Share via

Recursos de conformidade com HIPAA

  • Artigo

Importante

A capacidade dos administradores de adicionar recursos avançados de segurança e conformidade é um recurso em Visualização Pública. O perfil de segurança de conformidade e o suporte para padrões de conformidade estão geralmente disponíveis (GA).

O Databricks recomenda fortemente que os clientes que desejam usar recursos de conformidade HIPAA habilitem o perfil de segurança de conformidade, que adiciona agentes de monitoramento, fornece uma imagem de computação protegida e outros recursos. Para obter detalhes técnicos, consulte Perfil de segurança de conformidade.

É sua responsabilidade confirmar que cada workspace tem o perfil de segurança de conformidade habilitado.

Esse recurso exige que seu workspace esteja no tipo de preço Premium.

Verifique se informações confidenciais nunca são inseridas em campos de entrada definidos pelo cliente, como nomes de workspace, nomes de cluster e nomes de trabalho.

Quais recursos de computação obtêm segurança aprimorada

Os aprimoramentos do perfil de segurança de conformidade para HIPAA se aplicam aos recursos de computação no plano de computação clássico e no plano de computação sem servidor em todas as regiões. Para obter mais informações sobre os planos de computação clássicos e sem servidor, veja Visão geral da arquitetura do Azure Databricks.

Visão geral da HIPAA

A Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996 (HIPAA), a Tecnologia da Informação em Saúde para Saúde Econômica e Clínica (HITECH) e as regulamentações emitidas pela HIPAA são um conjunto de leis de saúde dos EUA. Entre outras disposições, essas leis estabelecem requisitos para o uso, divulgação e proteção de informações de integridade protegidas (PHI).

O HIPAA aplica-se a entidades cobertas e associações comerciais que criam, recebem, mantêm, transmitem ou acessam o PHI. Quando uma entidade coberta ou um parceiro de negócios envolve os serviços de um CSP (provedor de serviços de nuvem), como o Azure Databricks, o CSP torna-se um associado comercial no HIPAA.

O Azure Databricks permite o processamento de dados PHI no Azure Databricks?

Sim. O Databricks recomenda fortemente habilitar o perfil de segurança de conformidade e adicionar HIPAA durante essa configuração.

Habilitar HIPAA em um workspace

Para processar dados regulamentados pelo padrão de conformidade HIPAA, o Databricks recomenda que cada workspace tenha o perfil de segurança de conformidade habilitado e adicione o padrão de conformidade HIPAA.

Você pode habilitar o perfil de segurança de conformidade e adicionar um padrão de conformidade a um novo workspace ou a um workspace existente usando o portal do Azure ou, como alternativa, usar um modelo do ARM. Para obter instruções e modelos, confira Definir configurações avançadas de segurança e conformidade.

Importante

  • Você é totalmente responsável por garantir sua própria conformidade com todas as leis e regulamentos aplicáveis. As informações fornecidas na documentação online do Azure Databricks não constituem consultoria jurídica e você deve consultar seu consultor jurídico para obter dúvidas sobre conformidade regulatória.
  • O Azure Databricks não dá suporte ao uso de recursos de visualização para o processamento de PHI no HIPAA na plataforma do Azure, com exceção dos recursos listados em recursos de versão prévia com suporte para processamento de dados PHI.

Recursos de visualização com suporte para processamento de dados PHI

Há suporte para os seguintes recursos de visualização para processamento de PHI:

Responsabilidade compartilhada da conformidade com HIPAA

O cumprimento da HIPAA tem três áreas principais, com responsabilidades diferentes. Embora cada parte tenha inúmeras responsabilidades, abaixo, enumeramos as principais responsabilidades nossas, juntamente com suas responsabilidades.

Este artigo usa o plano de controle de terminologia do Azure Databricks e um plano de computação, que são duas partes principais de como o Azure Databricks funciona:

As principais responsabilidades da Microsoft incluem:

  • Execute suas obrigações como um parceiro comercial sob seu BAA com a Microsoft.

  • Forneça VMs sob seu contrato com a Microsoft que dão suporte à conformidade HIPAA.

  • Exclua chaves de criptografia e dados quando o Azure Databricks liberar as instâncias de VM.

As principais responsabilidades do Azure Databricks incluem:

  • Criptografe dados PHI em trânsito que são transmitidos para ou do plano de controle.
  • Criptografar dados PHI em repouso no plano de controle
  • Limite o conjunto de tipos de instância aos tipos de instância compatíveis com o perfil de segurança de conformidade. O Azure Databricks limita os tipos de instância no console da conta e por meio da API.
  • Desprovisionar instâncias de VM quando você indicar no Azure Databricks que elas devem ser desprovisionadas, por exemplo, terminação automática ou terminação manual, para que o Azure possa apagá-las.

Principais responsabilidades suas:

  • Configure seu espaço de trabalho para usar chaves gerenciadas pelo cliente para serviços gerenciados ou o recurso Armazenar resultados do bloco de notas interativo na conta do cliente.
  • Não use recursos de visualização no Azure Databricks para processar o PHI diferente dos recursos listados em recursos de visualização com suporte para processamento de dados PHI
  • Siga as práticas recomendadas de segurança, como desabilitar a saída desnecessária do plano de computação e usar o recurso de segredos do Azure Databricks (ou outra funcionalidade semelhante) para armazenar chaves de acesso que fornecem acesso ao PHI.
  • Insira um contrato de associação comercial com a Microsoft para cobrir todos os dados processados na VNet em que as instâncias da VM são implantadas.
  • Não faça algo em uma máquina virtual que seja uma violação do HIPAA. Por exemplo, direcione o Azure Databricks para enviar PHI não criptografado para um ponto de extremidade.
  • Verifique se todos os dados que podem conter PHI são criptografados em repouso quando você os armazena em locais com os quais a plataforma do Azure Databricks pode interagir. Isso inclui definir as configurações de criptografia no armazenamento raiz de cada workspace (ADLSgen2 para workspaces mais recentes, armazenamento de Blobs para workspaces mais antigos) que faz parte da criação do workspace. Você é responsável por garantir a criptografia (além de executar backups) para esse armazenamento e todas as outras fontes de dados.
  • Verifique se todos os dados que podem conter PHI são criptografados em trânsito entre o Azure Databricks e qualquer um dos locais de armazenamento de dados ou locais externos que você acessa de um computador de plano de computação. Por exemplo, todas as APIs usadas em um notebook que possam se conectar à fonte de dados externa devem usar a criptografia apropriada em qualquer conexão de saída.
  • Verifique se todos os dados que podem conter PHI são criptografados em repouso quando você os armazena em locais com os quais a plataforma do Azure Databricks pode interagir. Isso inclui definir as configurações de criptografia no armazenamento raiz de cada workspace que faz parte da criação do workspace.
  • Verifique a criptografia (além de executar backups) para o armazenamento raiz (ADLSgen2 para workspaces mais recentes, armazenamento de blobs para workspaces mais antigos) e todas as outras fontes de dados.
  • Verifique se todos os dados que podem conter PHI são criptografados em trânsito entre o Azure Databricks e qualquer um dos locais de armazenamento de dados ou locais externos que você acessa de um computador de plano de computação. Por exemplo, todas as APIs usadas em um notebook que possam se conectar à fonte de dados externa devem usar a criptografia apropriada em qualquer conexão de saída.

Sobre as chaves gerenciadas pelo cliente: