LakebaseのHIPPAコンプライアンス

Lakebaseはコンプライアンス セキュリティ プロファイルを備えたワークスペースをサポートしており、医療保険の相互運用性と責任に関する法律（HIPAA）に基づく保護対象の医療情報（PHI）を含む、規制対象データを処理できます。このページでは、Lakebaseにおけるコンプライアンスサポートの意味、サポートされているコンプライアンス基準、およびPHIに関する責任の共有方法について説明します。プラットフォーム全体のHIPAAコントロールと要件については、HIPAAを参照してください。

サポートされているコンプライアンス基準

Lakebase は、コンプライアンス基準が HIPAA 、 C5 、 TISAX 、または None に設定されている場合、コンプライアンス セキュリティ プロファイルを持つワークスペースで使用できます。

ワークスペースでHIPAA標準のコンプライアンス セキュリティ プロファイルを使用する場合、Lakebaseはデータベースアクティビティの拡張監査ログを含む、HIPAAに必要なコントロールを強制します。監査イベントのキャプチャおよび配信方法の詳細については、HIPAA監査ログを参照してください。

注記

HIPAA は、Lakebase の拡張監査ログを有効にする唯一のコンプライアンス基準です。C5 および TISAX はワークスペースレベルでサポートされていますが、Lakebase 固有の監査動作は適用されません。

PHI に関する責任共有

Databricks とお客様の組織は、Lakebase 内で PHI を保護する責任を共有します。このセクションでは、Lakebase に固有の責任について説明します。プラットフォーム全体の HIPPA 共同責任モデルについては、HIPPA コンプライアンスの共同責任を参照してください。

Databricks が提供するもの

Databricks は、Lakebase が実行される準拠プラットフォームを提供しており、以下が含まれます：

• ワークスペースでコンプライアンス セキュリティ プロファイルを使用する場合にHIPAA要件を満たすインフラストラクチャ。
• 保存時および転送中のデータの暗号化。
• HIPPA対応プロジェクトの監査ログ記録。監査ログシステムテーブルに配信されます。HIPPA監査ログを参照してください。

お客様の責任

LakebaseデータベースにおけるPHIの取り扱いについては、お客様の組織が責任を負うものとします：

• メタデータに PHI を含めないでください。 データベース、スキーマ、テーブル、カラム名などのデータベースオブジェクト名に PHI を含めないでください。これらの名前は、監査Logsやシステムメタデータに表示される可能性があります。
• クエリーテキストにPHIを含めないでください。 監査Logsにはステートメントテキストを記録できます。クエリー内でPHIをリテラル値として埋め込むことは避けてください。可能な限り、パラメータ化されたクエリーを使用してください。
• サポートチケットに PHI を含めないでください。 Databricks と共有するサポートリクエスト、スクリーンショット、または診断出力に PHI を含めないでください。
• アクセス制御を構成します。 最小特権の原則に従って、データベースのロールと権限を付与します。ロールと権限をご覧ください。
• Manage audit log retention. コンプライアンス上の義務に従って、監査 Logs を確認および保持してください。See Audit Logs retention.

重要

Databricks では、オブジェクト名やクエリーテキストに含めた PHI を事後的に削除することはできません。これらの場所に PHI が混入しないようにすることは、お客様の責任となります。

ビジネスアソシエイト契約

HIPPA に基づいて PHI を処理するには、ビジネスアソシエイト契約（BAA）が必要です。BAA がどのように適用されるかは、クラウドプロバイダーによって異なります。詳細については、HIPPA を参照してください。

次のステップ

• HIPAAコンプライアンスの有効化 : Lakebaseプロジェクトのコンプライアンスサポートをオンにします。HIPAAコンプライアンスの有効化を参照してください。
• HIPPA 監査ログ : Lakebase がどのように監査イベントをキャプチャ、配信、記録するかを理解します。HIPPA 監査ログを参照してください。