Azure Security and Compliance Blueprint - HIPAA/HITRUST Health Data and AI

  • Artigo

Descrição Geral

O Azure Security and Compliance Blueprint - HIPAA/HITRUST Health Data and AI oferece uma implementação chave-na-mão de uma solução Azure PaaS e IaaS para demonstrar como ingerir, armazenar, analisar, interagir, interagir e implementar soluções com dados de saúde, ao mesmo tempo que pode satisfazer os requisitos de conformidade da indústria. O projeto ajuda a acelerar a adoção e utilização em nuvem para clientes com dados que são regulados.

O Azure Security and Compliance Blueprint - HIPAA/HITRUST Health Data e AI Blueprint fornece ferramentas e orientações para ajudar a implementar um secure, Health Insurance Portability and Accountability Act (HIPAA) e Health Information Trust Alliance (HITRUST) ambiente pronto plataforma-as-a-service (PaaS) para ingerir, armazenar, analisar e interagir com registos médicos pessoais e não pessoais num ambiente seguro, multi-nível de nuvem, implantado como uma solução de ponta a ponta.

A solução IaaS demonstrará como migrar uma solução baseada no SQL no local para o Azure, e implementar uma Estação de Trabalho de Acesso Privilegiado (PAW) para gerir de forma segura serviços e soluções baseadas na nuvem. A base de dados iaaS SQL Server adiciona dados potenciais de experimentação são importados para um SQL IaaS VM, e que a VM utiliza acesso autenticado MSI para interagir um serviço paaS SQL Azure. Ambos mostram uma arquitetura de referência comum e são projetados para simplificar a adoção do Microsoft Azure. Isto fornece uma arquitetura que ilustra uma solução para atender às necessidades das organizações que procuram uma abordagem baseada na nuvem para reduzir o fardo e o custo de implantação.

A solução destina-se a consumir um conjunto de dados de amostras formatados utilizando recursos de interoperabilidade de cuidados rápidos (FHIR), um padrão mundial para o intercâmbio de informações de cuidados de saúde eletronicamente, e armazená-lo de forma segura. Os clientes podem então usar o Azure Machine Learning Studio para aproveitar ferramentas e análises poderosas de inteligência empresarial para rever as previsões feitas nos dados da amostra. Como exemplo do tipo de experiência que o Azure Machine Learning Studio pode facilitar, a planta inclui um conjunto de dados de amostra, scripts e ferramentas para prever a duração da estadia de um paciente numa instalação hospitalar.

Esta planta destina-se a servir de base modular para os clientes se ajustarem aos seus requisitos específicos, desenvolvendo novas experiências de aprendizagem da Azure Machine para resolver cenários de casos de uso clínico e operacional. Foi concebido para ser seguro e conforme quando implantado; no entanto, os clientes são responsáveis por configurar corretamente as funções e implementar quaisquer modificações. Tenha em atenção o seguinte:

  • Esta planta fornece uma linha de base para ajudar os clientes a usar o Microsoft Azure num ambiente HITRUST e HIPAA.

  • Embora a planta tenha sido concebida para ser alinhada com a HIPAA e a HITRUST (através do Common Security Framework -- CSF), não deve ser considerada conforme até ser certificada por um auditor externo por requisitos de certificação HIPAA e HITRUST.

  • Os clientes são responsáveis pela realização de revisões adequadas de segurança e conformidade de qualquer solução construída com esta arquitetura fundamental.

Implantação da automatização

  • Para implementar a solução, siga as instruções fornecidas na orientação de implantação.

  • Para uma visão geral rápida de como esta solução funciona, veja este vídeo explicando e demonstrando a sua implantação.

  • A pergunta frequente pode ser encontrada na orientação das FAQ .

  • Diagrama arquitetónico. O diagrama mostra a arquitetura de referência usada para a planta e o cenário de exemplo usar o cenário.

  • Extensão iaaS Esta solução demonstrará como migrar uma solução baseada em SQL no local para o Azure, e implementar uma Estação de Trabalho de Acesso Privilegiado para gerir de forma segura serviços e soluções baseadas na nuvem.

Componentes da solução

A arquitetura fundacional é composta pelos seguintes componentes:

  • Modelo de ameaça Um modelo de ameaça abrangente é fornecido em formato TM7 para utilização com o Microsoft Threat Modeling Tool, mostrando os componentes da solução, os fluxos de dados entre eles e os limites de confiança. O modelo pode ajudar os clientes a compreender os pontos de risco potencial na infraestrutura do sistema ao desenvolver componentes do Machine Learning Studio ou outras modificações.

  • Matriz de implementação do cliente Um livro do Microsoft Excel lista os requisitos hitrust relevantes e explica como a Microsoft e o cliente são responsáveis por cumprir cada um deles.

  • Revisão de saúde. A solução foi revista pela Coalfire Systems, Inc. A Revisão e orientação para a implementação da Health Compliance (HIPAA, e HITRUST) fornece uma revisão da solução por parte de um auditor e considerações para transformar o projeto numa implementação pronta para a produção.

Diagrama arquitetónico

Funções

O projeto define duas funções para utentes administrativos (operadores) e três funções para os utentes na gestão hospitalar e nos cuidados com os doentes. Um sexto papel é definido para um auditor para avaliar o cumprimento da HIPAA e outros regulamentos. O Controlo de Acesso baseado em funções (RBAC) permite uma gestão de acesso focada precisamente para cada utilizador da solução através de funções incorporadas e personalizadas. Ver Começar com Role-Based Controlo de Acesso nasfunções portal do Azure e Incorporada para o controlo de acesso baseado em funções Azure para informações detalhadas sobre RBAC, papéis e permissões.

Administrador do Site

O administrador do site é responsável pela subscrição Azure do cliente. Controlam a implantação geral, mas não têm acesso aos registos dos pacientes.

  • Atribuições de funções predefinidos: Proprietário

  • Atribuições de funções personalizadas: N/A

  • Âmbito: Assinatura

Analista de Dados de Dados

O analista de bases de dados administra a SQL Server caso e base de dados. Não têm acesso aos registos dos pacientes.

Cientista de Dados

O cientista de dados opera o Azure Machine Learning Studio. Podem importar, exportar e gerir dados, e executar relatórios. O cientista de dados tem acesso aos dados dos pacientes, mas não tem privilégios administrativos.

Diretor de Informação Médica (CMIO)

O CMIO divide-se entre a informática/tecnologia e os profissionais de saúde numa organização de saúde. Os seus deveres normalmente incluem a utilização de análises para determinar se os recursos estão a ser atribuídos adequadamente dentro da organização.

  • Atribuições de funções incorporadas: Nenhuma

Gestor de Linha de Cuidados

O gestor da linha de cuidados está diretamente envolvido com os cuidados dos pacientes. Esta função requer o acompanhamento do estado dos doentes individuais, bem como a garantia de que o pessoal está disponível para satisfazer os requisitos específicos de cuidados dos seus pacientes. O gestor da linha de cuidados é responsável pela adição e atualização dos registos dos pacientes.

  • Atribuições de funções incorporadas: Nenhuma

  • Atribuições de funções personalizadas: Tem o privilégio de executar HealthcareDemo.ps1 para fazer tanto a Admissão do Paciente como a Descarga.

  • Âmbito: Grupo de Recursos

Auditor

O auditor avalia a solução para o cumprimento. Não têm acesso direto à rede.

  • Atribuições de funções incorporadas: Leitor

  • Atribuições de funções personalizadas: N/A

  • Âmbito: Assinatura

Exemplo Usar caso

O caso de uso de exemplo incluído nesta planta ilustra como o Blueprint pode ser usado para permitir a aprendizagem automática e analítica sobre dados de saúde na nuvem. Contosoclinic é um pequeno hospital localizado no Estados Unidos. Os administradores da rede hospitalar querem usar o Azure Machine Learning Studio para prever melhor a duração da estadia de um paciente no momento da admissão, de forma a aumentar a eficiência da carga de trabalho operacional e melhorar a qualidade dos cuidados que pode prestar.

Previsão da duração da estadia

O cenário de uso do exemplo usa o Azure Machine Learning Studio para prever a duração de permanência de um paciente recém-admitido, comparando os detalhes médicos tomados na ingestão do paciente com dados históricos agregados de pacientes anteriores. A planta inclui um grande conjunto de registos médicos anonimizados para demonstrar a formação e capacidades preditivas da solução. Numa implantação de produção, os clientes usariam os seus próprios registos para formar a solução para previsões mais precisas, refletindo os detalhes únicos do seu ambiente, instalações e pacientes.

Utilizadores e funções

Administrador do site - Alex

Email: Alex_SiteAdmin

O trabalho da Alex é avaliar tecnologias que possam reduzir o fardo de gerir uma rede no local e reduzir custos de gestão. Alex tem vindo a avaliar o Azure há algum tempo, mas tem lutado para configurar os serviços que precisa para cumprir os requisitos de conformidade do HiTrust para armazenar dados do paciente na nuvem. A Alex selecionou a Azure Health AI para implementar uma solução de saúde pronta para o cumprimento, que abordou os requisitos para satisfazer os requisitos do cliente para o HiTrust.

Cientistas de Dados- Debra

Email: Debra_DataScientist

A Debra é responsável por usar e criar modelos que analisem registos médicos para fornecer informações sobre os cuidados do paciente. A Debra usa a SQL e a linguagem de programação estatística R para criar os seus modelos.

Analista de bases de dados- Danny

Email: Danny_DBAnalyst

Danny é o principal contacto para qualquer coisa sobre o microsoft SQL Server que armazena todos os dados do paciente para Contosoclinic. Danny é um administrador experiente SQL Server que recentemente se familiarizou com SQL do Azure Database.

Chefe de Informação Médica- Caroline

A Caroline está a trabalhar com o Chris, o Gestor da Linha de Cuidados, e a Debra, a Cientistas de Dados para determinar que fatores têm impacto na duração da estadia do paciente. Caroline usa as previsões da solução de duração de permanência (LOS) para determinar se os recursos estão a ser alocados adequadamente na rede hospitalar. Por exemplo, utilizando o painel de instrumentos fornecido nesta solução.

Gerente de Linha de Cuidados - Chris

Email: Chris_CareLineManager

Como indivíduo diretamente responsável pela gestão da admissão do paciente, e descargas na Contosoclinic, Chris usa as previsões geradas pela solução DE LOS para garantir que o pessoal adequado está disponível para prestar cuidados aos pacientes enquanto estão hospedados nas instalações.

Auditor - Han

Email: Han_Auditor

Han é um auditor certificado que tem experiência em auditoria para ISO, SOC e HiTrust. Han foi contratado para rever a rede de Contosoclinc. Han pode rever a Matriz de Responsabilidade do Cliente fornecida com a solução para garantir que a solução blueprint e LOS podem ser usadas para armazenar, processar e exibir dados pessoais sensíveis.

Configuração de design

Esta secção detalha as configurações padrão e as medidas de segurança incorporadas na Planta descrita para:

  • Fontes brutas de dados INGER, incluindo fonte de dados do FHIR
  • Informação sensível à LOJA
  • ANALISAR e prever resultados
  • INTERAGIR com os resultados e previsões
  • Gestão identitária da solução
  • Recursos habilitados security

IDENTIDADE

Azure Ative Directory e controlo de acesso baseado em funções (RBAC)

Autenticação:

  • Azure Ative Directory (Azure AD) é o serviço de diretório e gestão de identidade baseado em nuvem multi-arrendatário da Microsoft. Todos os utilizadores para a solução foram criados no Azure Ative Directory, incluindo utilizadores que acedem ao Base de Dados SQL.

  • A autenticação na aplicação é realizada através Azure AD. Para obter mais informações, veja Integrating applications with Azure Active Directory (Integrar aplicações com o Azure Active Directory).

  • A Azure Ative Directory Identity Protection deteta potenciais vulnerabilidades que afetam as identidades da sua organização, configura respostas automatizadas para detetar ações suspeitas relacionadas com as identidades da sua organização, e investiga incidentes suspeitos e toma as medidas adequadas para resolvê-las.

  • O Controlo de Acesso baseado em funções Azure (RBAC) permite uma gestão de acesso precisamente focada para o Azure. O acesso à subscrição é limitado ao administrador de subscrição, e o acesso Key Vault Azure está limitado ao administrador do site. São necessárias senhas fortes (12 caracteres no mínimo com pelo menos uma letra superior/inferior, número e caráter especial).

  • A autenticação multi-factor é suportada quando o interruptor -ativar OMFA é ativado durante a implementação.

  • As palavras-passe expiram após 60 dias quando o interruptorADDomainPasswordPolicy estiver ativado durante a implementação.

Funções:

  • A solução faz uso de funções incorporadas para gerir o acesso aos recursos.

  • Por predefinição, todos os utilizadores são atribuídos a funções específicas incorporadas.

Azure Key Vault

  • Os dados armazenados em Key Vault incluem:

    • Chave de insight de aplicação
    • Chave de acesso ao armazenamento de dados do paciente
    • Cadeia de ligação do paciente
    • Nome da tabela de dados do paciente
    • Ponto final do Serviço Web Azure ML
    • Chave AZURE ML Service API

  • As políticas avançadas de acesso são configuradas numa base de necessidade

  • Key Vault políticas de acesso são definidas com permissões mínimas necessárias para chaves e segredos

  • Todas as chaves e segredos em Key Vault têm datas de validade

  • Todas as teclas em Key Vault estão protegidas por HSM [Tipo chave = Tecla RSA Protegida de HSM 2048]

  • Todos os utilizadores/identidades recebem permissões mínimas necessárias utilizando Controlo de Acesso baseado em funções (RBAC)

  • As aplicações não partilham um Key Vault a menos que confiem umas nas outras e precisam de ter acesso aos mesmos segredos no tempo de execução

  • Os registos de diagnóstico para Key Vault são ativados com um período de retenção de pelo menos 365 dias.

  • As operações criptográficas permitidas para as chaves estão restritas às necessárias

INGESTE

Funções do Azure

A solução foi concebida para utilizar Funções do Azure para processar o comprimento da amostra dos dados de permanência utilizados na demonstração de análise. Foram criadas três capacidades nas funções.

1. Importação em massa de dados dos clientes phi dados

Ao utilizar o roteiro de demonstração. .\HealthcareDemo.ps1 com o interruptor BulkPatientAdmission tal como descrito na implementação e execução da demonstração executa o seguinte pipeline de processamento:

  1. Armazenamento de Blobs do Azure - Dados do paciente .csv amostra de ficheiro enviada para armazenamento
  2. Event Grid - Evento publica dados para Azure Function (Import - evento blob em massa)
  3. Função Azure - Executa o processamento e armazena os dados no Armazenamento SQL utilizando a função segura - evento (tipo; url blob)
  4. SQL DB - A loja de dados para dados do paciente usando tags para classificação, e o processo ML é iniciado para fazer a experiência de treino.

Adicionalmente, a função azul foi concebida para ler e proteger dados sensíveis designados no conjunto de dados da amostra utilizando as seguintes etiquetas:

  • dataProfile => "ePHI"
  • proprietário =><Site Administração UPN>
  • ambiente => "Piloto"
  • departamento => "Ecossistema Global" A marcação foi aplicada no conjunto de dados da amostra onde os 'nomes' do paciente foram identificados como texto claro.

2. Admissão de novos doentes

Ao utilizar o roteiro de demonstração. .\HealthcareDemo.ps1 com o interruptor bulkPatientadmission tal como descrito na implantação e execução da demonstração executa o seguinte gasoduto de processamento: 1. A função Azure desencadeou e os pedidos de função para um token portador do diretório Azure Ative.

2. Key Vault solicitado um segredo associado ao token solicitado.

3. A Azure Roles valida o pedido e autoriza o pedido de acesso à Key Vault.

4. Key Vault devolve o segredo, neste caso a cadeia de ligação SQL DB.

5. A Função Azure utiliza o fio de ligação para ligar-se de forma segura à Base de Dados SQL e continua a ser processado para armazenar dados ePHI.

Para conseguir o armazenamento dos dados, foi implementado um esquema comum da API na sequência dos Recursos de Interoperabilidade dos Cuidados de Saúde Rápidos (FHIR, fogo pronunciado). A função foi fornecida com os seguintes elementos de troca FHIR:

  • O esquema do paciente cobre a informação "quem" sobre um paciente.

  • O esquema de observação abrange o elemento central nos cuidados de saúde, utilizado para apoiar o diagnóstico, monitorizar o progresso, determinar as linhas de base e padrões e até mesmo capturar características demográficas.

  • O esquema de encontro abrange os tipos de encontros como ambulatório, emergência, saúde domiciliária, internamento e encontros virtuais.

  • O esquema de condição abrange informações detalhadas sobre uma condição, problema, diagnóstico ou outro evento, situação, problema ou conceito clínico que subiu a um nível de preocupação.

Event Grid

A solução suporta Azure Event Grid, um serviço único para gerir o encaminhamento de todos os eventos de qualquer fonte para qualquer destino, fornecendo:

LOJA

Base de Dados SQL e Servidor

Contas de armazenamento

  • Os dados em movimento são transferidos apenas através do TLS/SSL.

  • O acesso anónimo não é permitido para contentores.

  • As regras de alerta são configuradas para rastrear atividades anónimas.

  • HTTPS é necessário para aceder aos recursos da conta de armazenamento.

  • Os dados do pedido de autenticação são registados e monitorizados.

  • Os dados no armazenamento blob são encriptados em repouso.

ANALISAR

Machine Learning

SEGURANÇA

Centro de Segurança do Azure

  • Centro de Segurança do Azure fornece uma visão centralizada do estado de segurança de todos os seus recursos Azure. Resumindo, pode verificar se os controlos de segurança adequados estão em vigor e configurados corretamente, e pode identificar rapidamente quaisquer recursos que necessitem de atenção.

  • O Azure Advisor é um consultor de nuvem personalizado que o ajuda a seguir as melhores práticas para otimizar as suas implementações do Azure. Ele analisa a sua telemetria de configuração e utilização de recursos e, em seguida, recomenda soluções que o podem ajudar a melhorar a rentabilidade, o desempenho, a elevada disponibilidade e a segurança dos seus recursos do Azure.

Application Insights

  • Application Insights é um serviço extensível de Gestão de Desempenho de Aplicações (APM) para desenvolvedores web em várias plataformas. Utilize-o para monitorizar a sua aplicação Web online. Deteta anomalias de desempenho. inclui ferramentas de análise poderosas para o ajudar a diagnosticar problemas e a compreender o que os utilizadores efetivamente fazem com a sua aplicação. Foi concebido para o ajudar a melhorar continuamente o desempenho e a usabilidade.

Alertas Azure

  • Os alertas oferecem um método de monitorização dos serviços Azure e permitem configurar condições sobre os dados. Os alertas também fornecem notificações quando uma condição de alerta corresponde aos dados de monitorização.

Registos do Azure Monitor

Os registos Azure Monitor são uma coleção de serviços de gestão.