Podrobný plán zabezpečení a dodržování předpisů Azure – Data o stavu HIPAA/HITRUST Health a AI

  • Článek

Přehled

Podrobný plán zabezpečení a dodržování předpisů Azure – data HIPAA/HITRUST Health a umělá inteligence nabízí nasazení řešení Azure PaaS a IaaS na klíč, které ukazuje, jak ingestovat, ukládat, analyzovat, interagovat, interagovat, bezpečně nasazovat řešení s daty o stavu a zároveň vyhovět požadavkům na dodržování předpisů v odvětví. Podrobný plán pomáhá urychlit přechod na cloud a využití pro zákazníky s daty, která jsou regulovaná.

Podrobný plán zabezpečení a dodržování předpisů Azure – HIPAA/HITRUST Health Data and AI Blueprint poskytují nástroje a pokyny, které vám pomůžou nasadit zabezpečený zákon HIPAA (Health Insurance Přenositelnost a odpovědnost) a prostředí HITRUST (Health Information Trust Alliance) připravené pro ingestování, ukládání, analýzu a interakci s osobními lékařskými záznamy v zabezpečeném cloudovém prostředí s více vrstvami, nasazeno jako ucelené řešení.

Řešení IaaS předvede, jak migrovat místní řešení založené na SQL do Azure a implementovat pracovní stanici s privilegovaným přístupem k bezpečné správě cloudových služeb a řešení. Databáze IaaS SQL Server přidává potenciální data experimentování do virtuálního počítače SQL IaaS a tento virtuální počítač používá ověřený přístup MSI k interakci se službou PaaS SQL Azure PaaS. Obě tyto prezentace představují společnou referenční architekturu a je navržená tak, aby zjednodušila přijetí Microsoft Azure. Tato poskytnutá architektura znázorňuje řešení, které vyhovuje potřebám organizací, které hledají cloudový přístup ke snížení zátěže a nákladů na nasazení.

Řešení je navržené tak, aby používalo ukázkovou datovou sadu formátovanou pomocí prostředků FHIR (Fast Healthcare Interoperability Resources), celosvětového standardu pro elektronické výměny informací o zdravotní péči a jejich bezpečné ukládání. Zákazníci pak můžou pomocí nástroje Azure Machine Learning Studio využít výkonné nástroje business intelligence a analýzy ke kontrole predikcí provedených na ukázkových datech. Jako příklad druhu experimentu Azure Machine Learning Studio může usnadnit podrobný plán ukázkovou datovou sadu, skripty a nástroje pro predikci délky pobytu pacienta v nemocnici.

Tento podrobný plán má sloužit jako modulární základ pro zákazníky, kteří se budou přizpůsobovat specifickým požadavkům a vyvíjet nové experimenty azure Machine Learning pro řešení scénářů klinického i provozního použití. Je navržena tak, aby byla při nasazení zabezpečená a vyhovující; Zákazníci však zodpovídají za správnou konfiguraci rolí a implementaci jakýchkoli změn. Pamatujte na následující:

  • Tento podrobný plán poskytuje směrný plán, který zákazníkům pomůže používat Microsoft Azure v prostředí HITRUST a HIPAA.

  • Přestože byl podrobný plán navržen tak, aby byl sladěn s HIPAA a HITRUST (prostřednictvím společné architektury zabezpečení – CSF), neměl by být považován za vyhovující, dokud externí auditor nedodržuje požadavky na certifikaci HIPAA a HITRUST.

  • Zákazníci zodpovídají za provádění vhodných kontrol zabezpečení a dodržování předpisů všech řešení vytvořených pomocí této základní architektury.

Nasazení automatizace

  • Pokud chcete řešení nasadit, postupujte podle pokynů uvedených v pokynech k nasazení.

  • Pokud potřebujete rychlý přehled o tom, jak toto řešení funguje, podívejte se na toto video vysvětlující a demonstrující nasazení.

  • Nejčastější dotazy najdete v doprovodných materiálech k nejčastějším dotazům .

  • Diagram architektury Diagram znázorňuje referenční architekturu použitou pro podrobný plán a ukázkový scénář použití.

  • Rozšíření IaaS Toto řešení vám ukáže, jak migrovat místní řešení založené na SQL do Azure a implementovat pracovní stanici s privilegovaným přístupem pro bezpečnou správu cloudových služeb a řešení.

Součásti řešení

Základní architektura se skládá z následujících komponent:

  • Model hrozeb Komplexní model hrozeb je k dispozici ve formátu tm7 pro použití s Microsoft Threat Modeling Tool, který zobrazuje komponenty řešení, toky dat mezi nimi a hranice důvěryhodnosti. Model může zákazníkům pomoct pochopit body potenciálního rizika v systémové infrastruktuře při vývoji komponent nástroje Machine Learning Studio nebo jiných úprav.

  • Matice implementace zákazníků Sešit Aplikace Microsoft Excel obsahuje seznam relevantních požadavků HITRUST a vysvětluje, jak microsoft a zákazník zodpovídají za splnění jednotlivých požadavků.

  • Kontrola stavu Řešení bylo zkontrolováno společností Coalfire systems, Inc. Kontrola dodržování předpisů ve stavu (HIPAA a HITRUST) a pokyny k implementaci poskytuje kontrolu řešení auditorem a aspekty transformace podrobného plánu na nasazení připravené pro produkční prostředí.

Diagram architektury

Role

Podrobný plán definuje dvě role pro administrativní uživatele (operátory) a tři role pro uživatele ve správě nemocnice a péči o pacienty. Šestá role je definována pro auditora k vyhodnocení dodržování předpisů HIPAA a dalších předpisů. Azure Role založené na 存取控制 (RBAC) umožňuje přesně zaměřenou správu přístupu pro každého uživatele řešení prostřednictvím integrovaných a vlastních rolí. Podrobné informace o RBAC, rolích a oprávněních najdete v tématu Začínáme s Role-Based 存取控制 v Azure-Portal a předdefinovaných rolích pro řízení přístupu na základě role v Azure.

Správce webu

Správce webu zodpovídá za předplatné Azure zákazníka. Řídí celkové nasazení, ale nemá přístup k záznamům pacientů.

  • Výchozí přiřazení rolí: Vlastník

  • Vlastní přiřazení rolí: Není k dispozici

  • Obor: Předplatné

Databázový analytik

Databázový analytik spravuje SQL Server instanci a databázi. Nemají přístup k záznamům pacientů.

Odborník na datové vědy

Datový vědec pracuje se sadou Azure Machine Learning Studio. Můžou importovat, exportovat a spravovat data a spouštět sestavy. Datový vědec má přístup k datům pacientů, ale nemá oprávnění správce.

Ředitel lékařských informací (CMIO)

CMIO rozčlení mezi informatikou/technologií a odborníky na zdravotnictví ve zdravotnické organizaci. Jejich povinnosti obvykle zahrnují použití analýz k určení, jestli se prostředky přidělují odpovídajícím způsobem v rámci organizace.

  • Předdefinovaná přiřazení rolí: Žádné

Správce linky péče

Vedoucí linky péče je přímo zapojen do péče pacientů. Tato role vyžaduje monitorování stavu jednotlivých pacientů a také zajištění, aby personál byl k dispozici pro splnění specifických požadavků na péči svých pacientů. Vedoucí linky péče zodpovídá za přidávání a aktualizaci záznamů pacientů.

  • Předdefinovaná přiřazení rolí: Žádné

  • Vlastní přiřazení rolí: Má oprávnění ke spuštění HealthcareDemo.ps1, aby bylo dosaženo jak přijetí pacientů, tak i udělení.

  • Obor: ResourceGroup

Auditor

Auditor vyhodnotí řešení pro dodržování předpisů. Nemají přímý přístup k síti.

  • Předdefinovaná přiřazení rolí: Čtenář

  • Vlastní přiřazení rolí: Není k dispozici

  • Obor: Předplatné

Příklad případu použití

Příklad použití, který je součástí tohoto podrobného plánu, ukazuje, jak se dá podrobný plán použít k povolení strojového učení a analýzy dat o stavu v cloudu. Contosoclinic je malá nemocnice umístěná v Estados Unidos. Správci sítě v nemocnici chtějí pomocí nástroje Azure Machine Learning Studio lépe predikovat délku pobytu pacienta v době přijetí, aby zvýšili efektivitu provozní úlohy a zlepšili kvalitu péče, kterou může poskytnout.

Předpověď délky pobytu

Ukázkový scénář použití používá Azure Machine Learning Studio k predikci nově přijaté doby pobytu pacienta porovnáním podrobností o lékařském stavu přijatých při příjmu pacientů s agregovanými historickými daty z předchozích pacientů. Podrobný plán zahrnuje velkou sadu anonymizovaných lékařských záznamů, které předvádějí možnosti školení a prediktivních funkcí řešení. V produkčním nasazení by zákazníci použili vlastní záznamy k trénování řešení pro přesnější předpovědi, které odrážejí jedinečné podrobnosti o jejich prostředí, zařízeních a pacientech.

Uživatelé a role

Správce webu - Alex

Email: Alex_SiteAdmin

Úkolem Alexe je vyhodnotit technologie, které můžou snížit zátěž správy místní sítě a snížit náklady na správu. Alex už nějakou dobu vyhodnocuje Azure, ale snažil se nakonfigurovat služby, které potřebuje ke splnění požadavků na dodržování předpisů HiTrust pro ukládání dat pacientů v cloudu. Alex vybral AI služby Azure Health k nasazení řešení stavu připraveného pro dodržování předpisů, které vyřešilo požadavky na splnění požadavků zákazníků pro HiTrust.

Dataforsker - Debra

Email: Debra_DataScientist

Debra má na starosti používání a vytváření modelů, které analyzují lékařské záznamy, aby poskytovaly přehledy o péči o pacienta. Debra používá k vytváření svých modelů jazyka SQL a statistického programovacího jazyka R.

Databázový analytik – Danny

Email: Danny_DBAnalyst

Danny je hlavním kontaktem pro cokoli týkající se Microsoftu SQL Server, který ukládá všechna data pacientů pro Contosoclinic. Danny je zkušený správce SQL Server, který se nedávno seznámil s SQL do Azure Database.

Ředitel lékařských informací - Caroline

Caroline pracuje s Chrisem Care Line Managerem a Debra Dataforsker určit, jaké faktory ovlivňují délku pobytu pacienta. Caroline používá předpovědi z řešení pro délku pobytu (LOS) k určení, jestli se prostředky přidělují odpovídajícím způsobem v nemocnici. Například pomocí řídicího panelu uvedeného v tomto řešení.

Care Line Manager - Chris

Email: Chris_CareLineManager

Jako jednotlivec, který přímo zodpovídá za správu přijetí pacientů a vypouští se ve společnosti Contosoclinic, chris používá předpovědi generované řešením LOS, aby zajistil, že odpovídající zaměstnanci budou k dispozici pro zajištění péče pacientům při pobytu v zařízení.

Auditor -- Han

Email: Han_Auditor

Han je certifikovaný auditor, který má zkušenosti s auditem ISO, SOC a HiTrust. Han byl najal k revizi sítě Společnosti Contosoclinc. Han může zkontrolovat matici odpovědnosti zákazníka, která je součástí řešení, a zajistit tak, aby bylo možné podrobný plán a řešení LOS použít k ukládání, zpracování a zobrazování citlivých osobních údajů.

Konfigurace návrhu

V této části najdete podrobnosti o výchozích konfiguracích a bezpečnostních opatřeních integrovaných do podrobného plánu popsaného takto:

  • Nezpracované zdroje dat INGEST , včetně zdroje dat FHIR
  • Ukládat citlivé informace
  • ANALÝZA a predikce výsledků
  • INTERAKCE s výsledky a predikcemi
  • Správa identit řešení
  • Funkce s podporou zabezpečení

IDENTITY

Řízení přístupu na základě role (Azure Active Directory) a řízení přístupu na základě role (RBAC)

Ověřování:

  • Azure Active Directory (Azure AD) je cloudová služba a adresář a správa identit microsoftu s více tenanty. Všichni uživatelé pro řešení se vytvořili v Azure Active Directory, včetně uživatelů, kteří přistupují k SQL Database.

  • Ověřování k aplikaci se provádí pomocí Azure AD. Další informace najdete v článku Integrace aplikací s Azure Active Directory.

  • Azure Active Directory Identity Protection detekuje potenciální ohrožení zabezpečení ovlivňující identity vaší organizace, konfiguruje automatizované odpovědi na zjištěné podezřelé akce související s identitami vaší organizace a prošetřuje podezřelé incidenty a provádí příslušná opatření k jejich vyřešení.

  • 存取控制 na základě role Azure (RBAC) umožňuje přesně zaměřenou správu přístupu pro Azure. Přístup k předplatnému je omezený na správce předplatného a přístup k Azure 密钥保管库 je omezený na správce webu. Vyžaduje se silná hesla (minimálně 12 znaků s alespoň jedním velkým nebo dolním písmenem, číslem a speciálním znakem).

  • Vícefaktorové ověřování se podporuje, když je během nasazování povolený přepínač -enableMFA.

  • Platnost hesel vyprší po 60 dnech, kdy je během nasazování povolen přepínač -enableADDomainPasswordPolicy.

Role:

  • Řešení využívá předdefinované role ke správě přístupu k prostředkům.

  • Ve výchozím nastavení mají všichni uživatelé přiřazené konkrétní předdefinované role.

Azure Key Vault

  • Data uložená v 密钥保管库 zahrnují:

    • Klíč Application Insight
    • Přístupový klíč úložiště dat pacientů
    • Pacient συμβολοσειρά σύνδεσης
    • Název tabulky dat pacientů
    • Koncový bod webové služby Azure ML
    • Klíč rozhraní API služby Azure ML

  • Pokročilé zásady přístupu se konfigurují podle potřeby.

  • 密钥保管库 zásady přístupu jsou definovány s minimálními požadovanými oprávněními pro klíče a tajné kódy.

  • Všechny klíče a tajné kódy v 密钥保管库 mají data vypršení platnosti.

  • Všechny klíče v 密钥保管库 jsou chráněny HSM [Typ klíče = HSM Protected 2048-bit RSA Key]

  • Všem uživatelům a identitám se udělí minimální požadovaná oprávnění pomocí role 存取控制 (RBAC)

  • Aplikace nesdílí 密钥保管库, pokud vzájemně nedůvěřují a potřebují přístup ke stejným tajným kódům za běhu.

  • Diagnostické protokoly pro 密钥保管库 jsou povolené s dobou uchovávání nejméně 365 dnů.

  • Povolené kryptografické operace pro klíče jsou omezené na požadované kryptografické operace.

SPOLKNOUT

Azure Functions

Řešení bylo navržené tak, aby používalo Azure Functions ke zpracování ukázkové délky dat o pobytu používaných v ukázce analýz. Vytvořili jsme tři funkce.

1. Hromadný import dat zákaznických dat phi

Při použití ukázkového skriptu .\HealthcareDemo.ps1 s přepínačem BulkPatientAdmission , jak je popsáno v části Nasazení a spuštění ukázky , spustí následující kanál zpracování:

  1. Azure Blob Storage – ukázka souboru .csv pacientů nahraná do úložiště
  2. Event Grid – Událost publikuje data do funkce Azure Functions (hromadný import – událost objektu blob)
  3. Funkce Azure – Provádí zpracování a ukládá data do služby SQL Storage pomocí zabezpečené funkce – event(typ; adresa URL objektu blob)
  4. SQL DB – Úložiště databází pro data pacientů využívající značky pro klasifikaci a proces ML se spustí a provede trénovací experiment.

Kromě toho byla funkce Azure navržená tak, aby četla a chránila určená citlivá data v ukázkové sadě dat pomocí následujících značek:

  • dataProfile => "ePHI"
  • owner =><Site Správa hlavní název uživatele (UPN)>
  • environment => "Pilot"
  • oddělení => "Globální ekosystém" Označení bylo použito na ukázkovou datovou sadu, kde byl pacient "jména" identifikován jako jasný text.

2. Přijetí nových pacientů

Při použití ukázkového skriptu .\HealthcareDemo.ps1 s přepínačem BulkPatientadmission , jak je popsáno v nasazení a spuštění ukázky , spustí následující kanál zpracování: 1. Služba Azure Functions aktivovala a požadavky na funkci pro nosný token z Azure Active Directory.

2. 密钥保管库 požádáni o tajný kód přidružený k požadovanému tokenu.

3. Role Azure ověřují požadavek a autorizují žádost o přístup k 密钥保管库.

4. 密钥保管库 vrátí tajný kód, v tomto případě připojovací řetězec databáze SQL.

5. Služba Azure Functions používá συμβολοσειρά σύνδεσης k bezpečnému připojení k SQL Database a pokračuje ve zpracování pro ukládání dat ePHI.

Aby bylo možné dosáhnout úložiště dat, bylo implementováno společné schéma rozhraní API po prostředcích FHIR (Fast Healthcare Interoperability Resources, výrazný požár). Funkce byla poskytována následujícími prvky výměny FHIR:

  • Schéma pacientů se zabývá informacemi o tom, kdo o pacientovi.

  • Schéma pozorování se zabývá ústředním prvkem zdravotní péče, který slouží k podpoře diagnostiky, monitorování průběhu, určení směrných plánů a vzorů a dokonce zachycení demografických charakteristik.

  • Schéma setkání se zabývá typy setkání, jako jsou mbulatory, nouzový stav, domácí stav, inpatintní a virtuální setkání.

  • Schéma podmínky obsahuje podrobné informace o podmínce, problému, diagnostice nebo jiné události, situaci, problému nebo klinickém konceptu, který se zvýšil na úroveň obav.

Event Grid

Řešení podporuje Azure Event Grid, jednu službu pro správu směrování všech událostí z libovolného zdroje do libovolného cíle a poskytuje:

ÚLOŽIŠTĚ

SQL Database a server

Účty úložiště

  • Data v pohybu se přenášejí pouze pomocí protokolu TLS/SSL.

  • Anonymní přístup není pro kontejnery povolený.

  • Pravidla upozornění jsou nakonfigurovaná pro sledování anonymní aktivity.

  • Pro přístup k prostředkům účtu úložiště se vyžaduje https.

  • Data žádosti o ověření se protokolují a monitorují.

  • Neaktivní uložená data se šifrují v úložišti objektů blob.

ANALYZOVAT

Machine Learning

ZABEZPEČENÍ

Azure Security Center

  • Azure Security Center poskytuje centralizované zobrazení stavu zabezpečení všech vašich prostředků Azure. Na první pohled můžete ověřit, že jsou zavedeny a správně nakonfigurované příslušné bezpečnostní prvky, a můžete rychle identifikovat všechny prostředky, které vyžadují pozornost.

  • Azure Advisor je individuální cloudový konzultant, který vám pomůže postupovat podle osvědčených postupů pro optimalizaci nasazení Azure. Analyzuje konfiguraci vašich prostředků a telemetrii jejich využívání a následně doporučí řešení, která zlepší finanční úspornost, výkon, dostupnost a zabezpečení vašich prostředků Azure.

Application Insights

  • Application Insights je rozšiřitelná služba APM (Application Performance Management) pro webové vývojáře na více platformách. Slouží k monitorování živé webové aplikace. Detekuje anomálie výkonu. Obsahuje výkonné analytické nástroje pro diagnostiku problémů a pomáhá porozumět, jak vlastně uživatelé vaši aplikaci používají. Je navržena tak, aby pomáhala průběžně vylepšovat výkon a možnosti využití.

Upozornění Azure

  • Výstrahy nabízejí metodu monitorování služeb Azure a umožňují konfigurovat podmínky nad daty. Výstrahy také poskytují oznámení, když podmínka výstrahy odpovídá datům monitorování.

Protokoly služby Azure Monitor

Protokoly služby Azure Monitor jsou kolekce služeb pro správu.