Azure Security and Compliance Blueprint – HIPAA/HITRUST Health Data and AI

  • Cikk

Áttekintés

Az Azure Security and Compliance Blueprint – HIPAA/HITRUST Health Data and AI egy Azure PaaS- és IaaS-megoldás kulcsrakész üzembe helyezését kínálja, amely bemutatja, hogyan lehet betöltés, tárolás, elemzés, interakció, identitás és megoldások biztonságos üzembe helyezése állapotadatokkal, miközben képesek megfelelni az iparági megfelelőségi követelményeknek. A terv segít felgyorsítani a felhőbevezetést és -használatot a szabályozott adatokkal rendelkező ügyfelek számára.

Az Azure Security and Compliance Blueprint – HIPAA/HITRUST Health Data and AI Blueprint olyan eszközöket és útmutatást nyújt, amelyekkel biztonságos, az egészségbiztosítás hordozhatóságáról és elszámoltathatóságáról szóló törvény (HIPAA) és a Health Information Trust Alliance (HITRUST) szolgáltatásként nyújtott platformra (PaaS) kész környezet helyezhető üzembe személyes és nem személyes egészségügyi rekordok biztonságos, többrétegű felhőkörnyezetben való betöltéséhez, tárolásához, elemzéséhez és kezeléséhez, végpontok közötti megoldásként van üzembe helyezve.

Az IaaS-megoldás bemutatja, hogyan migrálhat helyszíni SQL-alapú megoldásokat az Azure-ba, és hogyan valósíthat meg emelt szintű hozzáférésű munkaállomást (PAW) a felhőalapú szolgáltatások és megoldások biztonságos kezeléséhez. Az IaaS SQL Server-adatbázis potenciális kísérletezési adatokat importál egy SQL IaaS virtuális gépbe, és a virtuális gép MSI-hitelesítéssel hitelesített hozzáférést használ egy SQL Azure PaaS-szolgáltatás használatához. Mindkettő egy közös referenciaarchitektúrát mutat be, és a Microsoft Azure bevezetésének egyszerűsítésére szolgál. Ez a rendelkezésre álló architektúra olyan megoldást mutat be, amely megfelel azoknak a szervezeteknek az igényeinek, ahol felhőalapú megközelítést keresnek az üzembe helyezés terheinek és költségeinek csökkentésére.

A megoldás úgy lett kialakítva, hogy a Fast Healthcare Interoperability Resources (FHIR) használatával formázott mintaadatkészletet használjon, amely az egészségügyi információk elektronikus cseréjének globális szabványa, és biztonságosan tárolja azokat. Az ügyfelek ezután az Azure Machine Learning Studióval kihasználhatják a hatékony üzletiintelligencia-eszközök és -elemzések előnyeit a mintaadatokra vonatkozó előrejelzések áttekintéséhez. Az Azure Machine Learning Studio által elősegíthető kísérlettípus példájaként a terv egy mintaadatkészletet, szkripteket és eszközöket tartalmaz a beteg kórházi tartózkodásának hosszának előrejelzéséhez.

Ez a terv moduláris alapként szolgál az ügyfelek számára, hogy igazodjanak a saját igényeikhez, és új Azure Machine Learning-kísérleteket fejlessnek ki a klinikai és üzemeltetési alkalmazási helyzetek megoldásához. Úgy tervezték, hogy biztonságos és megfelelő legyen az üzembe helyezéskor; az ügyfelek azonban felelősek a szerepkörök helyes konfigurálásáért és a módosítások implementálásáért. Vegye figyelembe a következőket:

  • Ez a terv alapkonfigurációt biztosít az ügyfeleknek a Microsoft Azure HITRUST- és HIPAA-környezetben való használatához.

  • Bár a tervet úgy tervezték, hogy igazodjon a HIPAA-hoz és a HITRUST-hoz (a Common Security Frameworken keresztül – CSF), nem tekinthető megfelelőnek, amíg egy külső auditor nem tanúsítja a HIPAA- és HITRUST-tanúsítási követelményeknek megfelelően.

  • Az ügyfelek felelősek az ezen alapvető architektúrával létrehozott megoldások megfelelő biztonsági és megfelelőségi felülvizsgálatáért.

Az automatizálás üzembe helyezése

  • A megoldás üzembe helyezéséhez kövesse az üzembe helyezési útmutatóban szereplő utasításokat.

  • A megoldás működésének gyors áttekintéséhez tekintse meg ezt a videót , amely ismerteti és szemlélteti az üzembe helyezést.

  • A gyakori kérdéseket a gyakori kérdések útmutatójában találja.

  • Architekturális diagram. Az ábrán a tervhez használt referenciaarchitektúra és a példa használatieset-forgatókönyv látható.

  • IaaS-bővítmény Ez a megoldás bemutatja, hogyan migrálhat egy helyszíni SQL-alapú megoldást az Azure-ba, és hogyan valósíthat meg privileged access munkaállomást a felhőalapú szolgáltatások és megoldások biztonságos kezeléséhez.

Megoldás-összetevők

Az alapvető architektúra a következő összetevőkből áll:

  • Fenyegetésmodell Az átfogó fenyegetésmodell tm7 formátumban érhető el a Microsoft Threat Modeling Tool való használatra, amely a megoldás összetevőit, a köztük lévő adatfolyamokat és a megbízhatósági határokat mutatja be. A modell segíthet az ügyfeleknek megérteni a rendszerinfrastruktúra lehetséges kockázati pontjait a Machine Learning Studio összetevőinek vagy egyéb módosításainak fejlesztésekor.

  • Ügyfélimplementációs mátrix A Microsoft Excel-munkafüzetek felsorolják a HITRUST vonatkozó követelményeit, és ismertetik, hogy a Microsoft és az ügyfél hogyan felel az egyes követelmények teljesítéséért.

  • Állapot-ellenőrzés. A megoldást a Coalfire systems, Inc. ellenőrizte. Az állapotmegfelelőség (HIPAA és HITRUST) áttekintése és az implementálásra vonatkozó útmutatás a megoldás auditor általi áttekintését és a terv éles üzembe helyezésre való átalakításának szempontjait tartalmazza.

Architekturális diagram

Szerepkörök

A terv két szerepkört határoz meg az adminisztratív felhasználók (üzemeltetők) számára, valamint három szerepkört a kórházi kezelés és a betegellátás felhasználói számára. Egy hatodik szerepkör van meghatározva az auditor számára a HIPAA-nak és más szabályozásoknak való megfelelés értékeléséhez. Az Azure-beli szerepköralapú Access Control (RBAC) a megoldás minden felhasználója számára lehetővé teszi a hozzáférések precíz kezelését beépített és egyéni szerepkörök használatával. Az RBAC-val, szerepkörökkel és engedélyekkel kapcsolatos részletes információkért tekintse meg az Azure szerepköralapú hozzáférés-vezérlés Azure Portal és beépített szerepköreinek Role-Based Access Control című témakört.

Webhelygazda

A webhelygazda felelős az ügyfél Azure-előfizetéséért. Ők irányítják a teljes üzembe helyezést, de nem férnek hozzá a betegrekordokhoz.

  • Alapértelmezett szerepkör-hozzárendelések: Tulajdonos

  • Egyéni szerepkör-hozzárendelések: N/A

  • Hatókör: Előfizetés

Adatbázis-elemző

Az adatbázis-elemző felügyeli a SQL Server példányt és adatbázist. Nincs hozzáférésük a betegrekordokhoz.

Adatszakértő

Az adattudós az Azure Machine Learning Studiót működteti. Importálhatnak, exportálhatnak és kezelhetnek adatokat, és jelentéseket futtathatnak. Az adattudós hozzáfér a betegadatokhoz, de nem rendelkezik rendszergazdai jogosultságokkal.

  • Beépített szerepkör-hozzárendelések: Tárfiók közreműködője

  • Egyéni szerepkör-hozzárendelések: N/A

  • Hatókör: ResourceGroup

Tiszti főorvos (CMIO)

A CMIO osztja a szakadékot az informatikai és technológiai szakemberek és az egészségügyi szervezetek egészségügyi szakemberei között. A feladataik közé tartozik általában az elemzések használata annak meghatározására, hogy az erőforrások megfelelően vannak-e lefoglalva a szervezetben.

  • Beépített szerepkör-hozzárendelések: Nincs

Care Line Manager

Az ápolási vonal kezelője közvetlenül részt vesz a betegek ellátásában. Ehhez a szerepkörhöz szükség van az egyes betegek állapotának monitorozására, valamint annak biztosítására, hogy a személyzet rendelkezésre álljon a betegek speciális ápolási követelményeinek való megfelelés érdekében. Az ellátásvezető felelős a betegrekordok hozzáadásáért és frissítéséért.

  • Beépített szerepkör-hozzárendelések: Nincs

  • Egyéni szerepkör-hozzárendelések: Jogosult HealthcareDemo.ps1 futtatására, hogy a betegek felvételét és a mentesítést is elvégezhesse.

  • Hatókör: ResourceGroup

Auditor

Az auditor kiértékeli a megoldást a megfelelőség szempontjából. Nincs közvetlen hozzáférésük a hálózathoz.

  • Beépített szerepkör-hozzárendelések: Olvasó

  • Egyéni szerepkör-hozzárendelések: N/A

  • Hatókör: Előfizetés

Példa használati esetre

A tervben szereplő példahasználati eset bemutatja, hogyan használható a terv a gépi tanulás és az állapotadatok felhőbeli elemzésének engedélyezésére. Contosoclinic egy kis kórház található a Egyesült Államok. A kórházi hálózat rendszergazdái az Azure Machine Learning Studióval szeretnék jobban előrejelezni a beteg tartózkodásának időtartamát a beengedés időpontjában, hogy növeljék a munkaterhelés hatékonyságát, és javíthassák az általa nyújtott ellátás minőségét.

A tartózkodás hosszának előrejelzése

A példa használatieset-forgatókönyv az Azure Machine Learning Studióval előrejelzi az újonnan beengedt beteg tartózkodásának időtartamát a betegfelvételkor vett orvosi adatok és a korábbi páciensek összesített előzményadatainak összehasonlításával. A terv anonimizált orvosi adatok széles halmazát tartalmazza, amelyek bemutatják a megoldás betanítási és prediktív képességeit. Éles környezetben az ügyfelek a saját rekordjaik alapján tanítanák be a megoldást a környezetük, a létesítményeik és a pácienseik egyedi részleteinek megfelelő pontosabb előrejelzésekre.

Felhasználók és szerepkörök

Webhelygazda – Alex

Email: Alex_SiteAdmin

Alex feladata olyan technológiák értékelése, amelyek csökkenthetik a helyszíni hálózat kezelésével járó terheket, és csökkenthetik a felügyeleti költségeket. Alex már egy ideje értékeli az Azure-t, de nehezen konfigurálta azokat a szolgáltatásokat, amelyekre szüksége van ahhoz, hogy megfeleljen a HiTrust megfelelőségi követelményeinek a betegadatok felhőben való tárolásához. Alex az Azure Health AI-t választotta egy megfelelőségi használatra kész állapotmegoldás üzembe helyezéséhez, amely megfelel a HiTrust ügyfélkövetelményeinek.

adattudós - Debra

Email: Debra_DataScientist

A Debra feladata, hogy orvosi adatokat elemző modelleket használjon és hozzon létre, hogy betekintést nyújtson a betegellátásba. Debra az SQL és az R statisztikai programozási nyelv használatával hozza létre modelljeit.

Adatbázis-elemző – Danny

Email: Danny_DBAnalyst

Danny a fő kapcsolattartó minden olyan Microsoft-SQL Server kapcsolatban, amely a Contosoclinic összes betegadatát tárolja. Danny tapasztalt SQL Server rendszergazda, aki nemrég ismerkedett meg a Azure SQL Database szolgáltatással.

Vezető orvosi információs tiszt -- Caroline

Caroline chrisrel, a care line managerrel dolgozik, és Debra a adattudós annak meghatározásához, hogy milyen tényezők befolyásolják a betegek tartózkodásának időtartamát. Caroline a tartózkodási idő (LOS) megoldás előrejelzései alapján állapítja meg, hogy az erőforrások megfelelően vannak-e lefoglalva a kórházi hálózatban. Használhatja például az ebben a megoldásban megadott irányítópultot.

Care Line Manager -- Chris

Email: Chris_CareLineManager

Mivel a contosoclinicnál közvetlenül felelős személy a betegek felvételének és a mentesítéseknek a kezeléséért, Chris a LOS-megoldás által generált előrejelzéseket használja annak biztosítására, hogy megfelelő személyzet áll rendelkezésre a betegek ellátásához, amíg a létesítményben tartózkodnak.

Auditor -- Han

Email: Han_Auditor

A Han egy tanúsított auditor, aki rendelkezik iso, SOC és HiTrust naplózási tapasztalattal. Han-t felvették a Contosoclinc hálózatának áttekintésére. A Han áttekintheti a megoldáshoz mellékelt Ügyfélfelelősségi mátrixot, hogy a terv és a LOS megoldás használható legyen bizalmas személyes adatok tárolására, feldolgozására és megjelenítésére.

Tervezési konfiguráció

Ez a szakasz a Tervbe épített alapértelmezett konfigurációkat és biztonsági intézkedéseket ismerteti, amelyek a következő módon lesznek felvázolva:

  • Nyers INGEST-adatforrások , beleértve az FHIR-adatforrásokat
  • BIZALMAS ADATOK TÁROLÁSA
  • ELEMZÉS és eredmények előrejelzése
  • INTERAKCIÓ AZ eredményekkel és az előrejelzésekkel
  • A megoldás identitáskezelése
  • SECURITY-kompatibilis funkciók

IDENTITÁS

Azure Active Directory és szerepköralapú hozzáférés-vezérlés (RBAC)

Hitelesítés:

  • Az Azure Active Directory (Azure AD) a Microsoft több-bérlős felhőalapú címtár- és identitáskezelési szolgáltatása. A megoldás összes felhasználója az Azure Active Directoryban lett létrehozva, beleértve a SQL Database hozzáférő felhasználókat is.

  • Az alkalmazás hitelesítése az Azure AD használatával történik. További információt az Integrating applications with Azure Active Directory (Alkalmazások integrációja az Azure Active Directory-val) című témakörben találhat.

  • Az Azure Active Directory Identity Protection észleli a szervezet identitásait érintő lehetséges biztonsági réseket, automatikus válaszokat konfigurál a szervezet identitásaival kapcsolatos gyanús műveletek észlelésére, kivizsgálja a gyanús incidenseket, és megteszi a megfelelő lépéseket a megoldásukhoz.

  • Az Azure szerepköralapú Access Control (RBAC) pontosan célzott hozzáférés-kezelést tesz lehetővé az Azure-ban. Az előfizetéshez való hozzáférés az előfizetés rendszergazdája számára, az Azure Key Vault hozzáférése pedig a webhelygazda számára van korlátozva. Erős jelszavakra van szükség (legalább 12 karakter, legalább egy felső/alsó betűvel, számmal és speciális karakterrel).

  • A többtényezős hitelesítés akkor támogatott, ha az -enableMFA kapcsoló engedélyezve van az üzembe helyezés során.

  • A jelszavak 60 nap elteltével lejárnak, amikor az -enableADDomainPasswordPolicy kapcsoló engedélyezve van az üzembe helyezés során.

Szerepkörök:

  • A megoldás beépített szerepkörök használatával kezeli az erőforrásokhoz való hozzáférést.

  • Alapértelmezés szerint minden felhasználóhoz meghatározott beépített szerepkörök vannak hozzárendelve.

Azure Key Vault

  • A Key Vault tárolt adatok közé tartoznak a következők:

    • Alkalmazáselemzési kulcs
    • Patient Data Storage hozzáférési kulcs
    • Beteg kapcsolati sztring
    • Patient data table name
    • Azure ML webszolgáltatás-végpont
    • Azure ML-szolgáltatás API-kulcsa

  • A speciális hozzáférési szabályzatok konfigurálása igény szerint történik

  • Key Vault hozzáférési szabályzatok a kulcsokhoz és titkos kulcsokhoz minimálisan szükséges engedélyekkel vannak meghatározva

  • A Key Vault összes kulcsa és titkos kódja lejárati dátumokkal rendelkezik

  • A Key Vault összes kulcsát HSM védi [Kulcstípus = HSM által védett, 2048 bites RSA-kulcs]

  • A szerepköralapú Access Control (RBAC) használatával minden felhasználó/identitás megkapja a minimálisan szükséges engedélyeket

  • Az alkalmazások csak akkor osztanak meg Key Vault, ha megbíznak egymásban, és futásidőben ugyanahhoz a titkos kulcshoz kell hozzáférniük

  • A Key Vault diagnosztikai naplói legalább 365 napos megőrzési időtartammal engedélyezve vannak.

  • A kulcsok engedélyezett titkosítási műveletei a szükségesre korlátozódnak

LENYELIK

Azure Functions

A megoldást úgy tervezték, hogy az Azure Functions használatával dolgozza fel az elemzési bemutatóban használt tartózkodási adatok mintahosszát. A függvényekben három képesség lett létrehozva.

1. Ügyféladatok tömeges importálása – phi adatok

A bemutató szkript használatakor. .\HealthcareDemo.ps1 a BulkPatientAdmission kapcsolóval a bemutató üzembe helyezésében és futtatásában leírtak szerint a következő feldolgozási folyamatot hajtja végre:

  1. Azure Blob Storage – A tárolóba feltöltött betegadatok .csv fájlminta
  2. Event Grid – Az esemény adatokat tesz közzé az Azure-függvényben (tömeges importálás – blobesemény)
  3. Azure-függvény – Elvégzi a feldolgozást, és az adatokat az SQL Storage-ban tárolja a biztonságos függvény használatával – event(type; blob URL)
  4. SQL DB – A betegadatok adatbázis-tárolója besorolási címkékkel, és a betanítási kísérlethez elindítjuk a gépi tanulási folyamatot.

Emellett az Azure-függvény úgy lett kialakítva, hogy beolvassa és megvédje a mintaadatkészletben lévő kijelölt bizalmas adatokat a következő címkék használatával:

  • dataProfile => "ePHI"
  • owner =><Site Rendszergazda UPN>
  • environment => "Pilot"
  • department => "Global Ecosystem" A címkézést arra a mintaadatkészletre alkalmazták, ahol a páciensek neveit világos szövegként azonosították.

2. Új betegek felvétele

A bemutató szkript használatakor. .\HealthcareDemo.ps1 a BulkPatientadmission kapcsolóval az üzembe helyezésben és a bemutató futtatásában leírtak szerint a következő feldolgozási folyamatot hajtja végre: 1. Az Azure-függvény aktiválva van, és a függvény egy tulajdonosi jogkivonatot kér az Azure Active Directorytól.

2. Key Vault kért egy titkos kódot, amely a kért jogkivonathoz van társítva.

3. Az Azure-szerepkörök ellenőrzik a kérést, és engedélyezik a hozzáférési kérést a Key Vault.

4. Key Vault visszaadja a titkos kódot, ebben az esetben az SQL DB kapcsolati sztringet.

5. Az Azure-függvény a kapcsolati sztring használatával biztonságosan csatlakozik SQL Database, és folytatja a további feldolgozást az ePHI-adatok tárolásához.

Az adatok tárolásának elérése érdekében egy közös API-sémát implementáltunk a Fast Healthcare Interoperability Resources (FHIR, kifejezett tűz) után. A függvény a következő FHIR csereelemeket kapta:

  • A betegséma a páciens "who" információira vonatkozik.

  • A megfigyelési séma az egészségügy központi elemét fedi le, amely a diagnózis támogatására, az előrehaladás monitorozására, az alapkonfigurációk és minták meghatározására, valamint a demográfiai jellemzők rögzítésére szolgál.

  • A találkozási séma az olyan találkozások típusait ismerteti, mint a ambuláns, a sürgősségi, az otthoni, a fekvőbeteg- és a virtuális találkozások.

  • A feltételséma részletes információkat tartalmaz egy olyan állapotról, problémáról, diagnózisról vagy más eseményről, helyzetről, problémáról vagy klinikai koncepcióról, amely aggodalomra ad okot.

Event Grid

A megoldás támogatja a Azure Event Grid szolgáltatást, amely egyetlen szolgáltatás az összes esemény bármely forrásból bármely célhelyre történő irányításának kezelésére, a következőket biztosítva:

TÁROLJA

SQL Database és kiszolgáló

Tárfiókok

  • A mozgásban lévő adatok átvitele csak TLS/SSL használatával történik.

  • Tárolók esetében nem engedélyezett a névtelen hozzáférés.

  • A riasztási szabályok a névtelen tevékenységek nyomon követésére vannak konfigurálva.

  • A tárfiók erőforrásainak eléréséhez HTTPS szükséges.

  • A rendszer naplózza és figyeli a hitelesítési kérelmek adatait.

  • A Blob Storage-ban tárolt adatok inaktív állapotban titkosítva vannak.

ELEMEZNI

Machine Learning

BIZTONSÁG

Azure Security Center

  • Azure Security Center központosított áttekintést nyújt az összes Azure-erőforrás biztonsági állapotáról. Egy pillantással ellenőrizheti, hogy a megfelelő biztonsági vezérlők megfelelően vannak-e érvényben és konfigurálva, és gyorsan azonosíthatja azokat az erőforrásokat, amelyek figyelmet igényelnek.

  • Az Azure Advisor egy személyre szabott felhőtanácsadó, amely segít az Ajánlott eljárások követésében az Azure-környezetek optimalizálásához. Az Advisor elemzi az erőforrások konfiguráció- és használattelemetriáját, és megoldási javaslatokat tesz, amelyek segítségével javítható az Azure-erőforrások költséghatékonysága, teljesítménye, rendelkezésre állása és biztonsága.

Application Insights

  • Az Application Insights egy bővíthető alkalmazásteljesítmény-kezelési (APM) szolgáltatás webfejlesztők számára több platformon. Az élő webalkalmazásának figyelésére használhatja. Teljesítményanomáliákat észlel. Hatékony elemzőeszközöket tartalmaz, amelyek segítenek a problémák felismerésében, és annak a megértésében, hogy a felhasználók mire használják ténylegesen az alkalmazást. Úgy tervezték, hogy használatával folyamatosan javíthassa a teljesítményt és a használhatóságot.

Azure-riasztások

  • A riasztások lehetővé teszik az Azure-szolgáltatások monitorozását, és lehetővé teszik az adatokra vonatkozó feltételek konfigurálását. A riasztások akkor is küldenek értesítéseket, ha egy riasztási feltétel megfelel a figyelési adatoknak.

Azure Monitor-naplók

Az Azure Monitor-naplók felügyeleti szolgáltatások gyűjteményei.