HIPAA 合规性功能
Databricks 强烈建议想要使用 HIPAA 合规性功能的客户启用合规性安全配置文件，该配置文件添加了监视代理，提供强化的计算映像和其他功能。 有关技术详细信息，请参阅合规性安全配置文件。
你有责任确认每个工作区都启用了合规性安全配置文件。
此功能要求工作区位于高级定价层。
确保不在客户定义的输入字段中输入敏感信息，例如工作区名称、群集名称和作业名称。
对哪些计算资源提供增强的安全性
HIPAA 的合规性安全配置文件增强功能适用于经典计算平面中的计算资源以及所有区域中的无服务器计算平面。 有关经典计算平面和无服务器计算平面的详细信息，请参阅 Azure Databricks 体系结构概览。
HIPAA 概述
1996 年《健康保险可移植性与责任法案》(HIPAA)、《健康信息技术促进经济和临床健康法案》(HITECH) 以及根据 HIPAA 发布的各项法规是一套美国医疗保健法律。 除其他规定外，这些法律还规定了受保护健康信息 (PHI) 的使用、披露和保护的要求。
HIPAA 适用于创建、接收、维护、传输或访问 PHI 的覆盖实体和业务关联方。 当覆盖实体或业务关联方使用云服务提供商 (CSP) 的服务（例如 Azure Databricks）时，CSP 即成为 HIPAA 下的业务关联方。
Azure Databricks 是否允许在 Azure Databricks 上处理 PHI 数据?
是的。 Databricks 强烈建议在该配置期间启用合规性安全配置文件并添加 HIPAA。
在工作区上启用 HIPAA
为了处理受 HIPAA 合规性标准监管的数据，Databricks 建议每个工作区都启用合规性安全配置文件，并添加 HIPAA 合规性标准。
可以使用 Azure 门户启用合规性安全配置文件，并将合规性标准添加到新工作区或现有工作区，或者使用 ARM 模板。 有关说明和模板，请参阅配置增强的安全性和合规性设置。
重要
将符合性标准添加到工作区是永久性的。
重要
- 你全权负责确保自己遵守所有适用的法律和法规。 Azure Databricks 在线文档中提供的信息并不构成法律建议，有关法规合规性的任何问题，请咨询你的法律顾问。
- Azure Databricks 不支持使用预览功能在 Azure 平台上处理涉及 HIPAA 的 PHI，但支持处理 PHI 数据的预览功能中列出的功能除外。
支持处理 PHI 数据的预览功能
以下预览功能支持处理 PHI：
-
工作区级 SCIM 预配为旧版。 Databricks 建议使用帐户级 SCIM 预配，该预配已正式发布。
增量实时表 Hive 元存储到 Unity Catalog 克隆 API
HIPAA 合规性的共同责任
遵守 HIPAA 有三个主要方面，各自承担不同的责任。 每一方都有许多责任，下面我们列举了我们的主要责任和贵方的责任。
本文使用 Azure Databricks 术语“控制平面”和“计算平面”，它们是 Azure Databricks 运作的两个主要部分：
Microsoft 的主要责任包括：
根据你与 Microsoft 签订的 BAA 履行其作为业务关联方的义务。
根据你与 Microsoft 签订的合同，为你提供支持 HIPAA 合规性的 VM。
在 Azure Databricks 释放 VM 实例时删除加密密钥和数据。
Azure Databricks 的主要责任包括：
- 对传输到控制平面或从控制平面传输的传输中 PHI 数据进行加密。
- 加密控制平面中的 PHI 静态数据
- 将实例类型集限制为合规性安全配置文件支持的实例类型。 Azure Databricks 限制帐户控制台和 API 中的实例类型。
- 当你在 Azure Databricks 中指示要对 VM 实例取消设置（例如自动终止或手动终止）时，取消设置 VM 实例，以便 Azure 对其进行擦除。
你的主要责任：
- 将工作区配置为使用托管服务的客户管理的密钥或在客户帐户中存储交互式笔记本结果功能。
- 请勿使用 Azure Databricks 中的预览功能来处理 PHI，支持处理 PHI 数据的预览功能中列出的功能除外
- 遵循安全性最佳做法，例如禁用来自计算平面的不必要的出口，并使用 Azure Databricks 机密功能（或其他类似功能）来存储提供对 PHI 的访问的访问密钥。
- 与 Microsoft 签订业务关联协议，涵盖在部署 VM 实例的 VNet 内处理的所有数据。
- 请勿在虚拟机中进行违反 HIPAA 的操作。 例如，指示 Azure Databricks 将未加密的 PHI 发送到某个终结点。
- 确保将可能包含 PHI 的所有数据存储在 Azure Databricks 平台可能会与之交互的位置时，这些数据已静态加密。 这包括在创建工作区的过程中，在每个工作区的根存储（较新工作区为 ADLSgen2，较旧工作区为 Blob 存储）上设置加密设置。 你有责任确保该存储和所有其他数据源的加密（以及执行备份）。
- 确保所有可能包含 PHI 的数据在 Azure Databricks 和任何数据存储位置或从计算平面计算机访问的外部位置之间的传输过程中都已加密。 例如，在笔记本中使用的任何可能连接到外部数据源的 API 都必须对任何传出连接使用适当的加密。
- 确保将可能包含 PHI 的所有数据存储在 Azure Databricks 平台可能会与之交互的位置时，这些数据已静态加密。 这包括在创建工作区时，在每个工作区的根存储上设置加密设置。
- 确保对根存储（较新工作区为 ADLSgen2，较旧工作区为 Blob 存储）和所有其他数据源进行加密（以及执行备份）。
- 确保所有可能包含 PHI 的数据在 Azure Databricks 和任何数据存储位置或从计算平面计算机访问的外部位置之间的传输过程中都已加密。 例如，在笔记本中使用的任何可能连接到外部数据源的 API 都必须对任何传出连接使用适当的加密。
关于客户管理的密钥：
- 可以使用适用于 DBFS 的客户管理的密钥功能为工作区的根存储添加客户管理的密钥，但 Azure Databricks 不要求你这样做。
- 可以添加托管磁盘卷的客户管理的密钥，但这对于 HIPAA 合规性来说没有必要。