HIPAA

На этой странице описаны элементы управления соответствием HIPAA в Azure Databricks.

Общие сведения о HIPAA

HIPAA — это закон о здравоохранении США, который устанавливает национальные стандарты для защиты конфиденциальности и безопасности защищенной информации о здравоохранении (PHI).

Основные моменты:

• Применяется к поставщикам здравоохранения, страховщикам и поставщикам, которые обрабатывают PHI.
• Включает правила для уведомления о конфиденциальности, безопасности и нарушении.
• Требует административных, технических и физических мер предосторожности для защиты медицинской информации.
• Применяется к поставщикам облачных служб, которые хранят или обрабатывают PHI.

Включение контроля соответствия HIPAA

Databricks настоятельно рекомендует клиентам, которые хотят использовать контроль соответствия HIPAA, включить профиль безопасности соответствия, который добавляет агенты мониторинга, предоставляет защищенный образ вычислений и другие функции. Для обработки регулируемых данных поддерживаются только определенные предварительные версии функций. Дополнительные сведения о профиле безопасности соответствия и поддерживаемых функциях предварительной версии см. в профиле безопасности соответствия требованиям.

Сведения о включении элементов управления соответствием HIPAA см. в разделе "Настройка параметров повышенной безопасности и соответствия".

Общая ответственность за соответствие HIPAA

Соблюдение HIPAA имеет три основных области, с различными обязанностями. Хотя каждая сторона имеет множество обязанностей, ниже мы перечислим ключевые обязанности Databricks, а также ваши обязанности.

В этом разделе используется терминология уровень управления и вычислительная плоскость, которые являются двумя основными частями архитектуры Azure Databricks:

• Уровень управления Azure Databricks включает внутренние службы, которыми управляет Azure Databricks в собственной учетной записи Azure.
• Плоскость вычислений — это место обработки озера данных. Классическая вычислительная среда включает виртуальную сеть в вашей учетной записи Azure и кластеры вычислительных ресурсов для обработки ноутбуков, заданий и хранилищ SQL как pro, так и классических.

Дополнительные сведения см. в обзоре архитектуры Azure Databricks.

Убедитесь, что конфиденциальная информация никогда не вводится в полях ввода, определенных клиентом, таких как имена рабочих областей, имена кластеров, теги и имена заданий.

Внимание

• Вы полностью несете ответственность за обеспечение собственного соответствия всем применимым законам и нормативным актам. Сведения, предоставленные в веб-документации по Azure Databricks, не являются юридическими советами, и вы должны обратиться к своему юридическому консультанту по любым вопросам о соответствии нормативным требованиям.
• Azure Databricks не поддерживает использование функций предварительного просмотра для обработки защищенной медицинской информации на платформе Azure, за исключением функций, перечисленных в Поддерживаемых функциях предварительного просмотра.

Основные обязанности Корпорации Майкрософт включают:

• Выполнение своих обязательств в качестве бизнес-партнера в рамках BAA с корпорацией Майкрософт.

• Предоставьте виртуальные машины в соответствии с вашим контрактом с корпорацией Майкрософт, которая поддерживает соответствие HIPAA.

• Удалите ключи шифрования и данные, когда Azure Databricks освобождает экземпляры виртуальной машины.

Основные обязанности Azure Databricks:

• Шифруйте передаваемые данные PHI, отправляемые в плоскость управления или из нее.
• Шифрование неактивных данных PHI в плоскости управления.
• Используйте только типы экземпляров, поддерживаемые с помощью профиля безопасности соответствия требованиям. Azure Databricks применяет это как в рабочей области, так и в API.
• Отмена предоставления экземпляров виртуальных машин, когда это указано в Azure Databricks (например, с помощью автоматического завершения или ручного завершения), чтобы Azure могла их очистить.

Основные обязанности ваших:

• Настройте рабочую область, чтобы использовать ключи, управляемые клиентом для управляемых служб, или функцию сохранения результатов интерактивной записной книжки в учетной записи клиента.
• Не используйте предварительные версии функций в Azure Databricks для обработки PHI, за исключением тех, которые перечислены в поддерживаемых функциях предварительной версии.
• Следуйте рекомендациям по обеспечению безопасности, например отключение ненужных исходящих данных из вычислительной плоскости и использование секретов Azure Databricks для хранения ключей доступа для PHI.
• Заключите соглашение о деловом сотрудничестве с компанией Microsoft, чтобы охватывать все данные, обработанные в виртуальной сети, где развертываются экземпляры виртуальных машин.
• Не выполняйте действия в виртуальной машине, которая нарушает HIPAA. Например, не указывайте Azure Databricks отправлять незашифрованные PHI на конечную точку.
• Убедитесь, что все данные, которые могут содержать PHI, шифруются в любом расположении хранилища, с которым взаимодействует платформа Azure Databricks. Это включает в себя шифрование учетных записей хранения рабочей области во время создания рабочей области. Вы несете ответственность за шифрование и резервное копирование этого хранилища и всех других источников данных.
• Убедитесь, что все данные, которые могут содержать PHI, шифруются во время передачи между Azure Databricks и любым подключенным хранилищем данных или внешними системами. Например, API, используемые в записных книжках, должны использовать шифрование для всех исходящих подключений.