Health Information Trust Alliance (HITRUST) Gemeinsamer Sicherheitsrahmen (CSF)

  • Artikel

ÜBERSICHT ÜBER HITRUST CSF

Die Health Information Trust Alliance (HITRUST) ist eine organization, die von Vertretern der Gesundheitsbranche geleitet wird. HITRUST hat das Common Security Framework (CSF) erstellt und verwaltet, ein zertifizierbares Framework, das Organisationen im Gesundheitswesen und ihre Anbieter dabei unterstützt, ihre Sicherheit und Compliance auf konsistente und optimierte Weise zu demonstrieren.

Das CSF baut auf HIPAA und dem HITECH Act auf, bei denen es sich um US-Gesundheitsgesetze handelt, die Anforderungen für die Verwendung, Offenlegung und den Schutz individuell identifizierbarer Gesundheitsinformationen festgelegt haben und die Nichtkonformität erzwingen. HITRUST bietet eine Benchmark – ein standardisiertes Complianceframework, bewertungs- und Zertifizierungsverfahren – anhand dessen Clouddienstanbieter und abgedeckte Integritätsentitäten die Compliance messen können. Das CSF enthält auch gesundheitsspezifische Sicherheits-, Datenschutz- und andere regulatorische Anforderungen aus bestehenden Frameworks wie dem Payment Card Industry Data Security Standard (PCI-DSS), ISO/IEC 27001 Information Security Management Standards und Minimum Acceptable Risk Standards for Exchanges (MARS-E).

Das CSF ist in 19 verschiedene Domänen unterteilt, einschließlich Endpoint Protection, Sicherheit mobiler Geräte und Zugriffssteuerung. HITRUST zertifiziert IT-Angebote anhand dieser Kontrollen. HITRUST passt die Anforderungen an die Zertifizierung auch an die Risiken einer organization basierend auf organisatorischen, systembezogenen und regulatorischen Faktoren an.

Health Information Trust Alliance (HITRUST) Gemeinsamer Sicherheitsrahmen (CSF)

HITRUST bietet drei Grad an Sicherheit oder Bewertungsebenen: Selbstbewertung, CSF-validiert und CSF-zertifiziert. Jede Ebene baut mit zunehmender Strenge auf der darunter liegenden ebene auf. Ein organization mit dem höchsten Niveau, CSF-zertifiziert, erfüllt alle Zertifizierungsanforderungen des CSF. Microsoft Azure und Office 365 sind die ersten Hyperscale-Clouddienste, die eine Zertifizierung für den HITRUST CSF erhalten. Coalfire, ein HITRUST-Bewertungsunternehmen, hat die Bewertungen basierend darauf durchgeführt, wie Azure und Office 365 Sicherheits-, Datenschutz- und gesetzliche Anforderungen zum Schutz vertraulicher Informationen implementieren. Microsoft unterstützt das HITRUST Shared Responsibility Program.

Erfahren Sie, wie Sie Ihre HITRUST-Bereitstellung mit unserer Azure Security and Compliance Blueprint beschleunigen.

Herunterladen der Blaupause Microsoft Azure HITRUST Customer Responsibility Matrix (CRM) v9.0d

Zu Microsoft gehörende Cloudplattformen und -dienste

Azure, Dynamics 365 und HITRUST

Weitere Informationen zu Azure, Dynamics 365 und anderen Onlinedienste Compliance finden Sie im Azure HITRUST-Angebot.

Office 365 und HITRUST

Office 365 Umgebungen

Microsoft Office 365 ist eine mehrinstanzenfähige Hyperscale-Cloudplattform und eine integrierte Oberfläche für Apps und Dienste, die Kunden in mehreren Regionen weltweit zur Verfügung steht. Die meisten Office 365-Dienste ermöglichen es Kunden, die Region anzugeben, in der sich ihre Kundendaten befinden. Microsoft kann Kundendaten aus Gründen der Datenresilienz in andere Regionen innerhalb desselben geografischen Gebiets (z. B. die USA) replizieren, Microsoft repliziert jedoch keine Kundendaten außerhalb des ausgewählten geografischen Bereichs.

In diesem Abschnitt werden die folgenden Office 365 Umgebungen behandelt:

  • Clientsoftware (Client): Kommerzielle Clientsoftware, die auf Kundengeräten ausgeführt wird.
  • Office 365 (Kommerziell): Der kommerzielle öffentliche Office 365-Clouddienst, der global verfügbar ist.
  • Office 365 Government Community Cloud (GCC): Der Office 365 GCC-Clouddienst ist für Bundes-, Landes-, Kommunal- und Stammesregierungen der Vereinigten Staaten sowie für Auftragnehmer verfügbar, die Daten im Auftrag der US-Regierung speichern oder verarbeiten.
  • Office 365 Government Community Cloud – High (GCC High): Der Office 365 GCC-High-Clouddienst wurde gemäß den Sicherheitsanforderungen der Richtlinien des Verteidigungsministeriums (DoD) Level 4 entwickelt und unterstützt streng regulierte Bundes- und Verteidigungsinformationen. Diese Umgebung wird von Bundesbehörden, der Defense Industrial Base (DIBs) und staatlichen Auftragnehmern verwendet.
  • Office 365 DoD (DoD): Der Office 365 DoD-Clouddienst wurde gemäß den DoD-Sicherheitsanforderungen der Stufe 5 entwickelt und unterstützt strenge Bundes- und Verteidigungsvorschriften. Diese Umgebung ist für die ausschließliche Verwendung durch das US-Verteidigungsministerium bestimmt.

Verwenden Sie diesen Abschnitt, um Ihre Complianceverpflichtungen in regulierten Branchen und globalen Märkten zu erfüllen. Informationen dazu, welche Dienste in welchen Regionen verfügbar sind, finden Sie in den Informationen zur internationalen Verfügbarkeit und im Artikel Wo Ihre Microsoft 365 Kundendaten gespeichert werden. Weitere Informationen zur Office 365 Government-Cloudumgebung finden Sie im Artikel Office 365 Government-Cloud.

Ihre Organisation ist vollständig dafür verantwortlich, die Einhaltung aller geltenden Gesetze und Bestimmungen sicherzustellen. Die in diesem Abschnitt bereitgestellten Informationen stellen keine rechtliche Beratung dar und Sie sollten sich bei Fragen zur Einhaltung gesetzlicher Bestimmungen für Ihre Organisation an Rechtsberater wenden.

Office 365-Anwendbarkeit und im Leistungsumfang enthaltene Dienste

Verwenden Sie die folgende Tabelle, um die Anwendbarkeit für Ihre Office 365-Dienste und -Abonnements zu bestimmen:

Anwendbarkeit Im Leistungsumfang enthaltene Dienste
Kommerziell Aktivitätsfeeddienst, Bing-Dienste, Delve, Exchange Online Protection, Exchange Online, Microsoft Teams, Office 365-Kundenportal, Office Online, Office-Dienstinfrastruktur, Office-Nutzungsberichte, OneDrive for Business, Personen Card, SharePoint Online, Skype for Business, Windows Ink

Office 365-Audits, -Berichte und -Zertifikate

Die HITRUST CSF-Zertifizierung von Office 365 ist zwei Jahre gültig.

Häufig gestellte Fragen

Warum sind einige Office 365 Dienste nicht im Rahmen dieser Zertifizierung?

Microsoft bietet im Vergleich zu anderen Clouddienstanbietern die umfassendsten Angebote. Um mit unseren umfassenden Complianceangeboten in allen Regionen und Branchen Schritt zu halten, beziehen wir Dienstleistungen in den Rahmen unserer Zusicherungsbemühungen ein, die auf der Marktnachfrage, dem Kundenfeedback und dem Produktlebenszyklus basieren. Wenn ein Dienst nicht im aktuellen Umfang eines bestimmten Complianceangebots enthalten ist, ist Ihr organization dafür verantwortlich, die Risiken basierend auf Ihren Complianceverpflichtungen zu bewerten und zu bestimmen, wie Sie die Daten in diesem Dienst verarbeiten. Wir sammeln kontinuierlich Feedback von Kunden und arbeiten mit Aufsichtsbehörden und Prüfern zusammen, um unsere Complianceabdeckung zu erweitern, um Ihre Sicherheits- und Complianceanforderungen zu erfüllen.

Bedeutet die Microsoft-Zertifizierung, dass mein organization Office 365 verwendet, mit HITRUST CSF kompatibel ist?

Wenn Sie Ihre Daten in einem SaaS wie Office 365 speichern, ist dies eine gemeinsame Verantwortung von Microsoft und Ihrem organization, um Compliance zu erreichen. Microsoft verwaltet die meisten Infrastrukturkontrollen, einschließlich physischer Sicherheit, Netzwerksteuerungen, Kontrollen auf Anwendungsebene usw., und Ihre organization ist dafür verantwortlich, Zugriffssteuerungen zu verwalten und Ihre vertraulichen Daten zu schützen. Die Office 365 HITRUST-Zertifizierung zeigt die Konformität des Kontrollframeworks von Microsoft. Darauf aufbauend muss Ihr organization Ihre eigenen Datenschutzkontrollen implementieren und verwalten, um die HITRUST CSF-Anforderungen zu erfüllen.

Stellt Microsoft anleitungen für meine organization bereit, um geeignete Steuerelemente zu implementieren, wenn Office 365 verwendet werden?

Ja, empfohlene Kundenaktionen finden Sie im Compliance-Manager, microsoftübergreifende Cloudlösungen, die Ihrem organization dabei helfen, komplexe Complianceverpflichtungen bei der Verwendung von Clouddiensten zu erfüllen. Insbesondere für HITRUST CSF empfehlen wir, Risikobewertungen mithilfe der NIST 800-53- und NIST-CSF-Bewertungen im Compliance-Manager durchzuführen. In den Bewertungen erhalten Sie eine schritt-für-Schritt-Anleitung und die Microsoft-Lösungen, mit denen Sie Ihre Datenschutzkontrollen implementieren können. Weitere Informationen zum Compliance-Manager finden Sie im Microsoft Purview Compliance Manager.

Verwenden von Microsoft Purview Compliance Manager zum Bewerten Ihres Risikos

Microsoft Purview Compliance Manager ist ein Feature im Microsoft Purview-Complianceportal, das Ihnen hilft, den Compliancestatus Ihrer organization zu verstehen und Maßnahmen zur Verringerung von Risiken zu ergreifen. Compliance Manager bietet eine Premiumvorlage für die Erstellung einer Bewertung für diese Verordnung. Suchen Sie die Vorlage auf der Seite Bewertungsvorlagen im Compliance Manager. Erfahren Sie, wie Sie Bewertungen im Compliance-Manager erstellen und verwalten.

Ressourcen