其他安全措施指导
Microsoft Entra ID 满足实施 1996 年的《健康保险便利和责任法案》(HIPAA) 安全措施的标识相关实践要求。 为了符合 HIPAA 标准，公司应负责使用本指导以及所需的任何其他配置或流程实施安全措施。 本文包含针对以下三个控制实现 HIPAA 合规性的指导：
- 完整性保障
- 个人或实体身份验证保护
- 传输安全防护
完整性保障指导
Microsoft Entra ID 满足实施 HIPAA 安全措施时与标识相关的实践要求。 要符合 HIPAA 标准，请使用本指导和其他所需的配置或流程实施保护措施。
对于数据修改保护：
跨所有设备保护文件和电子邮件。
发现敏感数据并进行分类。
加密包含敏感数据或个人数据的文档和电子邮件。
以下内容提供了 HIPAA 中的指导，后附一个包含 Microsoft 建议和指导的表。
HIPAA - 完整性
Implement security measures to ensure that electronically transmitted electronic protected health information isn't improperly modified without detection until disposed of.
| 建议 | 操作 |
|---|---|
| 启用 Microsoft Purview 信息保护 (IP) | 发现、分类、保护和治理敏感数据，并涵盖存储与传输的数据。 通过 Microsoft Purview IP 保护数据有助于确定数据环境、查看框架并采取积极措施来识别和保护数据。 |
| 配置 Exchange 就地保留 | Exchange Online 提供了多个设置来支持电子数据展示。 就地保留使用有关应保留哪些项的特定参数。 决策矩阵可以基于关键字、发件人、回执和日期。 Microsoft Purview 电子数据展示解决方案是Microsoft Purview 合规门户的一部分，涵盖所有 Microsoft 365 数据源。 |
| 在 Exchange Online 上配置安全/多用途 Internet 邮件扩展 | S/MIME 是用于发送数字签名和加密消息的协议。 它基于非对称密钥配对、公钥和私钥。 Exchange Online 对验证发件人身份的电子邮件和签名内容提供加密和保护。 |
| 启用监视和日志记录。 | 日志记录和监视对于保护环境安全至关重要。 该信息用于支持调查，并通过识别异常模式来帮助检测潜在威胁。 启用服务日志记录和监视，以降低未经授权的访问风险。 Microsoft Purview 审核提供 Microsoft 365 中跨服务审核活动的可见性。 它通过增加审核日志保留期来帮助调查。 |
个人或实体身份验证保护指导
Microsoft Entra ID 满足实施 HIPAA 安全措施时与标识相关的实践要求。 要符合 HIPAA 标准，请使用本指导和其他所需的配置或流程实施保护措施。
对于审核和人员与实体保护：
确保最终用户声明对数据访问有效。
识别并缓解所存储数据的任何风险。
以下内容提供了 HIPAA 中的指导，后附一个包含 Microsoft 建议和指导的表。
HIPAA - 个人或实体身份验证保护
Implement procedures to verify that a person or entity seeking access to electronic protected health information is the one claimed.
确保访问 ePHI 数据的用户和设备获得授权。 必须确保设备符合要求并对操作进行审核，以向数据所有者标记风险。
| 建议 | 操作 |
|---|---|
| 启用多重身份验证 | Microsoft Entra 多重身份验证通过添加额外的安全层来保护标识。 额外的层提供了有效方法，可防止未经授权的访问。 MFA 支持在身份验证过程中要求对登录凭据进行更多验证。 设置 Authenticator 应用可提供一键式验证，也可以配置 Microsoft Entra 无密码配置。 |
| 启用条件访问策略 | 条件访问 策略有助于将访问权限限制为仅限已获批准的应用程序。 Microsoft Entra 可分析来自用户、设备或位置的信号，以自动做出决策并强制实施组织策略来访问资源和数据。 |
| 设置基于设备的条件访问策略 | 适用于设备管理和 Microsoft Entra 策略的Microsoft Intune 条件访问可以使用设备状态授予或拒绝对服务和数据的访问权限。 通过部署设备符合性策略，它可确定它是否满足安全要求，以决定是允许还是拒绝访问资源。 |
| 使用基于角色的访问控制 (RBAC) | Microsoft Entra ID 中的 RBAC 在企业级别提供安全性，并实现职责分离。 通过系统调整和审查权限，以保护资源和敏感数据的机密性、隐私和访问管理。 Microsoft Entra ID 为 内置角色提供支持，这是一组无法修改的固定权限。 还可以创建自己的 自定义角色，可在其中添加预设列表。 |
传输安全防护指导
Microsoft Entra ID 满足实施 HIPAA 安全措施时与标识相关的实践要求。 要符合 HIPAA 标准，请使用本指导和其他所需的配置或流程实施保护措施。
对于加密：
保护数据机密性。
防止数据被盗。
阻止对 PHI 的未经授权访问。
确保数据加密级别。
要保护 PHI 数据传输：
保护 PHI 数据的共享。
保护对 PHI 数据的访问。
确保传输的数据已加密。
以下内容提供了 HIPAA 指南中审核和传输安全防护指导列表，以及 Microsoft 的建议，以支持你满足 Microsoft Entra ID 的安全防护实施要求。
HIPAA - 加密
Implement a mechanism to encrypt and decrypt electronic protected health information.
确保使用合规的加密密钥/进程加密和解密 ePHI 数据。
| 建议 | 操作 |
|---|---|
| 查看 Microsoft 365 加密点 | Microsoft 365 中的 Microsoft Purview 加密是高度安全的环境，可在多个层中提供广泛的保护：物理数据中心、安全性、网络、访问、应用程序和数据安全。 查看加密列表并进行修订（如果需要更多控制）。 |
| 审查数据库加密 | 透明数据加密进一步加强了安全性，可帮助保护静态数据免受未经的授权或脱机访问。 它使用 AES 加密对数据库进行加密。 适用于敏感数据的动态数据掩码，可限制敏感数据公开。 它可对未授权用户过滤数据。 掩码包括可在数据库架构名称、表名称和列名中定义的指定字段。 新建数据库默认处于加密状态，并通过内置服务器证书来保护数据库加密密钥。 建议查看数据库，以确保对数据资产设置了加密。 |
| 查看 Azure 加密点 | Azure 加密功能涵盖静态数据、加密模型和使用 Azure 密钥保管库进行密钥管理的主要区域。 查看不同的加密级别以及它们如何与组织内的方案匹配。 |
| 评估数据收集和保留治理 | Microsoft Purview 数据生命周期管理支持应用保留策略。 Microsoft Purview 记录管理支持应用保留标签。 此策略有助于了解整个数据资产中的资产。 此策略还有助于跨云、应用和终结点保护和管理敏感数据。 重要：如 45 CFR 164.316 中所述：时间限制（必需）。 将本部分第 (b)(1) 段要求的文档自创建日期或上次生效日期起保留 6 年，以较晚者为准。 |
HIPAA - 保护 PHI 数据传输
Implement technical security measures to guard against unauthorized access to electronic protected health information that is being transmitted over an electronic communications network.
建立策略和过程来保护包含 PHI 数据的数据交换。
| 建议 | 操作 |
|---|---|
| 评估本地应用程序的状态 | Microsoft Entra 应用程序代理实现可在外部并以安全的方式发布本地 Web 应用程序。 使用 Microsoft Entra 应用程序代理，可以安全地将外部 URL 终结点发布到 Azure。 |
| 启用多重身份验证 | Microsoft Entra 多重身份验证通过添加安全层来保护标识。 添加更多安全层是防止未经授权访问的有效方法。 MFA 支持在身份验证过程中要求对登录凭据进行更多验证。 可以配置 Authenticator 应用，以提供一键式验证或无密码身份验证。 |
| 为应用程序访问启用条件访问策略 | 条件访问策略有助于将访问权限限制为已获批准的应用程序。 Microsoft Entra 可分析来自用户、设备或位置的信号，以自动做出决策并强制实施组织策略来访问资源和数据。 |
| 查看 Exchange Online Protection (EOP) 策略 | Exchange Online 垃圾邮件和恶意软件防护可提供内置的恶意软件和垃圾邮件筛选。 EOP 可保护入站和出站消息，且默认处于启用状态。 EOP 服务还提供反欺骗、隔离邮件和在 Outlook 中报告邮件的功能。 可以自定义策略以适应公司范围的设置，这些策略将优先于默认策略。 |
| 配置敏感度标签 | Microsoft Purview 中的敏感度标签支持对组织数据进行分类和保护。 标签在文档中向容器提供保护设置。 例如，该工具可保护存储在 Microsoft Teams 和 SharePoint 网站中的文档，以设置和强制实施隐私设置。 将标签扩展到文件和数据资产，例如 SQL、Azure SQL、Azure Synapse、Azure Cosmos DB 和 AWS RDS。 除了 200 种现成敏感信息类型之外，还提供用于保护自定义敏感类型的高级分类器，例如名称实体、可训练分类器和 EDM。 |
| 评估是否需要专用连接才能连接到服务 | Azure ExpressRoute 可在基于云的 Azure 数据中心与驻留在本地的基础结构之间创建专用连接。 数据不会通过公共 Internet 传输。 该服务使用第 3 层连接，连接边缘路由器，并提供动态可伸缩性。 |
| 评估 VPN 要求 | VPN 网关文档可通过站点到站点、点到站点、VNet 到 VNet 和多站点 VPN 连接将本地网络连接到 Azure。 该服务通过提供安全数据传输支持混合工作环境。 |