HIPAA

이 페이지에서는 Azure Databricks의 HIPAA 규정 준수 컨트롤에 대해 설명합니다.

HIPAA 개요

HIPAA는 보호된 건강 정보(PHI)의 개인 정보 보호 및 보안을 보호하기 위한 국가 표준을 수립하는 미국 의료법입니다.

주요 정보:

• PHI를 처리하는 의료 서비스 제공자, 보험사 및 공급업체에 적용됩니다.
• 개인 정보, 보안 및 위반 알림에 대한 규칙을 포함합니다.
• PHI에 대한 관리, 기술 및 물리적 보호가 필요합니다.
• PHI를 저장하거나 처리하는 클라우드 서비스 공급자에 적용됩니다.

HIPAA 규정 준수 컨트롤 사용

Databricks는 HIPAA 규정 준수 제어를 사용하려는 고객이 모니터링 에이전트를 추가하고 강화된 컴퓨팅 이미지 및 기타 기능을 제공하는 규정 준수 보안 프로필을 사용하도록 설정하는 것이 좋습니다. 특정 미리 보기 기능만 규제된 데이터 처리에 지원됩니다. 규정 준수 보안 프로필 및 지원되는 미리 보기 기능에 대한 자세한 내용은 준수 보안 프로필을 참조하세요.

HIPAA 규정 준수 제어를 사용하도록 설정하려면 향상된 보안 및 규정 준수 설정 구성을 참조하세요.

HIPAA 규정 준수에 대한 공동 책임

HIPAA 준수와 관련하여 크게 세 가지 영역이 있으며 저마다 책임이 서로 다릅니다. 각 당사자는 많은 책임을 맡지만 아래는 사용자의 책임과 함께 Databricks의 주요 책임을 열거합니다.

이 섹션에서는 Azure Databricks 아키텍처의 두 가지 주요 부분인 용어 제어 평면 과 컴퓨팅 평면을 사용합니다.

• Azure Databricks 컨트롤 플레인에는 Azure Databricks가 자체 Azure 계정에서 관리하는 백 엔드 서비스가 포함됩니다.
• 컴퓨팅 평면은 데이터 레이크가 처리되는 곳입니다. 고전적 컴퓨트 체계에는 Azure 계정에 포함된 VNet과 Notebook, 작업 및 프로 또는 클래식 SQL 데이터 웨어하우스를 처리하는 컴퓨팅 리소스 클러스터가 포함됩니다.

자세한 내용은 고급 아키텍처를 참조하세요.

작업 영역 이름, 컴퓨팅 리소스 이름, 태그, 작업 이름, 작업 실행 이름, 네트워크 이름, 자격 증명 이름, 스토리지 계정 이름, Git 리포지토리 ID 또는 URL과 같은 중요한 정보가 고객 정의 입력 필드에 입력되지 않는지 확인하는 것은 전적으로 책임이 있습니다. 이러한 필드는 규정 준수 경계 외부에서 저장, 처리 또는 액세스할 수 있습니다.

Microsoft의 주요 책임은 다음과 같습니다.

• Microsoft와의 BAA에 따라 비즈니스 협력자로서의 의무를 이행합니다.

• HIPAA 규정 준수를 지원하는 Microsoft와의 계약에 따라 VM을 제공합니다.

• Azure Databricks가 VM 인스턴스를 릴리스할 때 암호화 키 및 데이터를 삭제합니다.

Azure Databricks의 주요 책임은 다음과 같습니다.

• 전송 중인 PHI 데이터를 제어 평면으로부터 또는 제어 평면으로 보내는 경우 암호화합니다.
• 제어 평면에서 대기 중인 PHI 데이터를 암호화합니다.
• 규정 준수 보안 프로필을 사용하여 지원되는 인스턴스 유형만 사용합니다. Azure Databricks는 작업 영역과 API 모두에서 이를 적용합니다.
• Azure Databricks에서 표시할 때(예: 자동 종료 또는 수동 종료를 통해) VM 인스턴스를 프로비전 해제하여 Azure에서 초기화할 수 있도록 합니다.

귀하의 주요 책임:

• 관리되는 서비스에 대해 고객 관리형 키를 사용하거나 고객 계정 기능에서 대화형 Notebook 저장 기능을 사용하도록 작업 영역을 구성합니다.
• 지원되는 미리 보기 기능에 나열된 기능을 제외하고 Azure Databricks의 미리 보기 기능을 사용하여 PHI를 처리하지 마세요.
• 컴퓨팅 평면에서 불필요한 송신을 비활성화하고 Azure Databricks 비밀을 사용하여 PHI용 액세스 키를 저장하는 것과 같은 보안 모범 사례를 따르십시오.
• VM 인스턴스가 배포되는 VNet 내에서 처리되는 모든 데이터를 처리하기 위해 Microsoft와 비즈니스 연결 계약을 체결합니다.
• HIPAA를 위반하는 가상 머신 내에서 작업을 수행하지 마세요. 예를 들어 Azure Databricks가 암호화되지 않은 PHI를 엔드포인트로 보내도록 지시하지 마세요.
• PHI를 포함할 수 있는 모든 데이터가 Azure Databricks 플랫폼이 상호 작용하는 모든 스토리지 위치에서 암호화되었는지 확인합니다. 여기에는 작업 영역을 만드는 동안 작업 영역 스토리지 계정에 대한 암호화 설정이 포함됩니다. 사용자는 이 스토리지 및 기타 모든 데이터 원본의 암호화 및 백업을 담당합니다.
• PHI를 포함할 수 있는 모든 데이터가 Azure Databricks와 연결된 데이터 스토리지 또는 외부 시스템 간에 전송 중에 암호화되었는지 확인합니다. 예를 들어 Notebook에 사용되는 API는 모든 아웃바운드 연결에 암호화를 사용해야 합니다.