HITRUST 控制措施的 Microsoft Entra 配置建议
本文的指南可帮助你了解详细信息，并提供 Microsoft Entra ID 中的服务和功能的建议，以支持与 HITRUST 控制措施的一致性。 请使用此信息来帮助了解健康信息信任联盟 (HITRUST) 框架，并支持你确保组织符合 1996 年《健康保险可携性和责任法案》(HIPAA) 的责任。 评估涉及与熟悉框架的认证 HITRUST 评估人员合作，他们被要求帮助指导你完成流程并了解要求。
首字母缩略词
下表列出了本文中的首字母缩略词及其拼写。
| 首字母缩写词 | 拼写检查 |
|---|---|
| CE | 涵盖实体 |
| CSF | 通用安全框架 |
| HIPAA | 1996 年健康保险可携性和责任法案 |
| HSR | HIPAA 安全规则 |
| HITRUST | 健康信息信任联盟 |
| IAM | 标识和访问管理 |
| IdP | 标识提供者 |
| ISO | 国际标准化组织 |
| ISMS | 信息安全管理系统 |
| JEA | 恰好足够的访问权限 |
| JML | 加入、变动、离开 |
| MFA | Microsoft Entra 多重身份验证 |
| NIST | 美国商务部国家标准和技术研究院 |
| PHI | 受保护的健康信息 |
| PIM | Privileged Identity Management |
| SSO | 单一登录 |
| TAP | 临时访问密码 |
健康信息信任联盟
HITRUST 组织建立了通用安全框架 (CSF)，以标准化和简化医疗保健行业中组织的安全和隐私要求。 HITRUST CSF 成立于 2007 年，旨在应对组织在处理个人数据和受保护健康信息 (PHI) 数据时面临的复杂的监管环境、安全挑战和隐私问题。 CSF 由 14 个控制类别组成，其中包括 49 个控制目标，以及 156 个控制细节。 它建立在国际标准化组织 (ISO) 27001 和 ISO 27002 的主要原则之上。
HITRUST MyCSF 工具在 Azure 市场中可用。 使用它来管理信息安全风险、数据治理、遵守信息保护法规，并遵循国家和国际标准和最佳做法。
注意
ISO 27001 是一种管理标准，它指定了信息安全管理系统 (ISMS) 的要求。 ISO 27002 是一套最佳做法，用于在 ISO 27001 框架中选择和实施安全控制措施。
HIPAA 安全规则
HIPAA 安全规则 (HSR) 制定了标准来保护个人由涵盖实体 (CE) 创建、接收、使用或维护的电子个人健康信息，该实体可以是健康计划、医疗保健结算所或医疗保健提供商。 美国美国卫生与公众服务部 (HHS) 管理着 HSR。 HHS 要求管理、物理和技术保障，以确保电子 PHI 的保密性、完整性和安全性。
HITRUST 和 HIPAA
HITRUST 开发了 CSF，包括支持医疗保健法规的安全和隐私标准。 CSF 控制措施和最佳做法简化了整合源的任务，以确保遵守联邦立法、HIPAA 安全和隐私规则。 HISTRUST CSF 是一个可认证的安全和隐私框架，其中包含展示 HIPAA 合规性的控制措施和要求。 医疗保健组织广泛采用了该框架。 使用下表了解控制措施。
| 控件类别 | 控制措施类别名称 |
|---|---|
| 0 | 信息安全管理计划 |
| 1 | 访问控制 |
| 2 | 人力资源安全 |
| 3 | 风险管理 |
| 4 | 安全策略 |
| 5 | 信息安全组织 |
| 6 | 合规性 |
| 7 | 资产管理 |
| 8 | 物理和环境安全 |
| 9 | 通信和运营管理 |
| 10 | 信息系统购置、开发和维护 |
| 11 | 信息安全事件管理 |
| 12 | 业务连续性管理 |
| 13 | 隐私做法 |
在 Microsoft Azure 平台已经 HITRUST CSF 认证中了解更多，包括标识和访问管理：
- Microsoft Entra ID，前 Azure Active Directory
- 使用 Microsoft Purview 进行权限管理
- Microsoft Entra 多重身份验证 (MFA)
访问控制类别和建议
下表包含标识和访问管理 (IAM) 的访问控制类别和 Microsoft Entra 建议，以帮助满足控制类别要求。 详细信息来自 HITRUST MyCSF v11，它引用 HIPAA 安全规则，添加到相应的控制措施中。
| HITRUST 控制措施、目标和 HSR | Microsoft Entra 指南和建议 |
|---|---|
| CSF 控制 V11 01.b 用户注册 控制类别 访问控制 - 用户注册和取消注册 控制规范 组织使用正式的用户注册和取消注册过程来启用访问权限分配。 目标名称 授权访问信息系统 HIPAA 安全规则 § 164.308(a)(3)(ii)(A) § 164.308(a)(4)(i) § 164.308(a)(3)(ii)(B) § 164.308(a)(4)(ii)(C) § 164.308(a)(4)(ii)(B) § 164.308(a)(5)(ii)(D) § 164.312(a)(2)(i) § 164.312(a)(2)(ii) § 164.312(d) |
当标识登录到其设备、应用程序或服务器时，Microsoft Entra ID 是用于验证、身份验证和凭据管理的标识平台。 它是一项基于云的标识和访问管理服务，通过单一登录 (SSO)、MFA 和条件访问来防范安全攻击。 身份验证可确保只有经过授权的标识才能访问资源和数据。 生命周期工作流使标识治理能够自动化加入者、变动者、离开者 (JML) 生命周期。 它使用内置模板来集中工作流过程或由你创建自定义工作流。 这种做法有助于减少或移除组织 JML 策略要求的手动任务。 在 Azure 门户中，导航到 Microsoft Entra ID 菜单中的“标识治理”，为组织要求查看或配置任务。 Microsoft Entra Connect 将本地目录与 Microsoft Entra ID 集成，支持使用单一标识访问本地应用程序和云服务（如 Microsoft 365）。 它将协调 Active Directory (AD) 与 Microsoft Entra ID 之间的同步。 若要开始使用 Microsoft Entra Connect，请查看先决条件。 请注意服务器要求以及如何准备 Microsoft Entra 租户以进行管理。 Microsoft Entra Connect 同步是在云上管理的预配代理，它支持从多林断连的 AD 环境同步到 Microsoft Entra ID。 将轻型代理与 Microsoft Entra Connect 配合使用。 建议进行密码哈希同步，以帮助减少密码数量，并防范凭据检测泄漏。 |
| CSF 控制 V11 01.c 特权管理 控制类别 访问控制 - 特权帐户 控制规范 组织确保注册、跟踪和定期验证授权用户帐户，以防止未经授权的信息系统访问 目标名称 授权访问信息系统 HIPAA 安全规则 § 164.308(a)(1)(i) § 164.308(a)(1)(ii)(B) § 164.308(a)(2) § 164.308(a)(3)(ii)(B) § 164.308(a)(3)(ii)(A) § 164.308(a)(4)(i) § 164.308(a)(4)(ii)(B) § 164.308(a)(4)(ii)(C) § 164.310(a)(2)(ii) § 164.310(a)(1) § 164.310(a)(2)(iii) § 164.312(a)(1) |
Privileged Identity Management (PIM) 是 Microsoft Entra ID 中的一项服务，用于管理、控制和监视对组织中重要资源的访问。 它最大限度地减少了有权访问安全信息的人数，以帮助防止恶意参与者获取访问权限。 PIM 具有基于时间和审批的访问权限，以缓解过度、不必要或滥用访问权限的风险。 它有助于识别和分析特权帐户，以确保你为用户提供执行职务恰好足够的访问权限 (JEA)。 监视和生成警报可防止可疑活动，列出触发警报的用户和角色，同时降低未经授权的访问风险。 自定义组织安全策略的警报。 访问评审使组织能够有效地管理角色分配和组成员身份。 通过评估哪些帐户具有访问权限并确保在需要时撤销访问权限来维护安全性和合规性，从而最大程度地减少过度或过时权限的风险。 |
| CSF 控制 V11 0.1d 用户密码管理 控制类别 访问控制 - 过程 控制规范 确保注册、跟踪和定期验证授权用户帐户，以防止未经授权的信息系统访问。 目标名称 授权访问信息系统 HIPAA 安全规则 §164.308(a)(5)(ii)(D) |
密码管理是安全基础结构的关键方面。 与创建可靠安全态势的最佳做法一致，Microsoft Entra ID 有助于促进全面的策略支持：SSO 和 MFA 以及无密码身份验证，例如 FIDO2 安全密钥和 Windows Hello 企业版 (WHfB)，可降低用户风险并简化用户身份验证体验。 Microsoft Entra 密码保护可检测和阻止已知的弱密码。 它融合了密码策略，具有定义自定义密码列表的灵活性，并构建密码管理策略来保护密码使用。 HITRUST 密码长度和强度要求与美国国家标准和技术研究院 NIST 800-63B 保持一致，包括至少 8 个字符的密码，对于拥有最高特权访问权限的帐户，至少 15 个字符。 复杂性度量包括至少一个数字和/或特殊字符，对于特权帐户至少一个大写和小写字母。 |
| CSF 控制 V11 01.p 安全登录过程 控制类别 访问控制 - 安全登录 控制规范 组织使用安全登录过程控制对信息资产的访问。 目标名称 操作系统访问控制 HIPAA 安全规则 § 164.308(a)(5)(i) § 164.308(a)(5)(ii)(C) § 164.308(a)(5)(ii)(D) |
安全登录是在标识尝试访问系统时安全地对其进行身份验证的过程。 该控制措施侧重于操作系统，Microsoft Entra 服务会帮助加强安全登录。 条件访问策略可帮助组织限制对已批准的应用程序、资源的访问，并确保设备安全。 Microsoft Entra ID 会分析来自标识、位置或设备的条件访问策略的信号，以自动执行决策，并强制实施访问资源和数据的组织策略。 基于角色的访问控制 (RBAC) 可帮助你管理组织中的访问和管理资源。 RBAC 有助于实现最低特权原则，确保用户具有执行其任务所需的权限。 此操作可最大程度地减少意外或故意配置错误的风险。 如控制措施“0.1d 用户密码管理”所述，无密码身份验证使用生物识别信息，因为它们难以伪造，从而提供更安全的身份验证。 |
| CSF 控制 V11 01.q 用户识别和身份验证 控制类别 空值 控制规范 所有用户都应具有唯一标识符（用户 ID），仅供其个人使用，并且应实施身份验证技术来证实用户声明的标识。 目标名称 空值 HIPAA 安全规则 § 164.308(a)(5)(ii)(D) § 164.310(a)(1) § 164.312(a)(2)(i) § 164.312(d) |
使用 Microsoft Entra ID 中的帐户预配来创建、更新和管理用户帐户。 每个用户和对象都被分配一个称为对象 ID 的唯一标识符 (UID)。 UID 是创建用户或对象时自动生成的全局唯一标识符。 Microsoft Entra ID 为系统和应用程序支持自动用户预配。 当人员加入组织中的团队时，自动预配会在正确的系统中创建新帐户。 自动取消预配将在用户离开时停用帐户。 |
| CSF 控制 V11 01.u 连接时间限制 控制类别 访问控制 - 安全登录 控制规范 组织使用安全登录过程控制对信息资产的访问。 目标名称 操作系统访问控制 HIPAA 安全规则 § 164.312(a)(2)(iii) |
该控制措施侧重于操作系统，Microsoft Entra 服务会帮助加强安全登录。 安全登录是在标识尝试访问系统时安全地对其进行身份验证的过程。 Microsoft Entra 对用户进行身份验证，并具有处理用户和资源相关信息的安全功能。 这些信息包括访问令牌、刷新令牌和 ID 令牌。 根据你的组织要求配置应用程序访问。 将本指南主要用于移动和桌面客户端。 条件访问策略支持对 Web 浏览器经过身份验证的会话限制的配置设置。 Microsoft Entra ID 具有跨操作系统的集成，为列出的无密码身份验证方法提供更好的用户体验和支持： 适用于 macOS 的平台 SSO 扩展了 macOS 的 SSO 功能。 用户使用无密码凭据或经 Microsoft Entra ID 验证的密码管理登录到 Mac。 Windows 无密码体验可在已加入 Microsoft Entra 的设备上提升无需密码的身份验证体验。 使用无密码身份验证可减少与基于密码的传统身份验证相关的漏洞和风险，例如网络钓鱼攻击、密码重用和键记录器密码拦截。 适用于 Windows 的 Web 登录是一项凭据提供程序，可扩展 Windows 11 中的 Web 登录功能，涵盖 Windows Hello 企业版、临时访问密码 (TAP) 和联合标识。 Azure 虚拟桌面支持 SSO 和无密码身份验证。 借助 SSO，你可以使用无密码身份验证以及与 Microsoft Entra ID 联合的第三方标识提供者 (IdPs) 来登录到你的 Azure 虚拟桌面资源。 在向会话主机进行身份验证时，它具有 SSO 体验。 它将会话配置为在会话中提供对 Microsoft Entra 资源的 SSO。 |