Udostępnij przez

Azure Stack HCI i HIPAA

  • Artykuł

Ten artykuł zawiera wskazówki dotyczące sposobu, w jaki organizacje mogą najefektywniej nawigować po zgodności HIPAA dla rozwiązań utworzonych za pomocą rozwiązania Azure Stack HCI.

Zgodność opieki zdrowotnej

Health Insurance Portability and Accountability Act of 1996 (HIPAA) i standardów opieki zdrowotnej, takich jak Health Information Technology for Economic and Clinical Health (HITECH) i Health Information Trust Alliance (HITRUST) chroni poufność, integralność i dostępność chronionych informacji zdrowotnych pacjentów (PHI). Przepisy i standardy te zapewniają, że organizacje opieki zdrowotnej, takie jak biura lekarzy, szpitale i ubezpieczyciele zdrowotne ("podmioty objęte") tworzą, otrzymują, utrzymują, przesyłają lub uzyskują odpowiedni dostęp do phi. Ponadto ich wymagania są rozszerzane na współpracowników biznesowych, którzy dostarczają usługi, które obejmują phi dla objętych jednostek. Firma Microsoft jest przykładem współpracownika biznesowego, który zapewnia usługi informatyczne, takie jak Azure Stack HCI, aby pomóc firmom opieki zdrowotnej przechowywać i przetwarzać phi wydajniej i bezpieczniej. Poniższe sekcje zawierają informacje na temat sposobu, w jaki możliwości platformy rozwiązania Azure Stack HCI pomagają organizacjom spełnić te wymagania.

Wspólna odpowiedzialność

Klienci firmy Microsoft

Jako jednostka objęta przepisami HIPAA organizacje opieki zdrowotnej niezależnie analizują swoje unikatowe środowiska technologiczne i przypadki użycia, a następnie planują i wdrażają zasady i procedury zgodne z wymaganiami przepisów. Objęte jednostki są odpowiedzialne za zapewnienie zgodności swoich rozwiązań technologicznych. Wskazówki zawarte w tym artykule i innych zasobach dostarczonych przez firmę Microsoft mogą być używane jako odwołanie.

Microsoft

Zgodnie z przepisami HIPAA współpracownicy biznesowi nie zapewniają zgodności z przepisami HIPAA, ale zamiast tego wchodzą w umowę Business Associate Agreement (BAA) z jednostkami objętymi umową. Firma Microsoft oferuje umowę HIPAA BAA w ramach postanowień dotyczących produktów firmy Microsoft (dawniej Warunków dotyczących usług online) wszystkim klientom, którzy są objęty jednostkami lub współpracownikami biznesowymi w ramach programu HIPAA do użytku z usługami platformy Azure należącymi do zakresu.

Oferty zgodności rozwiązania Azure Stack HCI

Azure Stack HCI to rozwiązanie hybrydowe, które hostuje i przechowuje zwirtualizowane obciążenia zarówno w chmurze platformy Azure, jak i w lokalnym centrum danych. Oznacza to, że wymagania HIPAA muszą być spełnione zarówno w chmurze, jak i w lokalnym centrum danych.

Usługi w chmurze platformy Azure

Ponieważ przepisy HIPAA są przeznaczone dla firm opieki zdrowotnej, usługi w chmurze, takie jak Microsoft Azure, nie mogą być certyfikowane. Jednak połączone usługi w chmurze platformy Azure i Azure Stack HCI są zgodne z innymi ustalonymi strukturami zabezpieczeń i standardami, które są równoważne lub bardziej rygorystyczne niż HIPAA i HITECH. Dowiedz się więcej o programie zgodności platformy Azure dla branży opieki zdrowotnej na platformie Azure i hipAA.

Środowisko lokalne

Jako rozwiązanie hybrydowe rozwiązanie Azure Stack HCI łączy usługi w chmurze platformy Azure z systemami operacyjnymi i infrastrukturą hostowaną lokalnie przez organizacje klientów. Firma Microsoft udostępnia szereg funkcji, które pomagają organizacjom spełnić wymagania zgodności ze standardami HIPAA i innymi standardami branżowymi w branży opieki zdrowotnej, zarówno w środowiskach w chmurze, jak i w środowiskach lokalnych.

Możliwości rozwiązania Azure Stack HCI odpowiednie dla reguły zabezpieczeń HIPAA

W tej sekcji opisano, w jaki sposób funkcje rozwiązania Azure Stack HCI ułatwiają osiągnięcie celów kontroli zabezpieczeń reguły zabezpieczeń HIPAA, która składa się z następujących pięciu domen kontroli:

Ważne

Poniższe sekcje zawierają wskazówki dotyczące warstwy platformy. Informacje o określonych obciążeniach i warstwach aplikacji są poza zakresem.

Zarządzanie tożsamościami i dostępem

Platforma Azure Stack HCI zapewnia pełny i bezpośredni dostęp do podstawowego systemu uruchomionego w węzłach klastra za pośrednictwem wielu interfejsów, takich jak Azure Arc i Windows PowerShell. Do zarządzania tożsamościami i dostępem do platformy można użyć konwencjonalnych narzędzi systemu Windows w środowiskach lokalnych lub rozwiązań opartych na chmurze, takich jak Tożsamość Microsoft Entra (dawniej Azure Active Directory). W obu przypadkach można korzystać z wbudowanych funkcji zabezpieczeń, takich jak uwierzytelnianie wieloskładnikowe (MFA), dostęp warunkowy, kontrola dostępu oparta na rolach (RBAC) i privileged identity management (PIM), aby zapewnić bezpieczeństwo i zgodność środowiska.

Dowiedz się więcej na temat zarządzania tożsamościami lokalnymi i dostępem w usłudze Microsoft Identity Manager i Privileged Access Management for Active Directory Domain Services. Dowiedz się więcej na temat zarządzania tożsamościami i dostępem w chmurze w Tożsamość Microsoft Entra.

Ochrona danych

Szyfrowanie danych za pomocą funkcji BitLocker

W klastrach Azure Stack HCI wszystkie dane magazynowane mogą być szyfrowane za pośrednictwem 256-bitowego szyfrowania XTS-AES funkcji BitLocker. Domyślnie system zaleca włączenie funkcji BitLocker w celu zaszyfrowania wszystkich woluminów systemu operacyjnego i udostępnionych woluminów klastra (CSV) we wdrożeniu rozwiązania Azure Stack HCI. W przypadku wszystkich nowych woluminów magazynu dodanych po wdrożeniu należy ręcznie włączyć funkcję BitLocker w celu zaszyfrowania nowego woluminu magazynu. Ochrona danych przy użyciu funkcji BitLocker może pomóc organizacjom zachować zgodność z normą ISO/IEC 27001. Dowiedz się więcej na temat korzystania z funkcji BitLocker z udostępnionymi woluminami klastra (CSV).

Ochrona ruchu sieciowego zewnętrznego przy użyciu protokołów TLS/DTLS

Domyślnie cała komunikacja hosta z lokalnymi i zdalnymi punktami końcowymi jest szyfrowana przy użyciu protokołów TLS1.2, TLS1.3 i DTLS 1.2. Platforma wyłącza korzystanie ze starszych protokołów/skrótów, takich jak TLS/DTLS 1.1 SMB1. Rozwiązanie Azure Stack HCI obsługuje również silne zestawy szyfrowania, takie jak krzywe eliptyczne zgodne ze standardem SDL , ograniczone tylko do krzywych NIST P-256 i P-384.

Ochrona ruchu sieciowego wewnętrznego za pomocą bloku komunikatów serwera (SMB)

Podpisywanie protokołu SMB jest domyślnie włączone dla połączeń klienckich na hostach klastra rozwiązania Azure Stack HCI. W przypadku ruchu wewnątrz klastra szyfrowanie SMB jest opcją, która umożliwia organizacjom podczas wdrażania lub po wdrożeniu ochronę danych przesyłanych między klastrami. Pakiety kryptograficzne AES-256-GCM i AES-256-CCM są teraz obsługiwane przez protokół SMB 3.1.1 używany przez ruch plików client-server i sieć szkieletową danych wewnątrz klastra. Protokół nadal obsługuje bardziej ogólnie zgodny pakiet ES-128. Dowiedz się więcej na temat ulepszeń zabezpieczeń protokołu SMB.

Rejestrowanie i monitorowanie

Dzienniki systemu lokalnego

Domyślnie wszystkie operacje wykonywane w ramach platformy Azure Stack HCI są rejestrowane, aby śledzić, kto zrobił co, kiedy i gdzie na platformie. Dzienniki i alerty utworzone przez Windows Defender są również uwzględniane w celu zapobiegania, wykrywania i minimalizowania prawdopodobieństwa naruszenia zabezpieczeń danych oraz ich wpływu. Ponieważ dziennik systemu często zawiera dużą ilość informacji, wiele z nich jest nadmiarowych do monitorowania zabezpieczeń informacji, należy określić, które zdarzenia mają być zbierane i wykorzystywane do monitorowania zabezpieczeń. Funkcje monitorowania platformy Azure ułatwiają zbieranie, przechowywanie, alerty i analizowanie tych dzienników. Zapoznaj się z punktem odniesienia zabezpieczeń dla usługi Azure Stack HCI , aby dowiedzieć się więcej.

Lokalne dzienniki aktywności

Menedżer cyklu życia rozwiązania Azure Stack HCI tworzy i przechowuje dzienniki aktywności dla dowolnego wykonanego planu działania. Te dzienniki obsługują dokładniejsze badanie i monitorowanie zgodności.

Dzienniki aktywności w chmurze

Rejestrując klastry na platformie Azure, możesz użyć dzienników aktywności usługi Azure Monitor , aby rejestrować operacje na poszczególnych zasobach w warstwie subskrypcji, aby określić, co, kto i kiedy dla jakichkolwiek operacji zapisu (umieścić, opublikować lub usunąć) pobranych zasobów w ramach subskrypcji.

Dzienniki tożsamości w chmurze

Jeśli używasz Tożsamość Microsoft Entra do zarządzania tożsamościami i dostępem do platformy, możesz wyświetlać dzienniki w Azure AD raportowania lub integrować je z usługami Azure Monitor, Microsoft Sentinel lub innymi narzędziami SIEM/monitorowania w celu uzyskania zaawansowanych przypadków użycia monitorowania i analizy. Jeśli używasz lokalna usługa Active Directory, użyj rozwiązania Microsoft Defender for Identity do korzystania z lokalna usługa Active Directory sygnalizuje identyfikowanie, wykrywanie i badanie zaawansowanych zagrożeń, tożsamości z naruszonymi zabezpieczeniami i złośliwych działań wewnętrznych skierowanych do organizacji.

Integracja rozwiązania SIEM

Microsoft Defender dla chmury i usługi Microsoft Sentinel jest natywnie zintegrowane z węzłami rozwiązania Azure Stack HCI z obsługą usługi Arc. Dzienniki można włączyć i dołączyć do usługi Microsoft Sentinel, która zapewnia funkcje automatycznego reagowania na zdarzenia informacji o zabezpieczeniach (SIEM) i orkiestracji zabezpieczeń. Usługa Microsoft Sentinel, podobnie jak inne usługi w chmurze platformy Azure, spełnia wiele dobrze ustalonych standardów zabezpieczeń, takich jak HIPAA i HITRUST, które mogą pomóc w procesie akredytacji. Ponadto usługa Azure Stack HCI udostępnia natywny moduł przekazywania zdarzeń dziennika systemowego do wysyłania zdarzeń systemowych do rozwiązań SIEM innych firm.

Szczegółowe informacje dotyczące rozwiązania Azure Stack HCI

Usługa Azure Stack HCI Insights umożliwia monitorowanie kondycji, wydajności i informacji o użyciu dla klastrów połączonych z platformą Azure i zarejestrowanych w monitorowaniu. Podczas konfigurowania usługi Insights tworzona jest reguła zbierania danych, która określa dane do zebrania. Te dane są przechowywane w obszarze roboczym usługi Log Analytics, który jest następnie agregowany, filtrowany i analizowany w celu zapewnienia wstępnie utworzonych pulpitów nawigacyjnych monitorowania przy użyciu skoroszytów platformy Azure. Dane monitorowania dla jednego klastra lub wielu klastrów można wyświetlić na stronie zasobów rozwiązania Azure Stack HCI lub w usłudze Azure Monitor. Dowiedz się więcej w artykule Monitorowanie rozwiązania Azure Stack HCI za pomocą szczegółowych informacji.

Metryki rozwiązania Azure Stack HCI

Metryki przechowują dane liczbowe z monitorowanych zasobów w bazie danych szeregów czasowych. Eksplorator metryk usługi Azure Monitor umożliwia interaktywne analizowanie danych w bazie danych metryk i tworzenie wykresów wartości wielu metryk w czasie. Za pomocą metryk można tworzyć wykresy na podstawie wartości metryk i wizualnie korelować trendy.

Alerty dotyczące dzienników

Aby wskazać problemy w czasie rzeczywistym, można skonfigurować alerty dla systemów Azure Stack HCI przy użyciu wstępnie istniejących przykładowych zapytań dziennika, takich jak średni procesor serwera, dostępna pamięć, dostępna pojemność woluminu i inne. Dowiedz się więcej na stronie Konfigurowanie alertów dla systemów Rozwiązania Azure Stack HCI.

Alerty dotyczące metryk

Reguła alertu metryki monitoruje zasób, oceniając warunki dotyczące metryk zasobów w regularnych odstępach czasu. Jeśli warunki zostaną spełnione, zostanie wyzwolony alert. Szereg czasowy metryki to seria wartości metryk przechwyconych w danym okresie. Te metryki umożliwiają tworzenie reguł alertów. Dowiedz się więcej o sposobie tworzenia alertów dotyczących metryk w obszarze Alerty metryk.

Alerty dotyczące usług i urządzeń

Rozwiązanie Azure Stack HCI zapewnia oparte na usłudze alerty dotyczące łączności, aktualizacji systemu operacyjnego, konfiguracji platformy Azure i nie tylko. Dostępne są również alerty oparte na urządzeniach dotyczące błędów kondycji klastra. Możesz również monitorować klastry Azure Stack HCI i ich podstawowe składniki przy użyciu programu PowerShell lub usługi kondycji.

Ochrona przed złośliwym oprogramowaniem

Program antywirusowy Windows Defender

Windows Defender Antivirus to aplikacja narzędziowa, która umożliwia wymuszanie skanowania systemu w czasie rzeczywistym i okresowego skanowania w celu ochrony platformy i obciążeń przed wirusami, złośliwym oprogramowaniem, programami szpiegującymi i innymi zagrożeniami. Domyślnie program antywirusowy Microsoft Defender jest włączony w usłudze Azure Stack HCI. Firma Microsoft zaleca używanie programu antywirusowego Microsoft Defender z rozwiązaniem Azure Stack HCI, a nie oprogramowaniem antywirusowym innych firm i usługami wykrywania złośliwego oprogramowania, ponieważ mogą one mieć wpływ na zdolność systemu operacyjnego do odbierania aktualizacji. Dowiedz się więcej na temat programu antywirusowego Microsoft Defender w systemie Windows Server.

Kontrola aplikacji usługi Windows Defender

Windows Defender kontrola aplikacji (WDAC) jest domyślnie włączona w usłudze Azure Stack HCI w celu kontrolowania, które sterowniki i aplikacje mogą być uruchamiane bezpośrednio na każdym serwerze, co pomaga zapobiec dostępowi złośliwego oprogramowania do systemu. Dowiedz się więcej o zasadach podstawowych zawartych w usłudze Azure Stack HCI i sposobie tworzenia zasad uzupełniających w temacie Manage Windows Defender Application Control for Azure Stack HCI (Zarządzanie kontrolą aplikacji w usłudze Azure Stack HCI).

Microsoft Defender for Cloud

Microsoft Defender dla chmury z programem Endpoint Protection (włączonym za pośrednictwem planów serwera) zapewnia rozwiązanie do zarządzania stanem zabezpieczeń z zaawansowanymi funkcjami ochrony przed zagrożeniami. Udostępnia ona narzędzia do oceny stanu zabezpieczeń infrastruktury, ochrony obciążeń, zgłaszania alertów zabezpieczeń i śledzenia określonych zaleceń w celu korygowania ataków i rozwiązywania przyszłych zagrożeń. Wykonuje ona wszystkie te usługi z dużą szybkością w chmurze bez narzutów związanych z wdrażaniem dzięki automatycznej aprowizacji i ochronie za pomocą usług platformy Azure. Dowiedz się więcej na stronie Microsoft Defender for Cloud.

Tworzenie i przywracanie kopii zapasowych

Klaster rozproszony

Rozwiązanie Azure Stack HCI zapewnia wbudowaną obsługę odzyskiwania po awarii obciążeń zwirtualizowanych za pośrednictwem klastrowania rozproszonego. Wdrażając rozproszony klaster rozwiązania Azure Stack HCI, można synchronicznie replikować swoje zwirtualizowane obciążenia w dwóch oddzielnych lokalizacjach lokalnych i automatycznie przejść w tryb failover między nimi. Planowane przejścia w tryb failover lokacji mogą wystąpić bez przestojów przy użyciu migracji na żywo funkcji Hyper-V.

Węzły klastra Kubernetes

Jeśli używasz rozwiązania Azure Stack HCI do hostowania wdrożeń opartych na kontenerach, platforma pomaga zwiększyć elastyczność i odporność związaną z wdrożeniami usługi Azure Kubernetes. Rozwiązanie Azure Stack HCI zarządza automatycznym trybem failover maszyn wirtualnych obsługujących węzły klastra Kubernetes, jeśli wystąpi zlokalizowana awaria podstawowych składników fizycznych. Ta konfiguracja uzupełnia wysoką dostępność wbudowaną w platformę Kubernetes, która automatycznie ponownie uruchamia kontenery, które uległy awarii na tej samej lub innej maszynie wirtualnej.

Azure Site Recovery

Ta usługa umożliwia replikowanie obciążeń uruchomionych na lokalnych maszynach wirtualnych rozwiązania Azure Stack HCI do chmury, dzięki czemu system informacji można przywrócić w przypadku wystąpienia zdarzenia, awarii lub utraty nośnika magazynu. Podobnie jak w przypadku innych usług w chmurze platformy Azure, usługa Azure Site Recovery ma długą historię certyfikatów zabezpieczeń, w tym HITRUST, których można użyć do obsługi procesu akredytacji. Dowiedz się więcej na stronie Ochrona obciążeń maszyn wirtualnych za pomocą usługi Azure Site Recovery w usłudze Azure Stack HCI.

Microsoft Azure Backup Server (MABS)

Ta usługa umożliwia tworzenie kopii zapasowych maszyn wirtualnych rozwiązania Azure Stack HCI, określając żądaną częstotliwość i okres przechowywania. Usługa MABS umożliwia tworzenie kopii zapasowych większości zasobów w środowisku, w tym:

  • System State/Bare-Metal Recovery (BMR) hosta usługi Azure Stack HCI
  • Maszyny wirtualne gościa w klastrze, który ma magazyn lokalny lub bezpośrednio dołączony
  • Maszyny wirtualne gościa w klastrze azure Stack HCI z magazynem CSV
  • Przenoszenie maszyny wirtualnej w klastrze

Dowiedz się więcej na stronie Tworzenie kopii zapasowych maszyn wirtualnych rozwiązania Azure Stack HCI przy użyciu serwera Azure Backup.