Freigeben über

HIPAA

Auf dieser Seite werden HIPAA-Compliancesteuerelemente in Azure Databricks beschrieben.

Übersicht über HIPAA

HIPAA ist ein US-Gesundheitsgesetz, das nationale Standards zum Schutz der Privatsphäre und Sicherheit geschützter Gesundheitsinformationen (PHI) festlegt.

Die wichtigsten Punkte:

  • Gilt für Gesundheitsdienstleister, Versicherer und Anbieter, die PHI verarbeiten.
  • Enthält Regeln für Datenschutz, Sicherheit und Meldung von Datenschutzverletzungen.
  • Erfordert administrative, technische und physische Schutzmaßnahmen für PHI.
  • Gilt für Clouddienstanbieter, die PHI speichern oder verarbeiten.

HIPAA-Konformitätssteuerung aktivieren

Databricks empfiehlt dringend, dass Kunden, die HIPAA-Compliance-Kontrolle verwenden möchten, das Compliancesicherheitsprofil aktivieren, das Überwachungs-Agents hinzufügt, ein gehärtetes Computeimage und andere Features bereitstellt. Für die Verarbeitung regulierter Daten werden nur bestimmte Vorschaufeatures unterstützt. Ausführliche Informationen zum Compliancesicherheitsprofil und unterstützten Vorschaufeatures finden Sie im Compliancesicherheitsprofil.

Informationen zum Aktivieren von HIPAA-Compliancesteuerelementen finden Sie unter Konfigurieren erweiterter Sicherheits- und Complianceeinstellungen.

Gemeinsame Verantwortung für die HIPAA-Compliance

Die Einhaltung von HIPAA umfasst drei Hauptbereiche mit unterschiedlichen Zuständigkeiten. Während jede Partei zahlreiche Zuständigkeiten hat, führen wir unten die wichtigsten Verantwortlichkeiten von Databricks zusammen mit Ihren Zuständigkeiten auf.

In diesem Abschnitt werden die Terminologiesteuerungsebene und die Computeebene verwendet, die zwei Hauptbestandteile der Azure Databricks-Architektur sind:

  • Die Azure Databricks-Kontrollebene enthält die Back-End-Dienste, die Azure Databricks in seinem eigenen Azure-Konto verwaltet.
  • Die Computeebene ist der Ort, an dem Ihre Datenlake verarbeitet wird. Die klassische Rechenschicht enthält ein VNet in Ihrem Azure-Konto sowie Cluster von Rechenressourcen, um Ihre Notizbücher, Aufträge und Pro- oder klassische SQL-Warenhäuser zu verarbeiten.

Weitere Informationen finden Sie unter Allgemeine Architektur.

Sie sind allein dafür verantwortlich, zu überprüfen, ob vertrauliche Informationen nie in benutzerdefinierte Eingabefelder eingegeben werden, z. B. Arbeitsbereichsnamen, Computeressourcennamen, Tags, Auftragsnamen, Auftragsausführungsnamen, Netzwerknamen, Anmeldeinformationsnamen, Speicherkontonamen und Git-Repository-IDs oder URLs. Diese Felder können außerhalb der Compliancegrenze gespeichert, verarbeitet oder darauf zugegriffen werden.

Wichtig

  • Sie sind selbst dafür verantwortlich, dass Sie alle geltenden Gesetze und Vorschriften einhalten. Die in der Onlinedokumentation von Azure Databricks bereitgestellten Informationen stellen keine Rechtsberatung dar, und Sie sollten sich bei Fragen zur Einhaltung von Vorschriften an Ihren Rechtsberater wenden.
  • Azure Databricks unterstützt die Verwendung von Vorschau-Funktionen für die Verarbeitung von gesundheitsbezogenen Daten auf der HIPAA-Plattform von Azure nicht, mit Ausnahme der Funktionen, die unter Unterstützte Vorschaufeatures aufgeführt sind.

Zu den wichtigsten Verantwortlichkeiten von Microsoft gehören:

  • Erfüllung der Verpflichtungen als Geschäftspartner gemäß Ihrem Vertrag für Geschäftspartner mit Microsoft.

  • Bereitstellung von virtuellen Computern im Rahmen Ihres Vertrags mit Microsoft, die die HIPAA-Compliance unterstützen.

  • Löschen der Verschlüsselungsschlüssel und Daten, wenn Azure Databricks die VM-Instanzen freigibt

Zu den wichtigsten Verantwortlichkeiten von Azure Databricks gehören:

  • Verschlüsseln Sie PHI-Daten, die während der Übertragung an oder von der Kontrollebene gesendet werden.
  • Verschlüsseln Sie ruhende PHI-Daten in der Kontrollebene.
  • Verwenden Sie nur Instanztypen, die mithilfe des Compliancesicherheitsprofils unterstützt werden. Azure Databricks erzwingt dies sowohl im Arbeitsbereich als auch in der API.
  • Aufheben der Bereitstellung von VM-Instanzen, wenn Sie in Azure Databricks (z. B. durch automatische Beendigung oder manuelle Beendigung) angeben, damit Azure sie zurücksetzen kann.

Ihre wichtigsten Zuständigkeiten:

  • Konfigurieren Sie Ihren Arbeitsbereich so, dass er entweder kundenseitig verwaltete Schlüssel für verwaltete Dienste oder die Funktion Interaktive Notebookergebnisse im Kundenkonto speichern verwendet.
  • Verwenden Sie keine Vorschaufeatures in Azure Databricks, um PHI zu verarbeiten, außer die in den unterstützten Vorschaufeatures aufgeführten.
  • Befolgen Sie bewährte Sicherheitspraktiken, wie z.B. das Deaktivieren unnötiger Ausgänge von der Rechenebene und die Verwendung von Azure Databricks Secrets, um Zugriffsschlüssel für PHI zu speichern.
  • Schließen Sie eine Geschäftsvereinbarung mit Microsoft ein, um alle daten abzudecken, die innerhalb des VNet verarbeitet werden, in dem VM-Instanzen bereitgestellt werden.
  • Führen Sie keine Aktionen innerhalb eines virtuellen Computers aus, die gegen HIPAA verstoßen würden. Leiten Sie beispielsweise azure Databricks nicht an, unverschlüsselte PHI an einen Endpunkt zu senden.
  • Stellen Sie sicher, dass alle Daten, die PHI enthalten können, an einem beliebigen Speicherort verschlüsselt sind, mit dem die Azure Databricks-Plattform interagiert. Dies schließt die Einstellung der Verschlüsselung für Arbeitsbereichsspeicherkonten während der Erstellung des Arbeitsbereichs ein. Sie sind für Verschlüsselung und Sicherungen dieses Speichers und aller anderen Datenquellen verantwortlich.
  • Stellen Sie sicher, dass alle Daten, die PHI enthalten können, während der Übertragung zwischen Azure Databricks und allen verbundenen Datenspeichern oder externen Systemen verschlüsselt werden. Beispielsweise müssen in Notizbüchern verwendete APIs die Verschlüsselung für alle ausgehenden Verbindungen verwenden.
  • Last updated on