HIPAA

På den här sidan beskrivs HIPAA-efterlevnadskontroller i Azure Databricks.

HIPAA-översikt

HIPAA är en amerikansk hälso- och sjukvårdslag som fastställer nationella standarder för att skydda sekretess och säkerhet för skyddad hälsoinformation (PHI).

Viktiga punkter:

• Gäller för vårdgivare, försäkringsbolag och leverantörer som hanterar PHI.
• Innehåller regler för sekretess, säkerhet och meddelande om intrång.
• Kräver administrativa, tekniska och fysiska skydd för PHI.
• Gäller för molntjänstleverantörer som lagrar eller bearbetar PHI.

Aktivera HIPAA-efterlevnadskontroller

Databricks rekommenderar starkt att kunder som vill använda HIPAA-efterlevnadskontroll aktiverar säkerhetsprofilen för efterlevnad, som lägger till övervakningsagenter, ger en härdad beräkningsbild och andra funktioner. Endast specifika förhandsgranskningsfunktioner stöds för bearbetning av reglerade data. Mer information om säkerhetsprofilen för efterlevnad och vilka förhandsversionsfunktioner som stöds finns i Säkerhetsprofil för efterlevnad.

Information om hur du aktiverar HIPAA-efterlevnadskontroller finns i Konfigurera förbättrade säkerhets- och efterlevnadsinställningar.

Delat ansvar för HIPAA-efterlevnad

Att följa HIPAA har tre huvudområden, med olika ansvarsområden. Även om varje part har många ansvarsområden räknar vi under upp viktiga ansvarsområden för Databricks, tillsammans med ditt ansvar.

I det här avsnittet används terminologikontrollplanet och beräkningsplanet, som är två huvuddelar av Azure Databricks-arkitekturen:

• Azure Databricks-kontrollplanet innehåller de serverdelstjänster som Azure Databricks hanterar i sitt eget Azure-konto.
• Beräkningsplanet är där datasjön bearbetas. Det klassiska beräkningsplanet innehåller ett virtuellt nätverk i ditt Azure-konto och kluster med beräkningsresurser för att bearbeta dina notebook-filer, jobb och pro eller klassiska SQL-lager.

Mer information finns i Arkitektur på hög nivå.

Du är ensam ansvarig för att kontrollera att känslig information aldrig anges i kunddefinierade indatafält, till exempel arbetsytenamn, beräkningsresursnamn, taggar, jobbnamn, jobbkörningsnamn, nätverksnamn, namn på autentiseringsuppgifter, lagringskontonamn och Git-lagringsplats-ID:n eller URL:er. Dessa fält kan lagras, bearbetas eller nås utanför efterlevnadsgränsen.

Viktiga ansvarsområden för Microsoft är:

• Utför sina skyldigheter som affärspartner under din BAA med Microsoft.
• Tillhandahålla dina VM:er under ditt avtal med Microsoft som är förenliga med HIPAA-kraven.

• Ta bort krypteringsnycklar och data när Azure Databricks släpper vm-instanserna.

Viktiga ansvarsområden för Azure Databricks är:

• Kryptera PHI-data under överföring som skickas till eller från kontrollplanet.
• Kryptera PHI-data vid lagring i kontrollplanet.
• Använd endast instanstyper som stöds med hjälp av säkerhetsprofilen för efterlevnad. Azure Databricks tillämpar detta i både arbetsytan och API:et.
• Avveckla VM-instanser när du anger i Azure Databricks att de ska avslutas (till exempel via automatisk avslutning eller manuell avslutning) så att Azure kan ta bort dem.

Viktiga ansvarsområden för dig:

• Konfigurera din arbetsyta så att den använder antingen kundhanterade nycklar för hanterade tjänster eller funktionen att spara interaktiva notebook-resultat i kundkontot.
• Använd inte förhandsversionsfunktioner i Azure Databricks för att bearbeta PHI, förutom de som anges i Förhandsversionsfunktioner som stöds.
• Följ bästa praxis för säkerhet, till exempel att inaktivera onödiga utgående anslutningar från beräkningsplanet och använda hemligheter i Azure Databricks för att lagra åtkomstnycklar för PHI.
• Ingå ett affärsavtal med Microsoft för att täcka alla data som bearbetas i det virtuella nätverk där virtuella datorinstanser distribueras.
• Utför inte åtgärder i en virtuell dator som skulle bryta mot HIPAA. Dirigera till exempel inte Azure Databricks att skicka okrypterad PHI till en slutpunkt.
• Se till att alla data som kan innehålla PHI krypteras i vila på alla lagringsplatser som Azure Databricks-plattformen interagerar med. Detta inkluderar att ange kryptering på lagringskonton för arbetsytor när arbetsytan skapas. Du ansvarar för kryptering och säkerhetskopior av den här lagringen och alla andra datakällor.
• Se till att alla data som kan innehålla PHI krypteras under överföring mellan Azure Databricks och alla anslutna datalagringssystem eller externa system. API:er som används i notebook-filer måste till exempel använda kryptering för alla utgående anslutningar.

Regionalt stöd för funktioner

Den här tabellen visar funktionstillgänglighet för den valda efterlevnadsstandarden i alla Databricks-regioner som stöds. Vissa funktioner kan visas som tillgängliga innan de faktiskt släpps.