Azure Security and Compliance Blueprint – HIPAA/HITRUST-állapotadatok és AI

  • Cikk
  • 12 perc alatt elolvasható

Áttekintés

Az Azure Security and Compliance Blueprint – HIPAA/HITRUST Health Data and AI egy Azure PaaS- és IaaS-megoldás kulcsrahozott üzembe helyezését kínálja, amely bemutatja, hogyan lehet az iparági megfelelőségi követelményeknek megfelelő megoldásokat behozni, tárolni, elemezni, használni, identitást és biztonságosan üzembe helyezni az állapotadatokat. A terv segít felgyorsítani a felhő bevezetésének és kihasználtságának az ügyfelek számára a szabályozott adatokkal való felhasználását.

Az Azure Security and Compliance Blueprint – HIPAA/HITRUST Health Data and AI Blueprint olyan eszközöket és útmutatást biztosít, amelyek segítségével biztonságos, Health Insurance Portability and Accountability Act (HIPAA) és Health Information Trust Alliance (HITRUST) szolgáltatásként nyújtott platformra (PaaS) készült környezetet helyezhet üzembe a személyes és nem személyes orvosi rekordok biztonságos, többrétegű felhőalapú környezetben való feldolgozásához, tárolásához, elemzéséhez és kezeléséhez, végpontok között üzembe helyezett megoldás.

Az IaaS-megoldás bemutatja, hogyan lehet átemelni egy helyszíni SQL-alapú megoldást az Azure-ba, és hogyan lehet egy emelt hozzáférési szintű munkaállomást (PAW) implementálni a felhőalapú szolgáltatások és megoldások biztonságos kezeléséhez. Az IaaS SQL Server-adatbázis potenciális kísérletezésadatokat importál egy SQL IaaS virtuális gépre, és a virtuális gép MSI által hitelesített hozzáféréssel kommunikál egy SQL Azure PaaS-szolgáltatással. Mindkettő egy közös referenciaarchitektúrát tartalmaz, és célja, hogy leegyszerűsítse a Microsoft Azure. Ez a biztosított architektúra egy olyan megoldást szemléltet, amely megfelel a felhőalapú megközelítést kívánó szervezetek igényeinek, és csökkenti az üzembe helyezés terhét és költségeit.

A megoldás úgy lett kialakítva, hogy felhasználjon egy, az Fast Healthcare Interoperability Resources (FHIR) használatával formázott mintaadatkészletet, amely az egészségügyi adatok elektronikus cseréjének globális szabványa, és biztonságos tárolása. Az ügyfelek ezután a Azure Machine Learning Studio segítségével hatékony üzletiintelligencia-eszközöket és elemzéseket használhatnak a mintaadatokra vonatkozó előrejelzések áttekintéséhez. Az Azure Machine Learning Studio által megkönnyíthető kísérletre példaként a terv tartalmaz egy mintaadatkészletet, szkripteket és eszközöket, amelyek előrejelenék egy beteg kórházi létesítményben való hosszú hosszát.

Ennek a tervnek az a célja, hogy moduláris alapot szolgáljon az ügyfelek számára, hogy alkalmazkodni tudjanak a konkrét igényeikhez, és új Azure Machine Learning-kísérleteket fejítsen ki a klinikai és üzemeltetési esetek megoldásához. Úgy tervezték, hogy az üzembe helyezéskor biztonságos és megfelelő legyen; Azonban az ügyfelek felelnek a szerepkörök helyes konfigurálásáért és a módosítások megvalósításáért. Vegye figyelembe a következőket:

  • Ez a terv olyan alapkonfigurációt biztosít, amely segít az ügyfeleknek a Microsoft Azure HITRUST- és HIPAA-környezetben való használatában.

  • Bár a tervet úgy tervezték, hogy igazodni legyen a HIPAA-hoz és a HITRUST-hez (a Common Security Framework -- CSF-keretrendszeren keresztül), addig nem tekinthető megfelelőnek, amíg a HIPAA- és HITRUST-tanúsítási követelmények szerint külső auditor nem minősíti.

  • Az ügyfelek felelnek az ezen alaparchitektúra használatával készült megoldások megfelelő biztonsági és megfelelőségi felülvizsgálatáért.

Az automatizálás üzembe helyezése

  • A megoldás üzembe helyezéséhez kövesse az üzembe helyezési útmutató utasításait.

  • A megoldás működését bemutató gyors áttekintésért tekintse meg ezt a videót, amely az üzembe helyezést ismerteti és mutatja be.

  • A gyakori kérdéseket a GYAKORI KÉRDÉSEK útmutatóban találhatja meg.

  • Architekturális diagram. Az ábrán a tervhez használt referenciaarchitektúra és a példaforgatókönyv látható.

  • IaaS-bővítmény Ez a megoldás bemutatja, hogyan mi egyik helyszíni SQL-alapú megoldást az Azure-ba, és hogyan valósítható meg egy emelt szintű hozzáférésű munkaállomás a felhőalapú szolgáltatások és megoldások biztonságos kezeléséhez.

Megoldás-összetevők

Az alaparchitektúra a következő összetevőkből áll:

  • Fenyegetésmodell A rendszer tm7 formátumban biztosít egy átfogó fenyegetésmodellt a Microsoft Threat Modeling Tool-hez, amely a megoldás összetevőit, a közöttük folyó adatfolyamokat és a megbízhatósági határokat mutatja. A modell segítségével az ügyfelek megértheti a rendszerinfra infrastruktúrájának lehetséges kockázati pontjait, amikor Machine Learning Studio-összetevőket vagy egyéb módosításokat fejleszt.

  • Ügyfél-megvalósítási mátrix Egy Microsoft Excel munkafüzet felsorolja a vonatkozó HITRUST-követelményeket, és elmagyarázza, hogyan felel a Microsoft és az ügyfél az egyes követelményeknek.

  • Állapot-áttekintés. A megoldást a Coalfire Systems, Inc. Az állapotnak való megfelelőség (HIPAA és HITRUST) Az implementáció áttekintésével és útmutatóval áttekintheti a megoldást, és áttekintheti a terv éles üzemre kész üzembe helyezésre való átalakításának szempontjait.

Architekturális diagram

Szerepkörök

A terv két szerepkört határoz meg a rendszergazda felhasználók (operátorok), valamint három szerepkört a kórházvezetés és a betegellátás felhasználói számára. Az auditorok hatodik szerepkört határoznak meg a HIPAA- és egyéb szabályozások betartásának értékeléséhez. Az Azure szerepköralapú Access Control (RBAC) a beépített és egyéni szerepkörökkel pontosan célzott hozzáférés-vezérlést tesz lehetővé a megoldás minden felhasználója számára. Az RBAC Első lépések szerepkörökrőlRole-Based Access Control szerepkörökről és engedélyekről az Azure szerepköralapú hozzáférés-vezérlésének Azure Portal beépített szerepkörei és beépített szerepkörei között, az Azure-beli szerepköralapú hozzáférés-vezérléssel kapcsolatos útmutatóban Role-Based Access Control útmutatóban található részletes információ.

Hely rendszergazdája

A webhely rendszergazdája felelős az ügyfél Azure-előfizetéséért. Ők irányítják a teljes üzembe helyezést, de nem férnek hozzá a betegek adataihoz.

  • Alapértelmezett szerepkör-hozzárendelések: Tulajdonos

  • Egyéni szerepkör-hozzárendelések: N/A

  • Hatókör: Előfizetés

Adatbázis-elemző

Az adatbázis-elemző felügyeli a SQL Server adatbázist. Nincs hozzáférésük a páciensek rekordjaihoz.

Adatszakértő

Az adattudós működteti a Azure Machine Learning Studiót. Importálhat, exportálhat és kezelhet adatokat, és jelentéseket futtathat. Az adattudós hozzáfér a betegek adataihoz, de nem rendelkezik rendszergazdai jogosultságokkal.

  • Beépített szerepkör-hozzárendelések: Storage közreműködője

  • Egyéni szerepkör-hozzárendelések: N/A

  • Hatókör: ResourceGroup

Főorvos (CMIO)

A CMIO egy egészségügyi szervezet informatikája/technológiája és egészségügyi szakemberei között oszlanak meg. Feladatuk általában az elemzések használata annak megállapításához, hogy az erőforrásokat megfelelően osztják-e ki a szervezeten belül.

  • Beépített szerepkör-hozzárendelések: Nincs

Care Line Manager

Az ellátás vonalkezelője közvetlenül részt vesz a betegek ellátásában. Ehhez a szerepkörhöz az egyes páciensek állapotának monitorozása szükséges, valamint gondoskodni kell arról, hogy a személyzet elérhetővé válik a páciensek speciális ellátási követelményeinek való megfeleléshez. Az egészségügyi vezető felelős a betegek rekordjainak hozzáadásáért és frissítéséért.

  • Beépített szerepkör-hozzárendelések: Nincs

  • Egyéni szerepkör-hozzárendelések: A páciensek beléptetése és HealthcareDemo.ps1 is futtathat egyéni szerepkör-hozzárendeléseket.

  • Hatókör: ResourceGroup

Auditor

Az auditor kiértékeli a megfelelőséget. Nincs közvetlen hozzáférésük a hálózathoz.

  • Beépített szerepkör-hozzárendelések: Olvasó

  • Egyéni szerepkör-hozzárendelések: N/A

  • Hatókör: Előfizetés

Példa a használatra

A tervhez mellékelt példahasználati eset bemutatja, hogyan használható a Terv a felhőben található egészségügyi adatok gépi tanulásának és elemzésének engedélyezésére. A Contosoclinic egy kis kórház, amely a Egyesült Államok. A kórház hálózati rendszergazdái az Azure Machine Learning Studiót szeretnék használni, hogy jobban előrejelezni szeretnék egy beteg betartásának hosszát a be nem tartás ideje alatt, hogy növelh volna a működési munkaterhelés hatékonyságát és javítanák az ellátás minőségét.

A maradás hosszának előrejelzése

A példaforgatókönyvben a Azure Machine Learning Studio segítségével előrejelzhető egy újonnan felvett beteg számára a betegbevitelkor lekért egészségügyi adatok és a korábbi páciensek összesített előzményadata. A terv számos anonimizált egészségügyi rekordot tartalmaz a megoldás betanítására és prediktív képességeinek szemléltetére. Éles környezetben az ügyfelek a saját rekordjaikat használva betanítják a megoldást a pontosabb előrejelzésekhez, amelyek a környezetük, létesítményeik és pácienseik egyedi adatait tükrözik.

Felhasználók és szerepkörök

Webhely-rendszergazda – Alex

E-mail: Alex_SiteAdmin

Alex feladata olyan technológiák kiértékelése, amelyek csökkenthetik a helyszíni hálózat kezelésének terhét, és csökkenthetik a kezelési költségeket. Alex már egy ideje értékeli az Azure-t, de nehezen tudta konfigurálni a szolgáltatásokat, amelyekre szüksége van a HiTrust megfelelőségi követelményeinek való megfeleléshez a betegadatok felhőben való tárolására. Alex kiválasztotta az Azure Health AI-t egy megfelelőségi állapotmegoldás üzembe helyezéséhez, amely megfelelt a HiTrust ügyfélkövetelményeinek való megfelelés követelményeinek.

adattudós -- Debra

E-mail: Debra_DataScientist

Debra felelős olyan modellek használatáért és létrehozásáért, amelyek egészségügyi rekordokat elemeznek a betegellátásba való betekintés érdekében. Debra SQL R statisztikai programozási nyelvvel hozza létre modelljeit.

Adatbázis-elemző – Lap

E-mail: Danny_DBAnalyst

A Contosoclinic összes betegadatát tároló Microsoft SQL Server a Contoso fő kapcsolattartója. Az egyik SQL Server rendszergazda, aki nemrég ismerkedett meg a Azure SQL Database.

Egészségügyi információs főorvos –

Ezért Chris, a care line manager és Debra adattudós, hogy meghatározza, milyen tényezők befolyásolják a betegellátás hosszát. A Los Angeles-i megoldás előrejelzései alapján határozzák meg, hogy az erőforrások megfelelően vannak-e lefoglalva a kórház hálózatában. Például a megoldásban megadott irányítópult használatával.

Care Line Manager – Chris

E-mail: Chris_CareLineManager

Chris, mint a betegek belépésének kezeléséért közvetlenül felelős személy és a Contosoclinic orvosai, Chris a LOS-megoldás által létrehozott előrejelzések alapján gondoskodik arról, hogy megfelelő személyzet érhetők el a betegek ellátása érdekében, amíg ők a létesítményben tartózkodnak.

Auditor -- Mert

E-mail: Han_Auditor

Az ISO, SOC és HiTrust naplózási tapasztalatokkal rendelkező tanúsítvánnyal rendelkező auditor. A Contosoclinc hálózatának áttekintése érdekében lett alkalmazva. A Rendszer áttekintheti a megoldáshoz biztosított Ügyfél-felelősségi mátrixot, és biztosíthatja, hogy a terv és a LOS megoldás használható legyen bizalmas személyes adatok tárolására, feldolgozására és megjelenítésére.

Konfiguráció tervezése

Ez a szakasz a tervbe épített alapértelmezett konfigurációkat és biztonsági intézkedéseket részletezi, amelyek a következő célokra vannak kijelölve:

  • Nyers adatforrások, például az FHIR-adatforrás be- és beúzása
  • Bizalmas adatok tárolása
  • Eredmények elemzése és előrejelzése
  • INTERAKCIÓ az eredményekkel és az előrejelzésekkel
  • A megoldás identitáskezelése
  • BIZTONSÁGra vonatkozó funkciók

IDENTITÁS

Azure Active Directory szerepköralapú hozzáférés-vezérlés (RBAC)

Hitelesítés:

  • Azure Active Directory (Azure AD) a Microsoft több-bérlős felhőalapú címtár- és identitáskezelési szolgáltatása. A megoldáshoz minden felhasználó a Azure Active Directory jött létre, beleértve a SQL Database.

  • Az alkalmazás hitelesítése az Azure AD használatával történik. További információt az Integrating applications with Azure Active Directory (Alkalmazások integrációja az Azure Active Directory-val) című témakörben találhat.

  • Azure Active Directory Identity Protection észleli a szervezet identitásait érintő lehetséges biztonsági réseket, automatikus válaszokat konfigurál a szervezet identitásával kapcsolatos gyanús műveletekre, megvizsgálja a gyanús incidenseket, és megfelelő lépéseket végez azok megoldásához.

  • Az Azure szerepköralapú Access Control (RBAC) pontosan fókuszált hozzáférés-vezérlést tesz lehetővé az Azure-ban. Az előfizetéshez való hozzáférés az előfizetés-rendszergazdára, az Azure Key Vault a webhely rendszergazdájának van korlátozva. Erős jelszavak (legalább 12 karakter hosszúságúak, és legalább egy felső/alsóbetűt, számot és speciális karaktert tartalmaznak) kötelező megadni.

  • A többtényezős hitelesítés akkor támogatott, ha az -enableMFA kapcsoló engedélyezve van az üzembe helyezés során.

  • A jelszavak 60 nap után lejárnak, ha az -enableADDomainPasswordPolicy kapcsoló engedélyezve van az üzembe helyezés során.

Szerepkörök:

  • A megoldás beépített szerepköröket használ az erőforrásokhoz való hozzáférés kezelésére.

  • Alapértelmezés szerint minden felhasználóhoz meghatározott beépített szerepkörök vannak hozzárendelve.

Azure Key Vault

  • A tárolóban tárolt Key Vault a következőket:

    • Application Insight-kulcs
    • Betegadatok Storage hozzáférési kulcsa
    • Páciensek kapcsolati sztring
    • Betegadatok táblázatának neve
    • Azure ML webszolgáltatás-végpont
    • Azure ML Service API-kulcs

  • A speciális hozzáférési szabályzatok konfigurálása szükség szerint történik

  • Key Vault hozzáférési szabályzatok a kulcsokhoz és titkos kulcsokhoz szükséges minimális engedélyekkel vannak definiálva

  • A kulcsok és titkos kulcsok Key Vault lejárati dátumokkal rendelkezők

  • Az összes Key Vault HSM védi [Kulcstípus = HSM által védett 2048 bites RSA-kulcs]

  • Szerepköralapú hozzáférés-vezérlés (RBAC) használatával minden felhasználó/identitás Access Control rendelkezik a minimálisan szükséges engedélyekkel

  • Az alkalmazások nem osztoznak a Key Vault kivéve, ha megbíznak egymásban, és futásidőben ugyanazokhoz a titkos kulcsokhoz kell hozzáférniük

  • A diagnosztikai naplók Key Vault legalább 365 napos megőrzési időtartammal vannak engedélyezve.

  • A kulcsok engedélyezett titkosítási műveletei csak a szükséges titkosítási műveletekre korlátozódnak

LENYELIK

Azure Functions

A megoldás úgy lett kialakítva, Azure Functions az elemzési bemutatóban használt maradási adatok mintahosszúságának feldolgozásához. A függvények három képessége lett létrehozva.

1. Ügyféladatok tömeges importálása phi adatokból

A bemutató szkript használata esetén. A .\HealthcareDemo.ps1 a BulkPatientAdmission kapcsolóval a bemutató üzembe helyezését és futtatását bemutató dokumentumban ismertetettek szerint a következő feldolgozási folyamatot hajtja végre:

  1. Azure Blob Storage – Betegadatok .csv tárolóba feltöltött mintafájl
  2. Event Grid – Az esemény adatokat tesz közzé az Azure-függvényben (tömeges importálás – blobesemény)
  3. Azure-függvény – Elvégzi az adatok feldolgozását, és SQL Storage biztonságos függvény használatával – event(type; blob URL)
  4. SQL DB – A páciensadatok adatbázis-tárolója, amely címkéket használ a besoroláshoz, és a ML folyamat a betanítási kísérlethez is el van rugasva.

Emellett az Azure-függvényt arra tervezték, hogy beolvassa és védje a mintaadatkészletben kijelölt bizalmas adatokat a következő címkékkel:

  • dataProfile => "ePHI"
  • owner =><Site Admin UPN>
  • environment => "Pilot"
  • department => "Globális ökoszisztéma" A címkézést arra a mintaadatkészletre alkalmazták, ahol a páciensek nevei egyértelmű szövegként vannak azonosítva.

2. Új páciensek belépése

A bemutató szkript használata esetén. A .\HealthcareDemo.ps1 a BulkPatientadmission kapcsolóval a bemutató üzembe helyezését és futtatását bemutató dokumentumban ismertetettek szerint a következő feldolgozási folyamatot hajtja végre: 1. Az Azure-függvény aktiválva van, és a függvény egy azure Active Directory-beli jogkivonatra vonatkozó kérést ad vissza.

2. Key Vault titkos igénylést kér, amely a kért jogkivonathoz van társítva.

3. Az Azure-szerepkörök ellenőrzik a kérést, és engedélyezik a Key Vault.

4. Key Vault adja vissza a titkos sztringet, ebben az esetben a SQL DB kapcsolati sztringet.

5. Az Azure-függvény a kapcsolati sztring segítségével biztonságosan csatlakozik a SQL Database és folytatja az ePHI-adatok tárolására való további feldolgozást.

Az adatok tárolásának eléréséhez egy közös API-sémát valósítottunk meg a Fast Healthcare Interoperability Resources (FHIR, kiejtve tűz). A függvény a következő FHIR-csereelemeket biztosította:

  • A betegsémák a páciensek "ki" információit fedik le.

  • A megfigyelési séma az egészségügy központi elemét fedi le, amely a diagnosztika támogatására, az előrehaladás figyelésében, az alapkonfigurációk és minták meghatározásában, valamint a demográfiai jellemzők rögzítésében használatos.

  • A Sémával való találkozás az olyan típusú hibákat fedi le, mint az ambuláns, a vészhelyzeti, az otthoni állapot, a beteginformatikai és a virtuális problémák.

  • A feltételsémák részletes információkat tartalmaznak egy adott állapotról, problémáról, diagnózisról vagy egyéb eseményről, helyzetről, problémáról vagy klinikai fogalomról, amelyek egy adott szintre emelkedtek.

Event Grid

A megoldás támogatja Azure Event Grid szolgáltatást, amely az összes esemény bármely forrásból bármely célhelyre való irányítását kezeli, a következő szolgáltatások biztosítása érdekében:

TÁROLJA

SQL Database és kiszolgáló

Tárfiókok

  • A mozgásbanlott adatok átvitele csak TLS/SSL használatával történik.

  • A tárolókhoz nem engedélyezett a névtelen hozzáférés.

  • A riasztási szabályok a névtelen tevékenységek követésére vannak konfigurálva.

  • A TÁRfiók erőforrásainak eléréséhez HTTPS szükséges.

  • A rendszer naplózza és figyeli a hitelesítési kérelmek adatait.

  • A Blob Storage-ban tárolt adatok titkosítva vannak.

ELEMEZNI

Machine Learning

BIZTONSÁG

Azure Security Center

  • Azure Security Center az összes Azure-erőforrás biztonsági állapotának központosított nézetét biztosítja. Első pillantásra ellenőrizheti, hogy a megfelelő biztonsági vezérlők működnek-e és megfelelően vannak-e konfigurálva, és gyorsan azonosíthatja a figyelmet igénylő erőforrásokat.

  • Azure Advisor egy személyre szabott felhőtanácsadó, amely segít az ajánlott eljárásoknak az Azure-beli üzemelő példányok optimalizálásában. Az Advisor elemzi az erőforrások konfiguráció- és használattelemetriáját, és megoldási javaslatokat tesz, amelyek segítségével javítható az Azure-erőforrások költséghatékonysága, teljesítménye, rendelkezésre állása és biztonsága.

Application Insights

  • Az Elemzések alkalmazásteljesítmény-kezelési (APM) szolgáltatás több platformon használható, webfejlesztők számára. Az élő webalkalmazásának figyelésére használhatja. Teljesítményanomáliákat észlel. Hatékony elemzőeszközöket tartalmaz, amelyek segítenek a problémák felismerésében, és annak a megértésében, hogy a felhasználók mire használják ténylegesen az alkalmazást. Úgy tervezték, hogy használatával folyamatosan javíthassa a teljesítményt és a használhatóságot.

Azure-riasztások

  • A riasztások lehetőséget kínálnak az Azure-szolgáltatások monitorozására, és lehetővé teszik az adatokra vonatkozó feltételek konfigurálését. A riasztások értesítéseket is biztosítanak, ha egy riasztási feltétel megfelel a monitorozási adatoknak.

Azure Monitor-naplók

Azure Monitor naplók felügyeleti szolgáltatások gyűjteményei.