其他保護指導
MMicrosoft Entra ID 符合實施 1996 年健康保險流通與責任法案 (HIPAA) 保護之身分識別相關實務要求。 若要符合 HIPAA 規範，公司有責任使用本指導以及任何其他所需的設定或流程來實作保護。 本文包含針對下列三個控制項達成 HIPAA 合規性的指導：
- 完整性保護
- 人員或實體驗證保護
- 傳輸安全性保護
完整性保護指導
Microsoft Entra ID 符合實作 HIPAA 保護的身分識別相關實務需求。 若要符合 HIPAA 規範，請使用本指導以及任何其他所需的設定或流程來實作保護。
針對資料修改保護：
跨裝置保護檔案和電子郵件。
尋找和分類敏感性資料。
加密包含敏感性或個人資料的文件和電子郵件。
下列內容提供來自 HIPAA 的指導，後面接續載有 Microsoft 建議和指導的資料表。
HIPAA - 完整性
Implement security measures to ensure that electronically transmitted electronic protected health information isn't improperly modified without detection until disposed of.
| 建議 | 動作 |
|---|---|
| 啟用 Microsoft Purview 資訊保護 (IP) | 尋找、分類、保護及控管敏感性資料，涵蓋傳輸的儲存體和資料。 透過 Microsoft Purview IP 來保護您的資料，有助於判斷資料環境、檢閱架構，並採取主動步驟來識別和保護您的資料。 |
| 設定 Exchange 就地保留 | Exchange Online 提供數個支援電子化探索的設定。 就地保留會針對應保留的項目使用特定參數。 決策矩陣能以關鍵字、寄件者、收據和日期作為基礎。 Microsoft Purview 電子文件探索解決方案 是 Microsoft Purview 合規性入口網站的一部分，涵蓋所有 Microsoft 365 資料來源。 |
| 設定 Exchange Online 上的安全/多用途網際網路郵件延伸 | S/MIME 是用來傳送數位簽章和加密訊息的通訊協定。 其以非對稱金鑰對、公開和私鑰作為基礎。 Exchange Online 提供電子郵件和可驗證寄件者身分識別簽章的加密和保護。 |
| 啟用監視和記錄。 | 記錄和監視對於保護環境至關重要。 該資訊會用於支援調查，並藉由識別不尋常的模式來協助偵測潛在威脅。 對服務啟用記錄和監視以降低未經授權存取的風險。 Microsoft Purview 稽核提供 Microsoft 365 中跨服務稽核活動的可見度。 其可藉由增加稽核記錄保留期來協助調查。 |
人員或實體驗證保護指導
Microsoft Entra ID 符合實作 HIPAA 保護的身分識別相關實務需求。 若要符合 HIPAA 規範，請使用本指導以及任何其他所需的設定或流程來實作保護。
針對稽核、人員與實體保護：
確保終端使用者宣告對資料存取有效。
識別並減輕儲存資料的任何風險。
下列內容提供來自 HIPAA 的指導，後面接續載有 Microsoft 建議和指導的資料表。
HIPAA - 人員或實體驗證
Implement procedures to verify that a person or entity seeking access to electronic protected health information is the one claimed.
請確保存取 ePHI 資料的使用者和裝置已獲得授權。 您必須確保裝置符合規範，且已稽核會向擁有者標示有風險的資料。
| 建議 | 動作 |
|---|---|
| 啟用多重要素驗證 | Microsoft Entra 多重要素驗證會透過新增額外的安全性層級來保護身分識別。 額外層級可提供有效方法防止未經授權的存取。 MFA 可讓您在驗證流程期間對登入資訊進行更多驗證。 設定 Authenticator 應用程式可提供一鍵驗證，或者您可以設定Microsoft Entra 無密碼設定。 |
| 啟用條件式存取原則 | 條件式存取原則可協助限制僅已核准應用程式可存取。 Microsoft Entra 會分析來自使用者、裝置或位置的訊號，針對存取資源和資料以自動化決策並強制執行組織原則。 |
| 設定裝置型條件式存取原則 | 適用於裝置管理和 Microsoft Entra 原則的條件式存取與 Microsoft Intune，可以使用裝置狀態來授與或拒絕對您服務與資料的存取權。 藉由部署裝置合規性原則，其會判斷是否符合安全性需求以決定允許或拒絕存取資源。 |
| 使用角色型存取控制 (RBAC) | Microsoft Entra ID 中的 RBAC 提供企業層級的安全性並對職責作出區分。 透過系統調整和檢閱存取權以保護資源和敏感資料的機密性、隱私權和存取權管理。 Microsoft Entra ID 提供對內建角色的支援，這是無法修改的固定權限。 您也可以建立自己的自訂角色，並在其中新增預設清單。 |
傳輸安全性保護指導
Microsoft Entra ID 符合實作 HIPAA 保護的身分識別相關實務需求。 若要符合 HIPAA 規範，請使用本指導以及任何其他所需的設定或流程來實作保護。
針對加密：
保護資料機密性。
防止資料遭竊。
防止未經授權存取 PHI。
確報資料的加密層級。
保護 PHI 資料的傳輸：
保護 PHI 資料的共用。
保護 PHI 資料的存取權。
確保傳輸的資料已加密。
下列內容提供 HIPAA 指導和 Microsoft 的建議對於「稽核和傳輸安全性保護」指導的清單，讓您能夠使用 Microsoft Entra ID 來滿足實作保護的需求。
HIPAA - 加密
Implement a mechanism to encrypt and decrypt electronic protected health information.
請確保 ePHI 資料已使用符合規範的加密金鑰/流程進行加密和解密。
| 建議 | 動作 |
|---|---|
| 檢閱 Microsoft 365 加密點 | 在 Microsoft 365 中啟用 Microsoft Purview 與加密是高度安全的環境，可在多個層級提供廣泛的保護：實體資料中心、安全性、網路、存取權、應用程式和資料安全性。 檢閱加密清單並修正是否需要更多控制措施。 |
| 檢閱資料庫加密 | 透明資料加密會新增一層安全性來協助保護待用資料，以免遭到未經授權或離線存取。 其會使用 AES 加密來加密資料庫。 適用於敏感資料的動態資料遮罩將限制敏感資料的暴露風險。 其會對非授權使用者進行資料遮罩。 遮罩包含指定的欄位，您可在資料庫結構描述中名稱、資料表名稱和資料行名稱中定義。 預設會加密新的資料庫，並以內建伺服器憑證保護資料庫加密金鑰。 建議您檢閱資料庫，以確保已在資料資產上設定加密。 |
| 檢閱 Azure 加密點 | Azure 加密功能涵蓋使用 Azure Key Vault 的待用資料主要區域、加密模型和金鑰管理。 檢閱不同加密層級，以及其如何符合您組織內的案例。 |
| 存取資料收集與保留控管 | Microsoft Purview 資料生命週期管理可讓您套用保留原則。 Microsoft Purview 記錄管理可讓您套用保留標籤。 此策略可協助您了解整個資料資產中的資產。 此策略也可協助您保護及管理雲端、應用程式和端點之間的敏感資料。 重要事項：如 45 CFR 164.316 所述：使用時間限制 (必要)。 請保留段落 (b) (1) 所要求的本節文件，保留期為從建立日期或上次生效日期起至少六年，以較新者為準。 |
HIPAA - 保護 PHI 資料的傳輸
Implement technical security measures to guard against unauthorized access to electronic protected health information that is being transmitted over an electronic communications network.
建立原則和程序來保護包含 PHI 資料的資料交換。
| 建議 | 動作 |
|---|---|
| 評估內部部署應用程式的狀態 | Microsoft Entra 應用程式 Proxy 實作會以安全的方式，在外部發佈內部部署 Web 應用程式。 Microsoft Entra 應用程式 Proxy 可讓您安全地將外部 URL 端點發佈至 Azure。 |
| 啟用多重要素驗證 | Microsoft Entra 多重要素驗證會透過新增安全性層級來保護身分識別。 新增更多安全性層級是防止未經授權存取的有效方式。 MFA 可讓您在驗證流程期間對登入資訊進行更多驗證。 您可以設定 Authenticator 應用程式，以提供一鍵驗證或無密碼驗證。 |
| 啟用針對應用程式存取的條件式存取原則 | 條件式存取原則可協助限制對已核准應用程式的存取。 Microsoft Entra 會分析來自使用者、裝置或位置的訊號，針對存取資源和資料以自動化決策並強制執行組織原則。 |
| 檢閱 Exchange Online Protection (EOP) 原則 | Exchange Online 垃圾郵件和惡意程式碼保護提供內建的惡意程式碼和垃圾郵件篩選。 EOP 會保護輸入和輸出訊息，並且預設為啟用。 EOP 服務也提供反詐騙、隔離訊息，以及在 Outlook 中檢舉郵件的功能。 您可以自訂原則以符合全公司設定，這些原則的優先順序會高於預設原則。 |
| 設定敏感度標籤 | Microsoft Purview 的敏感度標籤可讓您分類及保護貴組織的資料。 標籤會將文件中的保護設定提供給容器。 例如，該工具會保護儲存在 Microsoft Teams 和 SharePoint 網站中的文件，方法是設定並強制執行隱私權設定。 標籤可延伸至檔案和資料資產，例如 SQL、Azure SQL、Azure Synapse、Azure Cosmos DB 和 AWS RDS。 除了 200 個現成可用的敏感性資訊類型之外，還有進階分類器如名稱實體、可定型分類器和 EDM，用以保護自訂敏感性類型。 |
| 評估是否需要私人連線才能連線至服務 | Azure ExpressRoute 可在 Azure 資料中心和內部部署中的基礎結構之間建立私人連線。 資料不會透過公用網際網路傳輸。 服務會使用第 3 層連線、連線至邊緣路由器，並提供動態可擴縮性。 |
| 評估 VPN 需求 | VPN 閘道文件會透過站對站、點對站、VNet 對 VNet 和多站點 VPN 連線，將內部部署網路連線至 Azure。 該服務可透過提供安全的資料傳輸方式，支援混合式工作環境。 |