HIPAA

Op deze pagina worden HIPAA-nalevingsbesturingselementen in Azure Databricks beschreven.

HIPAA-overzicht

HIPAA is een Amerikaanse gezondheidszorgwet die nationale normen vastlegt voor de bescherming van de privacy en beveiliging van beschermde gezondheidsinformatie (PHI).

Belangrijkste punten:

• Van toepassing op zorgaanbieders, verzekeraars en leveranciers die PHI verwerken.
• Bevat regels voor privacy-, beveiligings- en inbreukmelding.
• Vereist administratieve, technische en fysieke beveiliging voor PHI.
• Van toepassing op cloudserviceproviders die PHI opslaan of verwerken.

HIPAA-nalevingsbeheer inschakelen

Databricks raadt klanten die de HIPAA-nalevingscontrole willen gebruiken ten zeerste aan om het nalevingsbeveiligingsprofiel in te schakelen, waarmee monitoringagents worden toegevoegd en een versterkte rekeninstallatiekopie en andere functies worden geboden. Alleen specifieke preview-functies worden ondersteund voor het verwerken van gereglementeerde gegevens. Zie Nalevingsbeveiligingsprofiel voor meer informatie over het beveiligingsprofiel voor naleving en ondersteunde preview-functies.

Zie Verbeterde beveiligings- en nalevingsinstellingen configureren om HIPAA-nalevingscontroles in te schakelen.

Gedeelde verantwoordelijkheid voor HIPAA-naleving

Naleving van HIPAA heeft drie belangrijke gebieden, met verschillende verantwoordelijkheden. Hoewel elke partij talloze verantwoordelijkheden heeft, worden hieronder de belangrijkste verantwoordelijkheden van Databricks opgesomd, samen met uw verantwoordelijkheden.

In deze sectie wordt het terminologiebeheervlak en het rekenvlak gebruikt. Dit zijn twee hoofdonderdelen van de Azure Databricks-architectuur:

• Het azure Databricks-besturingsvlak bevat de back-endservices die Azure Databricks beheert in een eigen Azure-account.
• Het rekenvlak is waar uw data lake wordt verwerkt. Het klassieke rekenvlak bevat een VNet in uw Azure-account en clusters met rekenresources om uw notebooks, taken en pro- of klassieke SQL-warehouses te verwerken.

Zie Architectuur op hoog niveau voor meer informatie.

U bent alleen verantwoordelijk voor het verifiëren dat gevoelige informatie nooit wordt ingevoerd in door de klant gedefinieerde invoervelden, zoals werkruimtenamen, rekenresourcenamen, tags, taaknamen, taakuitvoeringsnamen, netwerknamen, referentienamen, opslagaccountnamen en URL's van Git-opslagplaatsen. Deze velden kunnen worden opgeslagen, verwerkt of geopend buiten de nalevingsgrens.

Belangrijke verantwoordelijkheden van Microsoft zijn onder andere:

• Voer zijn verplichtingen uit als een zakelijke partner onder uw BAA met Microsoft.

• Bied uw virtuele machines onder uw contract met Microsoft aan die geschikt zijn voor HIPAA-naleving.

• Verwijder versleutelingssleutels en -gegevens wanneer Azure Databricks de VM-exemplaren vrijgeeft.

Belangrijke verantwoordelijkheden van Azure Databricks zijn:

• Versleutel phi-gegevens die worden verzonden naar of van het besturingsvlak.
• Geef gezondheidsinformatie in rusttoestand een versleuteling binnen het besturingsvlak.
• Gebruik alleen exemplaartypen die worden ondersteund met behulp van het nalevingsbeveiligingsprofiel. Azure Databricks dwingt dit af in zowel de werkruimte als de API.
• VM-exemplaren deprovisioneren wanneer u in Azure Databricks aangeeft te deprovisioneren, bijvoorbeeld via automatische beëindiging of handmatige beëindiging, zodat Azure ze kan wissen.

Belangrijke verantwoordelijkheden van u:

• Configureer uw werkruimte om het gebruik van door de klant beheerde sleutels voor de beheerde services of de functie om interactieve notitieblokresultaten in het klantaccount op te slaan.
• Gebruik geen preview-functies in Azure Databricks om PHI te verwerken, behalve de functies die worden vermeld in ondersteunde preview-functies.
• Volg aanbevolen beveiligingsprocedures, zoals het uitschakelen van onnodig uitgaand verkeer van het rekenvlak en het gebruik van Azure Databricks-geheimen voor het opslaan van toegangssleutels voor PHI.
• Voer een business associate agreement in bij Microsoft om alle gegevens te behandelen die in het VNet worden verwerkt waar VM-exemplaren worden geïmplementeerd.
• Voer geen acties uit binnen een virtuele machine die de HIPAA schendt. Stuur azure Databricks bijvoorbeeld niet om niet-versleutelde PHI naar een eindpunt te verzenden.
• Zorg ervoor dat alle gegevens die PHI kunnen bevatten, in rust zijn versleuteld op elke opslaglocatie waarmee het Azure Databricks-platform communiceert. Dit omvat het instellen van versleuteling voor opslagaccounts van werkruimtes tijdens het aanmaken van de werkruimte. U bent verantwoordelijk voor versleuteling en back-ups van deze opslag en alle andere gegevensbronnen.
• Zorg ervoor dat alle gegevens die PHI kunnen bevatten, worden versleuteld tussen Azure Databricks en eventuele verbonden gegevensopslag of externe systemen. API's die in notebooks worden gebruikt, moeten bijvoorbeeld versleuteling gebruiken voor alle uitgaande verbindingen.