Condividi tramite

Funzionalità di conformità HIPAA

  • Articolo

Importante

La possibilità per gli amministratori di aggiungere le funzionalità di protezione avanzata e conformità è una caratteristica in anteprima pubblica. Il profilo di sicurezza della conformità e il supporto per gli standard di conformità sono disponibili a livello generale (GA).

Databricks consiglia vivamente ai clienti che vogliono usare le funzionalità di conformità HIPAA di abilitare il profilo di sicurezza della conformità, che aggiunge agenti di monitoraggio, fornisce un'immagine di calcolo avanzata e altre funzionalità. Per i dettagli tecnici, vedere Profilo di sicurezza della conformità.

È responsabilità dell'utente verificare che ogni area di lavoro disponga del profilo di sicurezza di conformità abilitato.

Questa funzionalità richiede che l'area di lavoro si trovi nel piano tariffario Premium.

Assicurarsi che le informazioni riservate non vengano mai immesse nei campi di input definiti dal cliente, come i nomi dell’area di lavoro, i nomi dei cluster e i nomi dei processi.

Quali risorse di calcolo ottengono una protezione avanzata

I miglioramenti del profilo di sicurezza della conformità per HIPAA si applicano alle risorse di calcolo nel piano di calcolo classico e al piano di elaborazione serverless in tutte le aree. Per altre informazioni sul piano di calcolo classico ed elaborazione serverless, vedere Panoramica dell'architettura di Azure Databricks.

Panoramica di HIPAA

Il Health Insurance Portability and Accountability Act (HIPAA) del 1996 (HIPAA), la Health Information Technology for Economic and Clinical Health (HITECH) e le normative rilasciate ai sensi dell'HIPAA sono una serie di leggi statunitensi di ambito sanitario. Tra le altre disposizioni, queste leggi stabiliscono i requisiti per l'uso, la divulgazione e la tutela delle informazioni sanitarie protette (PHI).

HIPAA si applica a entità coperte e consulenti professionali che creano, ricevono, mantengono, trasmettono o accedono a PHI. Quando un'entità coperta o un consulente professionale interagisce con i servizi di un provider di servizi cloud (CSP), come Azure Databricks, il CSP diventa un consulente professionale ai sensi dell'HIPAA.

Azure Databricks consente l'elaborazione dei dati PHI in Azure Databricks?

Sì. Databricks consiglia vivamente di abilitare il profilo di sicurezza della conformità e di aggiungere HIPAA durante tale configurazione.

Abilitare HIPAA in un'area di lavoro

Per elaborare i dati regolamentati dallo standard di conformità HIPAA, Databricks consiglia che ogni area di lavoro disponga del profilo di sicurezza della conformità abilitato e di aggiungere lo standard di conformità HIPAA.

È possibile abilitare il profilo di sicurezza della conformità e aggiungere uno standard di conformità a una nuova area di lavoro o a un'area di lavoro esistente usando il portale di Azure, o usare in alternativa un modello di ARM. Per istruzioni e modelli, vedere Configurare impostazioni di conformità e protezione avanzata.

Importante

  • L'utente è totalmente responsabile di garantire la propria conformità a tutte le leggi e i regolamenti applicabili. Le informazioni fornite nella documentazione online di Azure Databricks non costituiscono una consulenza legale e si consiglia di rivolgersi al proprio consulente legale per eventuali domande sulla conformità alle normative.
  • Azure Databricks non supporta l'uso delle funzionalità di anteprima per l'elaborazione di PHI nella piattaforma HIPAA in Azure, ad eccezione delle funzionalità elencate in Funzionalità di anteprima supportate per l'elaborazione dei dati PHI.

Funzionalità di anteprima supportate per l'elaborazione dei dati PHI

Le seguenti funzionalità di anteprima sono supportate per l'elaborazione dei dati PHI:

Responsabilità condivisa della conformità HIPAA

Il rispetto di HIPAA ha tre aree principali, con responsabilità diverse. Anche se ogni parte ha numerose responsabilità, di seguito elenchiamo le nostre responsabilità chiave, insieme alle responsabilità dell’utente.

Questo articolo usa il piano di controllo della terminologia di Azure Databricks e un piano di calcolo, che sono due parti principali di come funziona Azure Databricks:

Le responsabilità principali di Microsoft includono:

  • Svolgere i propri obblighi come consulente professionale ai sensi del BAA con Microsoft.

  • Fornire le VM ai sensi del contratto con Microsoft che supportano la conformità HIPAA.

  • Eliminare le chiavi di crittografia e i dati quando Azure Databricks rilascia le istanze di VM.

Le responsabilità principali di Azure Databricks includono:

  • Crittografare i dati di PHI in transito che sono trasmessi da o verso il piano di controllo.
  • Crittografare i dati inattivi di PHI nel piano di controllo
  • Limitare l’insieme di tipi di istanza ai tipi di istanza supportati per il profilo di sicurezza di conformità. Azure Databricks limita i tipi di istanza nella console dell'account e tramite l'API.
  • Effettuare il deprovisioning delle istanze di VM quando si indica in Azure Databricks che devono essere sottoposte a deprovisioning, ad esempio la terminazione automatica o la terminazione manuale, in modo tale che Azure possa cancellarle.

Responsabilità principali dell’utente:

  • Configurare l'area di lavoro per usare chiavi gestite dal cliente per i servizi gestiti o i risultati dei notebook interattii dello store nella funzionalità account del cliente.
  • Non usare le funzionalità di anteprima all'interno di Azure Databricks per elaborare PHI diverse dalle funzionalità elencate in Funzionalità di anteprima supportate per l'elaborazione dei dati PHI
  • Seguire le procedure consigliate per la sicurezza, come disabilitare l'uscita non necessaria dal piano di calcolo e usare la funzionalità segreti di Azure Databricks (o altre funzionalità simili) per archiviare le chiavi di accesso che forniscono l'accesso alle PHI.
  • Stipulare un Business Associate Agreement con Microsoft per coprire tutti i dati elaborati all'interno della rete virtuale in cui vengono distribuite le istanze di VM.
  • Non eseguire operazioni all'interno di una macchina virtuale che sarebbero una violazione di HIPAA. Ad esempio, indirizzare Azure Databricks a inviare PHI non crittografate a un endpoint.
  • Assicurarsi che tutti i dati che possono contenere PHI siano crittografate quando vengono archiviate in posizioni con cui la piattaforma Azure Databricks può interagire. Ciò include la definizione delle impostazioni di crittografia nell'archiviazione radice di ogni area di lavoro (ADLSgen2 per le aree di lavoro più recenti, l'archiviazione BLOB per le aree di lavoro precedenti) che fa parte della creazione dell'area di lavoro. L'utente deve garantire la crittografia (nonché l'esecuzione di backup) per questa risorsa di archiviazione e tutte le altre origini dati.
  • Assicurarsi che tutti i dati che possono contenere PHI siano crittografati in transito tra Azure Databricks e qualsiasi posizione di archiviazione dei dati o posizioni esterne a cui si accede da un computer del piano di calcolo. Ad esempio, qualsiasi API usata in un notebook che potrebbe connettersi a un'origine dati esterna deve usare la crittografia appropriata in tutte le connessioni in uscita.
  • Assicurarsi che tutti i dati che possono contenere PHI siano crittografate quando vengono archiviate in posizioni con cui la piattaforma Azure Databricks può interagire. Ciò include la definizione delle impostazioni di crittografia nell'archiviazione radice di ogni area di lavoro che fa parte della creazione dell'area di lavoro.
  • Garantire la crittografia (nonché l’esecuzione di backup) per l'archiviazione radice (ADLSgen2 per le aree di lavoro più recenti, l'archiviazione BLOB per le aree di lavoro precedenti) e tutte le altre origini dati.
  • Assicurarsi che tutti i dati che possono contenere PHI siano crittografati in transito tra Azure Databricks e qualsiasi posizione di archiviazione dei dati o posizioni esterne a cui si accede da un computer del piano di calcolo. Ad esempio, qualsiasi API usata in un notebook che potrebbe connettersi a un'origine dati esterna deve usare la crittografia appropriata in tutte le connessioni in uscita.

Informazioni sulle chiavi gestite dal cliente: