HIPAA

Bu sayfada Azure Databricks'teki HIPAA uyumluluk denetimleri açıklanmaktadır.

HIPAA'ya genel bakış

HIPAA, korunan sağlık bilgilerinin (PHI) gizliliğini ve güvenliğini korumak için ulusal standartlar oluşturan bir ABD sağlık yasasıdır.

Önemli noktalar:

• PHI işleyen sağlık sağlayıcıları, sigortacılar ve satıcılar için geçerlidir.
• Gizlilik, güvenlik ve ihlal bildirimi kurallarını içerir.
• Kişisel Sağlık Bilgileri için yönetimsel, teknik ve fiziksel koruma önlemleri gerektirir.
• PHI'yi depolayan veya işleyen bulut hizmeti sağlayıcıları için geçerlidir.

HIPAA uyumluluk denetimlerini etkinleştirme

Databricks, HIPAA uyumluluk denetimini kullanmak isteyen müşterilerin izleme aracıları ekleyen, sağlamlaştırılmış bir işlem görüntüsü ve diğer özellikler sağlayan uyumluluk güvenlik profilini etkinleştirmesini kesinlikle önerir. Düzenlemeye tabi verilerin işlenmesi için yalnızca belirli önizleme özellikleri desteklenir. Uyumluluk güvenlik profili ve desteklenen önizleme özellikleri hakkında ayrıntılı bilgi için bkz . Uyumluluk güvenlik profili.

HIPAA uyumluluk denetimlerini etkinleştirmek için bkz. Gelişmiş güvenlik ve uyumluluk ayarlarını yapılandırma.

HIPAA uyumluluğunun ortak sorumluluğu

HIPAA ile uyum, farklı sorumluluklara sahip üç ana alana sahiptir. Her tarafın çok sayıda sorumluluğu olsa da aşağıda Databricks'in önemli sorumluluklarını ve sizin sorumluluklarınızı listeleyeceğiz.

Bu bölümde, Azure Databricks mimarisinin iki ana parçası olan terminoloji denetim düzlemi ve işlem düzlemi kullanılır:

• Azure Databricks denetim düzlemi, Azure Databricks'in kendi Azure hesabında yönettiği arka uç hizmetlerini içerir.
• İşlem düzlemi, veri gölünüzün işlendiği yerdir. Klasik işlem düzlemi, Azure hesabınızda bir sanal ağ ve not defterlerinizi, işlerinizi ve profesyonel veya klasik SQL ambarlarınızı işlemek için işlem kaynakları kümelerini içerir.

Daha fazla bilgi için bkz. Üst düzey mimari.

Çalışma alanı adları, işlem kaynağı adları, etiketler, iş adları, iş çalıştırma adları, ağ adları, kimlik bilgileri, depolama hesabı adları ve Git deposu kimlikleri veya URL'leri gibi hassas bilgilerin hiçbir zaman müşteri tanımlı giriş alanlarına girilemediğini doğrulamaktan tek sorumlusunuz. Bu alanlar, uyumluluk sınırının dışında depolanabilir, işlenebilir veya bunlara erişilebilir.

Önemli

• Tüm geçerli yasa ve düzenlemelere kendi uyumluluğunuzu sağlamak sizin sorumluluğunuzdadır. Azure Databricks çevrimiçi belgelerinde sağlanan bilgiler yasal öneri oluşturmaz ve mevzuat uyumluluğuyla ilgili sorularınız için hukuk danışmanınıza danışmanız gerekir.
• Azure Databricks, Desteklenen önizleme özellikleri bölümünde listelenen özellikler dışında, Azure platformunda HIPAA üzerinde PHI'nin işlenmesi için önizleme özelliklerinin kullanımını desteklemez.

Microsoft'un temel sorumlulukları şunlardır:

• BAA'nız kapsamında Microsoft ile iş ortağı olarak yükümlülüklerini yerine getirin.
• Microsoft ile yaptığınız sözleşme kapsamında HIPAA uyumluluğunu destekleyen VM'ler sağlayın.

• Azure Databricks VM örneklerini serbest bıraktığında şifreleme anahtarlarını ve verileri silin.

Azure Databricks'in temel sorumlulukları şunlardır:

• Kontrol düzlemine veya kontrol düzleminden gönderilen aktarım içi PHI verilerini şifreleyin.
• Kontrol düzleminde duran PHI verilerini şifreleyin.
• Yalnızca uyumluluk güvenlik profili kullanılarak desteklenen örnek türlerini kullanın. Azure Databricks bunu hem çalışma alanında hem de API'de zorlar.
• Azure, Databricks'te belirttiğinizde (örneğin, otomatik sonlandırma veya manuel sonlandırma yoluyla) VM örneklerini devreden çıkarın ki Azure bunları tamamen silebilsin.

Önemli sorumluluklarınız:

• Çalışma alanınızı, yönetilen hizmetler için müşteri tarafından yönetilen anahtarları veya etkileşimli not defteri sonuçlarını müşteri hesabına kaydetme özelliğini kullanacak şekilde yapılandırın.
• Desteklenen önizleme özellikleri bölümünde listelenenler dışında PHI'yi işlemek için Azure Databricks'teki önizleme özelliklerini kullanmayın.
• İşlem düzleminden gereksiz çıkışları devre dışı bırakma ve PHI için erişim anahtarlarını depolamak için Azure Databricks gizli dizilerini kullanma gibi en iyi güvenlik uygulamalarını izleyin.
• VM örneklerinin dağıtıldığı sanal ağ içinde işlenen tüm verileri kapsayacak şekilde Microsoft ile bir iş ortağı sözleşmesi girin.
• Sanal makine içinde HIPAA'nın ihlaline neden olacak eylemler gerçekleştirmeyin. Örneğin, Azure Databricks'i bir uç noktaya şifrelenmemiş PHI göndermeye yönlendirmeyin.
• Azure Databricks platformunun etkileşimde bulunduğu herhangi bir depolama konumunda bekleyen PHI içerebilen tüm verilerin şifrelendiğinden emin olun. Bu, çalışma alanı oluşturma sırasında çalışma alanı depolama hesaplarında şifrelemeyi ayarlamayı içerir. Bu depolamanın ve diğer tüm veri kaynaklarının şifrelenmesini ve yedeklenmesini siz sorumlusunuz.
• PHI içerebilen tüm verilerin Azure Databricks ile bağlı veri depolama alanı veya dış sistemler arasında aktarım sırasında şifrelendiğinden emin olun. Örneğin, not defterlerinde kullanılan API'ler tüm giden bağlantılar için şifreleme kullanmalıdır.