HIPAA-efterlevnadsfunktioner

Viktigt!

Möjligheten för administratörer att lägga till funktioner för förbättrad säkerhet och efterlevnad är en funktion i offentlig förhandsversion. Efterlevnadssäkerhetsprofilen och stödet för efterlevnadsstandarder är allmänt tillgängliga (GA).

Databricks rekommenderar starkt att kunder som vill använda HIPAA-efterlevnadsfunktioner aktiverar säkerhetsprofilen för efterlevnad, som lägger till övervakningsagenter, ger en härdad beräkningsbild och andra funktioner. Teknisk information finns i Säkerhetsprofil för efterlevnad.

Det är ditt ansvar att bekräfta att varje arbetsyta har aktiverat säkerhetsprofilen för efterlevnad.

Den här funktionen kräver att din arbetsyta är på premiumprisnivån.

Se till att känslig information aldrig anges i kunddefinierade indatafält, till exempel arbetsytenamn, klusternamn och jobbnamn.

Vilka beräkningsresurser får förbättrad säkerhet

Förbättringarna av efterlevnadssäkerhetsprofilen för HIPAA gäller för beräkningsresurser i det klassiska beräkningsplanet och det serverlösa beräkningsplanet i alla regioner. Mer information om klassiska och serverlösa beräkningsplan finns i Översikt över Azure Databricks-arkitektur.

HIPAA-översikt

Health Insurance Portability and Accountability Act från 1996 (HIPAA), Health Information Technology for Economic and Clinical Health (HITECH) och de förordningar som utfärdats enligt HIPAA är en uppsättning amerikanska hälso- och sjukvårdslagar. Bland andra bestämmelser fastställer dessa lagar krav för användning, avslöjande och skydd av skyddad hälsoinformation (PHI).

HIPAA gäller för täckta entiteter och affärsmedarbetare som skapar, tar emot, underhåller, överför eller får åtkomst till PHI. När en täckt entitet eller affärsmedarbetare engagerar tjänster från en molntjänstleverantör (CSP), till exempel Azure Databricks, blir CSP:n en affärspartner under HIPAA.

Tillåter Azure Databricks bearbetning av PHI-data i Azure Databricks?

Ja. Databricks rekommenderar starkt att du aktiverar säkerhetsprofilen för efterlevnad och lägger till HIPAA under den konfigurationen.

Aktivera HIPAA på en arbetsyta

För att bearbeta data som regleras av HIPAA-efterlevnadsstandarden rekommenderar Databricks att varje arbetsyta har säkerhetsprofilen för efterlevnad aktiverad och lägger till HIPAA-efterlevnadsstandarden.

Du kan aktivera säkerhetsprofilen för efterlevnad och lägga till en efterlevnadsstandard till en ny arbetsyta eller en befintlig arbetsyta med hjälp av Azure-portalen, eller alternativt använda en ARM-mall. Anvisningar och mallar finns i Konfigurera förbättrade säkerhets- och efterlevnadsinställningar.

Viktigt!

• Du är helt ansvarig för att säkerställa din egen efterlevnad av alla tillämpliga lagar och förordningar. Information som tillhandahålls i Azure Databricks onlinedokumentation utgör inte juridisk rådgivning, och du bör kontakta din juridiska rådgivare för frågor om regelefterlevnad.
• Azure Databricks stöder inte användning av förhandsversionsfunktioner för bearbetning av PHI på HIPAA på Azure-plattformen, med undantag för de funktioner som anges i förhandsversionsfunktioner som stöds för bearbetning av PHI-data.

Förhandsversionsfunktioner som stöds för bearbetning av PHI-data

Följande förhandsgranskningsfunktioner stöds för bearbetning av PHI:

• SCIM-etablering
• Hemliga sökvägar i miljövariabler
• Systemtabeller
• Lakehouse Federation till Redshift
• Flytande klustring för Delta-tabeller
• Unity Catalog-aktiverade DLT-pipelines
• Databricks Assistant
• Scala-stöd för delade kluster

Delat ansvar för HIPAA-efterlevnad

Att följa HIPAA har tre huvudområden, med olika ansvarsområden. Medan varje part har många ansvarsområden, räknar vi under upp våra viktiga ansvarsområden, tillsammans med ditt ansvar.

Den här artikeln använder kontrollplanet för Azure Databricks-terminologi och ett beräkningsplan, som är två huvuddelar av hur Azure Databricks fungerar:

Viktiga ansvarsområden för Microsoft är:

• Utför sina skyldigheter som affärspartner under din BAA med Microsoft.

• Ge dig virtuella datorer enligt ditt kontrakt med Microsoft som stöder HIPAA-efterlevnad.

• Ta bort krypteringsnycklar och data när Azure Databricks släpper vm-instanserna.

Viktiga ansvarsområden för Azure Databricks är:

• Kryptera PHI-data under överföring som överförs till eller från kontrollplanet.
• Kryptera PHI-data i vila i kontrollplanet
• Begränsa uppsättningen instanstyper till instanstyper som stöds för säkerhetsprofilen för efterlevnad. Azure Databricks begränsar instanstyperna både i kontokonsolen och via API:et.
• Avetablera VM-instanser när du anger i Azure Databricks att de ska avetableras, till exempel automatisk avslutning eller manuell avslutning, så att Azure kan rensa dem.

Viktiga ansvarsområden för din:

• Konfigurera din arbetsyta så att den använder antingen kundhanterade nycklar för hanterade tjänster eller store interaktiva notebook-resultat i kundkontofunktionen .
• Använd inte förhandsversionsfunktioner i Azure Databricks för att bearbeta PHI annat än funktioner som anges i förhandsversionsfunktioner som stöds för bearbetning av PHI-data
• Följ metodtipsen för säkerhet, till exempel inaktivera onödig utgående åtkomst från beräkningsplanet och använd funktionen Azure Databricks-hemligheter (eller andra liknande funktioner) för att lagra åtkomstnycklar som ger åtkomst till PHI.
• Ingå ett affärsavtal med Microsoft för att täcka alla data som bearbetas i det virtuella nätverk där de virtuella datorinstanserna distribueras.
• Gör inte något i en virtuell dator som skulle vara ett brott mot HIPAA. Du kan till exempel dirigera Azure Databricks att skicka okrypterad PHI till en slutpunkt.
• Se till att alla data som kan innehålla PHI krypteras i vila när du lagrar dem på platser som Azure Databricks-plattformen kan interagera med. Detta inkluderar att ange krypteringsinställningarna för varje arbetsytas rotlagring (ADLSgen2 för nyare arbetsytor, Blob Storage för äldre arbetsytor) som ingår i skapandet av arbetsytan. Du ansvarar för att säkerställa krypteringen (samt utföra säkerhetskopior) för den här lagringen och alla andra datakällor.
• Se till att alla data som kan innehålla PHI krypteras under överföring mellan Azure Databricks och någon av dina datalagringsplatser eller externa platser som du kommer åt från en dator med beräkningsplan. Till exempel måste alla API:er som du använder i en notebook-fil som kan ansluta till en extern datakälla använda lämplig kryptering på alla utgående anslutningar.
• Se till att alla data som kan innehålla PHI krypteras i vila när du lagrar dem på platser som Azure Databricks-plattformen kan interagera med. Detta inkluderar att ange krypteringsinställningarna för varje arbetsytas rotlagring som ingår i skapandet av arbetsytan.
• Se till att krypteringen (samt att utföra säkerhetskopior) för rotlagringen (ADLSgen2 för nyare arbetsytor, Blob Storage för äldre arbetsytor) och alla andra datakällor.
• Se till att alla data som kan innehålla PHI krypteras under överföring mellan Azure Databricks och någon av dina datalagringsplatser eller externa platser som du kommer åt från en dator med beräkningsplan. Till exempel måste alla API:er som du använder i en notebook-fil som kan ansluta till en extern datakälla använda lämplig kryptering på alla utgående anslutningar.

Om kundhanterade nycklar:

• Du kan lägga till kundhanterade nycklar för arbetsytans rotlagring med hjälp av den kundhanterade nyckeln för DBFS-funktionen , men Azure Databricks kräver inte att du gör det.
• Du kan lägga till kundhanterade nycklar för hanterade diskvolymer, men detta är inte nödvändigt för HIPAA-efterlevnad.