其他保護指引
Microsoft Entra ID 符合《1996 年健康保險可攜性及責任法案》(HIPAA) 的保障措施實施中與身分識別相關的實務要求。 為了符合 HIPAA 規範，公司有責任使用本指導方針以及任何其他所需的設定或程式來實作保護措施。 本文包含針對下列三個控件達成 HIPAA 合規性的指引：
- 完整性保障
- 人員或實體驗證保護機制
- 傳輸安全防護
完整性保護指引
Microsoft Entra ID 符合實作 HIPAA 保護的身分識別相關實務需求。 若要符合 HIPAA 規範，請使用本指導方針以及所需的任何其他設定或程式來實作保護。
針對 資料修改防護：
在所有裝置上保護檔案和電子郵件。
探索和分類敏感數據。
加密包含敏感性或個人資料的文件和電子郵件。
下列內容提供 HIPAA 的指引，接著是 Microsoft 的建議和指引的表格。
HIPAA - 完整性
Implement security measures to ensure that electronically transmitted electronic protected health information isn't improperly modified without detection until disposed of.
| 建議 | 行動 |
|---|---|
| 啟用 Microsoft Purview 資訊保護 （IP） | 探索、分類、保護及控管敏感數據，涵蓋傳輸的記憶體和數據。 透過 Microsoft Purview IP 來保護您的數據，有助於判斷數據環境、檢閱架構，並採取主動步驟來識別和保護您的數據。 |
| 設定 Exchange 就地保留 | Exchange Online 提供數個支援電子檔探索的設定。
就地保留 會使用特定參數來決定哪些項目應被保留。 決策矩陣可以根據關鍵詞、寄件者、收件者和日期。 Microsoft Purview 電子檔探索解決方案 是 Microsoft Purview 合規性入口網站的一部分，涵蓋所有 Microsoft 365 數據源。 |
| 在 Exchange Online 上設定 Secure/Multipurpose Internet Mail 擴充功能 |
S/MIME 是用來傳送數位簽署和加密訊息的通訊協定。 其以非對稱金鑰組、公開和私鑰為基礎。 Exchange Online 提供驗證發件者身分識別的電子郵件和簽章內容的加密和保護。 |
| 啟用監視和記錄。 |
記錄和監視 對於保護環境至關重要。 此資訊可用來支持調查，並藉由識別不尋常的模式來協助偵測潛在威脅。 啟用服務記錄和監視，以降低未經授權的存取風險。 Microsoft Purview 稽核可讓您在 Microsoft 365 中跨服務檢視稽核的活動。 它可藉由增加稽核記錄保留來協助調查。 |
人員或實體驗證安全措施指引
Microsoft Entra ID 符合實作 HIPAA 保護的身分識別相關實務需求。 若要符合 HIPAA 規範，請使用本指導方針以及所需的任何其他設定或程式來實作保護。
針對稽核和人員與實體保障：
確保終端使用者的憑證對數據存取是有效的。
識別並減輕儲存數據的任何風險。
下列內容提供 HIPAA 的指引，接著是 Microsoft 的建議和指引的表格。
HIPAA - 人員或實體驗證
Implement procedures to verify that a person or entity seeking access to electronic protected health information is the one claimed.
請確定存取 ePHI 資料的使用者和裝置已獲得授權。 您必須確保裝置符合規定並稽核行動，從而識別數據擁有者面臨的風險。
| 建議 | 行動 |
|---|---|
| 啟用多重要素驗證 | Microsoft Entra 多重要素驗證 藉由新增額外的安全性層級來保護身分識別。 額外的層提供有效的方法來防止未經授權的存取。 MFA 可讓您在身份驗證過程中需要更多的登入憑證驗證。 設定 Authenticator 應用程式 可提供單鍵驗證，或者您可以配置 Microsoft Entra 無密碼設定。 |
| 啟用條件式存取原則 | 條件式存取 原則有助於限制僅核准應用程式的存取。 Microsoft Entra 會分析來自使用者、裝置或位置的訊號，以自動化決策並強制執行組織原則來存取資源和數據。 |
| 設定裝置型條件式存取原則 | 使用 Microsoft Intune 進行裝置管理和 Microsoft Entra 原則的條件式存取，可以根據裝置狀態來授予或拒絕對您服務與資料的存取權。 藉由部署裝置合規性政策，它會判斷是否符合安全性需求，以決定允許存取資源或拒絕資源。 |
| 使用角色型存取控制 （RBAC） | Microsoft Entra ID 中的 RBAC 提供企業層級的安全性，並區隔職責。 使用系統調整和檢閱保護資源與敏感數據的機密性、隱私權和存取權管理的許可權。 Microsoft Entra ID 提供 內建角色的支援，這是無法修改的固定許可權集。 您也可以建立自己的 自定義角色，其中您可以新增一個預設清單。 |
傳輸安全性防護指引
Microsoft Entra ID 符合實作 HIPAA 保護的身分識別相關實務需求。 若要符合 HIPAA 規範，請使用本指導方針以及所需的任何其他設定或程式來實作保護。
進行加密時：
保護數據機密性。
防止數據竊取。
防止未經授權的 PHI 存取。
確定數據的加密層級。
若要保護 PHI 資料的傳輸：
保護 PHI 數據的共用。
保護對 PHI 數據的存取。
確定傳輸的數據已加密。
下列內容提供 HIPAA 指引中的稽核和傳輸安全性防護指引清單，以及Microsoft的建議，讓您能夠使用 Microsoft Entra ID 來滿足保護實作需求。
HIPAA - 加密
Implement a mechanism to encrypt and decrypt electronic protected health information.
請確定 ePHI 資料已使用相容的加密金鑰/程式進行加密和解密。
| 建議 | 行動 |
|---|---|
| 檢閱 Microsoft 365 加密點 |
在 Microsoft 365 中使用 Microsoft Purview 的加密是一種高度安全的環境，可在多層提供廣泛的保護：實體數據中心、安全性、網路、存取、應用程式和數據安全性。
檢閱加密清單，並修正是否需要更多控制。 |
| 檢閱資料庫加密 |
透明數據加密 新增一層安全性，協助保護待用數據免於未經授權的或離線存取。 它會使用 AES 加密來加密資料庫。 敏感數據的動態數據遮罩，這會限制敏感數據暴露。 它會將數據遮罩給非授權的使用者。 遮罩包含指定的欄位，您可以在資料庫架構名稱、資料表名稱和資料行名稱中定義。 新資料庫預設會加密，而且資料庫加密密鑰會受到內建伺服器證書的保護。 建議您檢閱資料庫，以確保在數據資產上設定加密。 |
| 檢閱 Azure 加密要點 | Azure 加密功能 涵蓋使用 Azure Key Vault 進行待用數據、加密模型和密鑰管理的主要領域。 檢閱不同的加密層級，以及它們如何符合您組織內的案例。 |
| 評估資料收集和保存治理 |
Microsoft Purview 數據生命週期管理 可讓您套用保留原則。
Microsoft Purview 記錄管理 可讓您套用保留標籤。 此策略可協助您了解整個數據資產中的資產。 此策略也可協助您保護及管理雲端、應用程式和端點之間的敏感數據。 重要事項： 如 45 CFR 164.316所述：時間限制（必要）。 保留本節第 段（b）（1） 所要求的文件，從建立日期起算六年，或從上次生效日期起算，以較晚者為準。 |
HIPAA - 保護 PHI 數據的傳輸
Implement technical security measures to guard against unauthorized access to electronic protected health information that is being transmitted over an electronic communications network.
建立原則和程式來保護包含 PHI 數據的數據交換。
| 建議 | 行動 |
|---|---|
| 評估內部部署應用程式的狀態 |
Microsoft Entra 應用程式 Proxy 實作會以安全的方式在外部發佈內部部署 Web 應用程式。 Microsoft Entra 應用程式 Proxy 可讓您安全地將外部 URL 端點發佈至 Azure。 |
| 啟用多重要素驗證 | Microsoft Entra 多重身份驗證 通過增加一層安全性來保護身分。 新增更多安全性層級是防止未經授權的存取的有效方式。 MFA 可讓您在身份驗證過程中需要更多的登入憑證驗證。 您可以設定 Authenticator 應用程式，以提供單鍵驗證或無密碼驗證。 |
| 啟用應用程式存取的條件式存取原則 | 條件式存取 原則有助於限制已核准應用程式的存取。 Microsoft Entra 會分析來自使用者、裝置或位置的訊號，以自動化決策並強制執行組織原則來存取資源和數據。 |
| 檢閱 Exchange Online Protection （EOP） 原則 |
Exchange Online 垃圾郵件和惡意代碼防護 提供內建的惡意代碼和垃圾郵件篩選。 EOP 會保護輸入和輸出訊息，且預設為啟用。 EOP 服務也提供防止欺詐、隔離郵件，以及在 Outlook 中報告郵件的功能。
您可以自定義原則以符合全公司設定，這些原則的優先順序高於默認原則。 |
| 設定敏感度標籤 |
Microsoft Purview的敏感度標籤 可讓您將組織的數據進行分類與保護。 標籤會將檔中的保護設定提供給容器。 例如，此工具會保護儲存在 Microsoft Teams 和 SharePoint 網站中的檔，以設定並強制執行隱私權設定。 將標籤延伸至檔案和數據資產，例如 SQL、Azure SQL、Azure Synapse、Azure Cosmos DB 和 AWS RDS。
除了 200 個現成的敏感性資訊類型之外，還有進階分類器，例如名稱實體、可定型分類器和 EDM，以保護自定義敏感性類型。 |
| 評估是否需要私人連線才能連線到服務 |
Azure ExpressRoute 會在雲端式 Azure 資料中心與位於內部部署的基礎結構之間建立私人連線。 數據不會透過公用因特網傳輸。
服務會使用第 3 層連線、連接邊緣路由器，並提供動態延展性。 |
| 評估 VPN 需求 |
VPN 閘道檔 透過站對站、點對站、VNet 對 VNet 和多月臺 VPN 連線，將內部部署網路連線至 Azure。 服務藉由提供安全的數據傳輸，支援混合式工作環境。 |