprofilens säkerhet. Azure Databricks begränsar instanstyperna både i kontokonsolen och via API:et.
  • Avveckla VM-instanser när du anger i Azure Databricks att de ska avvecklas, till exempel automatisk avslutning eller manuell avslutning, så att Azure kan rensa dem.

Viktiga ansvarsområden för dig:

  • Konfigurera din arbetsyta för att använda antingen kundhanterade nycklar för hanterade tjänster eller funktionen Lagra interaktiva notebook-resultat i kundkontot.
  • Använd inte förhandsversionsfunktioner i Azure Databricks för att bearbeta PHI annat än funktioner som anges i förhandsversionsfunktioner som stöds för bearbetning av PHI-data
  • Följ metodtipsen för säkerhet, till exempel inaktivera onödig utgående åtkomst från beräkningsplanet och använd funktionen Azure Databricks-hemligheter (eller andra liknande funktioner) för att lagra åtkomstnycklar som ger åtkomst till PHI.
  • Ingå ett affärsavtal med Microsoft för att täcka alla data som bearbetas i det virtuella nätverk där de virtuella datorinstanserna distribueras.
  • Gör inte något i en virtuell dator som skulle vara ett brott mot HIPAA. Du kan till exempel dirigera Azure Databricks att skicka okrypterad PHI till en slutpunkt.
  • Se till att alla data som kan innehålla PHI krypteras i vila när du lagrar dem på platser som Azure Databricks-plattformen kan interagera med. Detta inkluderar att ange krypteringsinställningarna för varje arbetsytas rotlagring (ADLSgen2 för nyare arbetsytor, Blob Storage för äldre arbetsytor) som ingår i skapandet av arbetsytan. Du ansvarar för att säkerställa krypteringen (samt utföra säkerhetskopior) för den här lagringen och alla andra datakällor.
  • Se till att alla data som kan innehålla PHI är krypterade under överföringen mellan Azure Databricks och någon av dina datalagringsplatser eller externa platser som du kommer åt från en beräkningsplanmaskin. Till exempel måste alla API:er som du använder i en notebook-fil som kan ansluta till en extern datakälla använda lämplig kryptering på alla utgående anslutningar.
  • Se till att alla data som kan innehålla PHI krypteras i vila när du lagrar dem på platser som Azure Databricks-plattformen kan interagera med. Detta inkluderar att ange krypteringsinställningarna för varje arbetsytas rotlagring som ingår i skapandet av arbetsytan.
  • Säkerställ kryptering och utför säkerhetskopior för din rotlagring (ADLSgen2 för nyare arbetsytor, Bloblagring för äldre arbetsytor) samt alla andra datakällor.
  • Se till att alla data som kan innehålla PHI är krypterade under överföringen mellan Azure Databricks och någon av dina datalagringsplatser eller externa platser som du kommer åt från en beräkningsplanmaskin. Till exempel måste alla API:er som du använder i en notebook-fil som kan ansluta till en extern datakälla använda lämplig kryptering på alla utgående anslutningar.

Om kundhanterade nycklar: