Compartir a través de

Características de cumplimiento de HIPAA

  • Artículo

Importante

La capacidad de los administradores de agregar características de seguridad y cumplimiento mejoradas es una característica en versión preliminar pública. El perfil de seguridad de cumplimiento y la compatibilidad con los estándares de cumplimiento están disponibles con carácter general (GA).

Databricks recomienda encarecidamente que los clientes que quieran usar características de cumplimiento de HIPAA activen el perfil de seguridad de cumplimiento, que agrega agentes de supervisión, proporciona una imagen de proceso protegida y otras características. Para obtener detalles técnicos, consulte Perfil de seguridad de cumplimiento.

Es su responsabilidad confirmar que cada área de trabajo tiene habilitado el perfil de seguridad de cumplimiento.

Esta característica requiere que el área de trabajo esté en el plan de tarifa Premium.

Asegúrese de que la información confidencial nunca se escriba en campos de entrada definidos por el cliente, como nombres de área de trabajo, nombres de clúster y nombres de trabajo.

¿Qué recursos de proceso obtienen una seguridad mejorada?

Las mejoras del perfil de seguridad de cumplimiento para HIPAA se aplican a los recursos de proceso en el plano de proceso clásico y en el plano de proceso sin servidor en todas las regiones. Para más información sobre los planos de proceso clásicos y sin servidor, consulte Introducción a la arquitectura de Azure Databricks.

Información general de HIPAA

La Ley de Transferencia y Contabilidad de los Seguros de Salud de 1996 (HIPAA), la tecnología de la información sanitaria para la salud económica y médica (HITECH) y las regulaciones emitidas en virtud de HIPAA son un conjunto de leyes sanitarias estadounidenses. Entre otras disposiciones, estas leyes establecen requisitos para el uso, divulgación y protección de la información sanitaria protegida (PHI).

HIPAA se aplica a las entidades cubiertas y a los asociados empresariales que crean, reciben, mantienen, transmiten o acceden a PHI. Cuando una entidad cubierta o un asociado empresarial interactúa con los servicios de un proveedor de servicios en la nube (CSP), como Azure Databricks, el CSP se convierte en un asociado empresarial según HIPAA.

¿Azure Databricks permite el procesamiento de datos PHI en Azure Databricks?

Sí. Databricks recomienda encarecidamente habilitar el perfil de seguridad de cumplimiento y agregar HIPAA durante esa configuración.

Habilitación de HIPAA en un área de trabajo

Para procesar los datos regulados por el estándar de cumplimiento de HIPAA, Databricks recomienda que cada área de trabajo tenga habilitado el perfil de seguridad de cumplimiento y agregue el estándar de cumplimiento HIPAA.

Puede habilitar el perfil de seguridad de cumplimiento y agregar un estándar de cumplimiento a una nueva área de trabajo o un área de trabajo existente mediante Azure Portal, o bien usar una plantilla de ARM. Para obtener instrucciones y plantillas, consulte Configuración de las opciones de seguridad y cumplimiento mejoradas.

Importante

  • Usted es totalmente responsable de garantizar su propio cumplimiento de todas las leyes y reglamentos aplicables. La información proporcionada en la documentación en línea de Azure Databricks no constituye asesoramiento legal y debe consultar a su asesor legal para cualquier pregunta relacionada con el cumplimiento normativo.
  • Azure Databricks no admite el uso de características en versión preliminar para el procesamiento de PHI en la plataforma HIPAA en Azure, a excepción de las características enumeradas en características en versión preliminar compatibles con el procesamiento de datos PHI.

Características en versión preliminar compatibles con el procesamiento de datos PHI

Se admiten las siguientes características en versión preliminar para el procesamiento de PHI:

Responsabilidad compartida del cumplimiento de HIPAA

Cumplir con HIPAA tiene tres áreas principales, con diferentes responsabilidades. Aunque cada parte tiene numerosas responsabilidades, a continuación enumeramos las responsabilidades clave de las nuestras, junto con sus responsabilidades.

En este artículo se usa la terminología de Azure Databricks del plano de control y un plano de proceso, que son dos partes principales de cómo funciona Azure Databricks:

Entre las principales responsabilidades de Microsoft se incluyen las siguientes:

  • Realizar sus obligaciones como asociado comercial en su BAA con Microsoft.

  • Proporcionar máquinas virtuales bajo su contrato con Microsoft que admitan el cumplimiento de HIPAA.

  • Eliminar las claves de cifrado y los datos cuando Azure Databricks libere las instancias de máquina virtual.

Entre las principales responsabilidades de Azure Databricks se incluyen:

  • Cifrar los datos PHI en tránsito que se transmiten a o desde el plano de control.
  • Cifrar los datos PHI en reposo en el plano de control
  • Limitar el conjunto de tipos de instancia a tipos de instancia admitidos para el perfil de seguridad de cumplimiento. Azure Databricks limita los tipos de instancia en la consola de la cuenta y a través de la API.
  • Desaprovisionar instancias de máquina virtual al indicar en Azure Databricks que se van a desaprovisionar, por ejemplo, la terminación automática o la terminación manual, para que Azure pueda borrarlas.

Responsabilidades clave suyas:

  • Configure el área de trabajo para que use claves administradas por el cliente para los servicios administrados o el cuaderno interactivo de Store da como resultado la característica de cuenta de cliente.
  • No use características en versión preliminar en Azure Databricks para procesar PHI que no sean las características enumeradas en Características en versión preliminar compatibles con el procesamiento de datos PHI
  • Siga los procedimientos recomendados de seguridad, como deshabilitar la salida innecesaria del plano de proceso y usar la característica de secretos de Azure Databricks (u otra funcionalidad similar) para almacenar las claves de acceso que proporcionan acceso a PHI.
  • Rubricar un contrato de asociado empresarial con Microsoft para cubrir todos los datos procesados dentro de la red virtual donde se implementan las instancias de máquina virtual.
  • No haga nada en una máquina virtual que fuera una infracción de HIPAA. Por ejemplo, hacer que Azure Databricks envíe PHI sin cifrar a un punto de conexión.
  • Asegúrese de que todos los datos que pueden contener PHI se cifren en reposo al almacenarlos en ubicaciones con las que la plataforma de Azure Databricks pueda interactuar. Esto incluye establecer la configuración de cifrado en el almacenamiento raíz de cada área de trabajo (ADLSgen2 para áreas de trabajo más recientes, Blob Storage para áreas de trabajo anteriores) que forma parte de la creación del área de trabajo. Usted es responsable de garantizar el cifrado (así como realizar copias de seguridad) para este almacenamiento y todos los demás orígenes de datos.
  • Asegúrese de que todos los datos que pueden contener PHI se cifren en tránsito entre Azure Databricks y cualquiera de las ubicaciones de almacenamiento de datos o ubicaciones externas a las que acceda desde una máquina del plano de proceso. Por ejemplo, cualquier API que use en un cuaderno que pueda conectarse al origen de datos externo debe usar el cifrado adecuado en las conexiones salientes.
  • Asegúrese de que todos los datos que pueden contener PHI se cifren en reposo al almacenarlos en ubicaciones con las que la plataforma de Azure Databricks pueda interactuar. Esto incluye establecer la configuración de cifrado en el almacenamiento raíz de cada área de trabajo que forma parte de la creación del área de trabajo.
  • Asegúrese de aplicar el cifrado (así como la realización de copias de seguridad) para el almacenamiento raíz (ADLSgen2 para áreas de trabajo más recientes, Blob Storage para áreas de trabajo anteriores) y todos los demás orígenes de datos.
  • Asegúrese de que todos los datos que pueden contener PHI se cifren en tránsito entre Azure Databricks y cualquiera de las ubicaciones de almacenamiento de datos o ubicaciones externas a las que acceda desde una máquina del plano de proceso. Por ejemplo, cualquier API que use en un cuaderno que pueda conectarse al origen de datos externo debe usar el cifrado adecuado en las conexiones salientes.

Acerca de las claves administradas por el cliente: