Partager via

Fonctionnalités de conformité HIPAA

  • Article

Important

La possibilité pour les administrateurs d’ajouter des fonctionnalités de Sécurité et conformité avancées est une fonctionnalité en préversion publique. Le profil de sécurité de conformité et la prise en charge des normes de conformité sont en disponibilité générale.

Databricks recommande fortement aux clients qui souhaitent utiliser les fonctionnalités de conformité HIPAA d’activer le profil de sécurité de conformité, qui ajoute des agents de surveillance, fournit une image de calcul renforcée et d’autres fonctionnalités. Pour plus d’informations techniques, consultez Profil de sécurité de conformité.

Il est de votre responsabilité de vérifier que le profil de sécurité de conformité est activé pour chaque espace de travail.

Cette fonctionnalité nécessite que votre espace de travail soit au niveau tarifaire Premium.

Vérifiez que les informations sensibles ne sont jamais entrées dans les champs d’entrée définis par le client, tels que les noms d’espace de travail, les noms de cluster et les noms de travaux.

Quelles ressources de calcul bénéficient d’une surveillance renforcée

Les améliorations du profil de sécurité de conformité pour HIPAA s’appliquent aux ressources de calcul dans le plan de calcul classique et au plan de calcul serverless dans toutes les régions. Pour plus d’informations sur les plans de calcul classiques et serverless, consultez Vue d’ensemble de l’architecture Azure Databricks.

Vue d’ensemble de HIPAA

HIPAA (Health Insurance Portability and Accountability Act) (1996), HITECH (Health Information Technology for Economic and Clinical Health) et les réglementations dérivées de HIPAA sont un ensemble de lois concernant le domaine de la santé aux USA. Parmi d’autres dispositions, ces lois établissent des exigences en matière d’utilisation, de divulgation et de protection des informations médicales protégées (PHI).

HIPAA s’applique aux intervenants et aux partenaires métier qui créent, reçoivent, gèrent, transmettent ou accèdent à des informations médicales protégées. Quand un intervenant ou un partenaire métier engage les services d’un fournisseur de services cloud (CSP) comme Azure Databricks, le fournisseur de solutions Cloud devient un partenaire métier dans le cadre de HIPAA.

Azure Databricks autorise-t-il le traitement d'informations médicales protégées sur Azure Databricks ?

Oui. Databricks recommande fortement d’activer le profil de sécurité de conformité et d’ajouter HIPAA lors de cette configuration.

Activer HIPAA sur un espace de travail

Pour traiter des données réglementées par la norme de conformité HIPAA, Databricks recommande d’activer le profil de sécurité de conformité sur chaque espace de travail et d’ajouter la norme de conformité HIPAA.

Vous pouvez activer le profil de sécurité de conformité et ajouter une norme de conformité à un nouvel espace de travail ou à un espace de travail existant en utilisant le portail Azure ou bien un modèle ARM. Pour obtenir des instructions et des modèles, consultez Configurer des paramètres de sécurité et de conformité améliorés.

Important

  • Il vous incombe d‘assurer votre propre conformité à toutes les lois et réglementations applicables. Les informations fournies dans la documentation en ligne d’Azure Databricks ne constituent pas un avis juridique, et vous devez consulter votre conseiller juridique pour toute question relative à la conformité réglementaire.
  • Azure Databricks ne prend pas en charge l’utilisation de fonctionnalités en préversion pour le traitement d'informations médicales protégées sur HIPAA sur la plateforme Azure, à l’exception des fonctionnalités listées dans Fonctionnalités en préversion prises en charge pour le traitement des informations médicales protégées.

Fonctionnalités en préversion prises en charge pour le traitement des informations médicales protégées

Les fonctionnalités en préversion suivantes sont prises en charge pour le traitement des informations médicales protégées :

Responsabilité partagée de la conformité HIPAA

La conformité à HIPAA a trois domaines majeurs, avec des responsabilités différentes. Bien que chaque partie ait de nombreuses responsabilités, nous énumérons ci-dessous nos propres responsabilités clés ainsi que les vôtres.

Cet article utilise la terminologie Azure Databricks plan de contrôle et plan de calcul, qui sont deux parties importantes du fonctionnement d’Azure Databricks :

Les principales responsabilités de Microsoft sont les suivantes :

  • Remplir ses obligations en tant que partenaire métier sous votre BAA avec Microsoft.

  • Vous fournir des machines virtuelles dans le cadre de votre contrat avec Microsoft, qui prennent en charge la conformité HIPAA.

  • Supprimer les clés de chiffrement et les données quand Azure Databricks libère les instances de machine virtuelle.

Les principales responsabilités d’Azure Databricks sont les suivantes :

  • Chiffrer les informations médicales protégées en transit qui sont transmises vers ou depuis le plan de contrôle.
  • Chiffrer les informations médicales protégées au repos dans le plan de contrôle
  • Limiter l’ensemble de types d’instances aux types d’instances pris en charge pour le profil de sécurité de conformité. Azure Databricks limite les types d’instances dans la console de compte et via l’API.
  • Déprovisionner les instances de machine virtuelle quand vous indiquez dans Azure Databricks qu’elles doivent être déprovisionnées, par exemple pour l’arrêt automatique ou l’arrêt manuel, pour qu’Azure puisse les effacer.

Vos responsabilités principales sont les suivantes :

  • Configurer votre espace de travail pour qu’il utilise des clés gérées par le client pour les services managés ou la fonctionnalité Stocker les résultats du notebook interactif dans le compte du client.
  • Ne pas utiliser des fonctionnalités en préversion dans Azure Databricks pour traiter des informations médicales protégées autres que celles listées dans Fonctionnalités en préversion prises en charge pour le traitement des informations médicales protégées
  • Suivre les meilleures pratiques de sécurité, comme désactiver les sorties non nécessaires du plan de calcul et utiliser la fonctionnalité des secrets Azure Databricks (ou d’autres fonctionnalités similaires) pour stocker les clés d’accès qui fournissent l’accès aux informations médicales protégées.
  • Conclure un accord de partenariat métier avec Microsoft pour couvrir toutes les données traitées dans le réseau virtuel où les instances de machine virtuelle sont déployées.
  • Ne rien faire dans une machine virtuelle qui constituerait une violation de HIPAA. Par exemple, indiquer à Azure Databricks d’envoyer des informations médicales protégées à un point de terminaison.
  • Veiller à ce que toutes les données susceptibles de contenir des informations médicales protégées soient chiffrées au repos quand vous les stockez dans des emplacements avec lesquels la plateforme Azure Databricks peut interagir. Cela implique de définir les paramètres de chiffrement sur le stockage racine de chaque espace de travail (ADLSGen2 pour les espaces de travail plus récents, Stockage Bob pour les espaces de travail plus anciens) qui fait partie de la création de l’espace de travail. Il vous incombe d’assurer le chiffrement (et d’effectuer des sauvegardes) de ce stockage et de toutes les autres sources de données.
  • Veiller à ce que toutes les données susceptibles de contenir des informations médicales protégées soient chiffrées en transit entre Azure Databricks et vos emplacements de stockage des données ou des emplacements externes auxquels vous accédez depuis une machine du plan de calcul. Par exemple, les API que vous utilisez dans un notebook et qui peuvent se connecter à une source de données externe doivent utiliser le chiffrement approprié sur toutes les connexions sortantes.
  • Veiller à ce que toutes les données susceptibles de contenir des informations médicales protégées soient chiffrées au repos quand vous les stockez dans des emplacements avec lesquels la plateforme Azure Databricks peut interagir. Ceci inclut la définition des paramètres de chiffrement sur le stockage racine de chaque espace de travail qui fait partie de la création de l’espace de travail.
  • Assurer le chiffrement (et les sauvegardes) pour votre stockage racine (ADLSGen2 pour les espaces de travail plus récents, Stockage Blob pour les espaces de travail plus anciens) et toutes les autres sources de données.
  • Veiller à ce que toutes les données susceptibles de contenir des informations médicales protégées soient chiffrées en transit entre Azure Databricks et vos emplacements de stockage des données ou des emplacements externes auxquels vous accédez depuis une machine du plan de calcul. Par exemple, les API que vous utilisez dans un notebook et qui peuvent se connecter à une source de données externe doivent utiliser le chiffrement approprié sur toutes les connexions sortantes.

À propos des clés gérées par le client :