recurso de conformidade HIPAA

Visualização

A capacidade de os administradores adicionarem recursos de Enhanced Security e compliance é um recurso no Public Preview. O perfil de segurança compliance e o suporte aos padrões compliance estão geralmente disponíveis (GA).

O recurso HIPAA compliance requer a ativação do perfil de segurançacompliance , que adiciona agentes de monitoramento, impõe tipos de instância para criptografia entre nós, fornece uma imagem compute reforçada e outros recursos. Para obter detalhes técnicos, consulte compliance security profile. É responsabilidade do senhor confirmar se cada workspace tem o perfil de segurança compliance ativado.

Para usar o perfil de segurança compliance , sua account Databricks deve incluir o complemento de segurança aprimorada e compliance . Para obter detalhes, consulte a página de preços.

Esse recurso exige que o site workspace esteja na camada Enterprise preços.

Certifique-se de que informações confidenciais nunca sejam inseridas em campos de entrada definidos pelo cliente, como nomes de workspace, nomes de clusters e nomes de Job.

Quais recursos de computação obtêm segurança aprimorada

Os aprimoramentos do perfil de segurança compliance se aplicam ao recurso compute no plano clássico compute em todas as regiões.

serverless O suporte do SQL warehouse para o perfil de segurança compliance varia de acordo com a região. Veja se o Serverless SQL warehouse suporta o perfil de segurança compliance em algumas regiões.

Visão geral da HIPAA

O Health Insurance Portability and Accountability Act de 1996 (HIPAA), o Health information tecnología for Economic and Clinical Health (HITECH) e as regulamentações emitidas sob o HIPAA são um conjunto de leis de saúde dos EUA. Entre outros dispositivos, essas leis estabelecem requisitos para o uso, a divulgação e a proteção de informações de saúde protegidas (PHI).

A HIPAA aplica-se a entidades cobertas e parceiros de negócios que criam, recebem, mantêm, transmitem ou acessam PHI. Quando uma entidade coberta ou parceiro comercial contrata os serviços de um provedor de serviços cloud (CSP), como Databricks, o CSP se torna um parceiro comercial sob a HIPAA.

Os regulamentos da HIPAA exigem que as entidades cobertas e seus parceiros de negócios celebrem um contrato chamado Acordo de Associado de Negócios (BAA) para garantir que os parceiros de negócios protejam as PHI adequadamente. Entre outras coisas, um BAA estabelece os usos e divulgações permitidos e exigidos de PHI pelo parceiro de negócios, com base no relacionamento entre as partes e nas atividades e serviços executados pelo parceiro de negócios.

O Databricks permite o processamento de dados PHI no Databricks?

Sim, se o senhor ativar o perfil de segurança compliance e adicionar o padrão HIPAA compliance como parte da configuração do perfil de segurança compliance. Entre em contato com a equipe da Databricks account para obter mais informações. É de sua responsabilidade, antes de processar dados PHI, ter um contrato BAA com a Databricks.

Habilitar o HIPAA em um espaço de trabalho

Esta seção pressupõe que o senhor esteja usando a versão E2 da plataforma Databricks.

Se o senhor for um cliente HIPAA existente e seu site account ainda não estiver na versão E2 da plataforma Databricks,

  • Observe que a plataforma E2 é uma plataforma multitenant e sua opção de implantar o HIPAA no E2 será tratada como uma renúncia a qualquer cláusula em seu contrato que esteja em conflito com nossa capacidade de fornecer ao senhor o HIPAA na plataforma E2.

Para configurar o site workspace para suportar o processamento de dados regulamentados pelo padrão HIPAA compliance, o workspace deve ter o perfil de segurançacompliance ativado. O senhor pode ativá-lo e adicionar o padrão HIPAA compliance em todo o espaço de trabalho ou somente em alguns espaços de trabalho.

Importante

  • Você é totalmente responsável por garantir sua própria compliance com todas as leis e regulamentos aplicáveis. As informações fornecidas na documentação on-line do Databricks não constituem aconselhamento jurídico e você deve consultar seu consultor jurídico para qualquer dúvida sobre compliance regulamentar.

  • Databricks não oferece suporte ao uso de recursos de visualização para o processamento de PHI no HIPAA na plataforma E2, com exceção dos recursos listados em Recursos de visualização com suporte para processamento de dados PHI.

Responsabilidade compartilhada de conformidade com HIPAA

Cumprir com HIPAA tem três áreas principais, com diferentes responsabilidades. Embora cada parte tenha inúmeras responsabilidades, abaixo enumeramos key responsabilidades nossas, juntamente com as suas responsabilidades.

Estes artigos usam a terminologia do plano de controle do Databricks e um planocompute , que são duas partes principais de como o Databricks funciona:

  • O plano de controle do Databricks inclui os serviços de back-end que o Databricks gerencia em sua própria account da AWS.

  • O plano compute é onde o seu data lake é processado. O plano clássico compute inclui um VPC em seu AWS account, e clusters de compute recurso para processar seu Notebook, Job e armazém SQL profissional ou clássico.

    Importante

    Para o espaço de trabalho com HIPAA compliance recurso ativado, o planocompute refere-se ao plano clássico compute em seu próprio AWS account. A partir desta versão, serverless compute recurso está desativado em um workspace com HIPAA compliance recurso ativado.

key responsabilidades da AWS incluem:

  • Desempenhar suas obrigações como parceiro comercial sob seu BAA com a AWS.

  • Fornecer a você as máquinas EC2 sob seu contrato com a AWS que oferecem suporte compliance com HIPAA.

  • Forneça criptografia acelerada por hardware em repouso e em trânsito nas instâncias Nitro da AWS que sejam adequadas de acordo com a HIPAA.

  • Exclua key de criptografia e os dados quando o Databricks liberar as instâncias do EC2.

key responsabilidades do Databricks incluem:

  • Criptografe os dados PHI em trânsito que são transmitidos de ou para o plano de controle.

  • Criptografar dados PHI em repouso no plano de controle

  • Limite o conjunto de tipos de instância aos tipos de instância do AWS Nitro que impõem criptografia em trânsito e criptografia em repouso. Para obter a lista de tipos de instância com suporte, consulte AWS Nitro System e recursos compliance HIPAA. O Databricks limita os tipos de instância no console account e por meio da API.

  • Desprovisione instâncias do EC2 quando você indicar no Databricks que elas devem ser desprovisionadas, por exemplo, encerramento automático ou encerramento manual, para que a AWS possa limpá-los.

key responsabilidades suas:

  • Configure seu espaço de trabalho para usar as chaves de gerenciamento do cliente para o serviço gerenciado ou o recurso Armazenar resultados Notebook interativo na account do cliente .

  • Não use o recurso de visualização no Databricks para processar PHI que não sejam os recursos listados no recurso de visualização que são suportados para o processamento de dados PHI

  • Siga as melhores práticas de segurança , como desabilitar a saída desnecessária do plano compute e usar o recurso de segredos do Databricks (ou outra funcionalidade semelhante) para armazenar key de acesso que fornece acesso a PHI.

  • Entre em um contrato de parceiro comercial com a AWS para cobrir todos os dados processados na VPC onde as instâncias do EC2 são aprimoradas.

  • Não faça algo em uma máquina virtual que seja uma violação do HIPAA. Por exemplo, direcione Databricks para enviar PHI não criptografado para um endpoint.

  • Certifique-se de que todos os dados que possam conter PHI sejam criptografados em repouso ao armazená-los em locais com os quais a plataforma Databricks possa interagir. Isso inclui definir as configurações de criptografia no bucket S3 raiz de cada workspaceque faz parte da criação workspace . Você é responsável por garantir a criptografia (bem como realizar backups) para este armazenamento e todas as outras fontes de dados.

  • Certifique-se de que todos os dados que possam conter PHI sejam criptografados em trânsito entre Databricks e qualquer um dos seus locais de armazenamento de dados ou locais externos que você acessa de uma máquina de plano compute . Por exemplo, quaisquer APIs usadas em um Notebook que possa se conectar a fontes de dados externas deverão usar criptografia apropriada em quaisquer conexões de saída.

  • Certifique-se de que todos os dados que possam conter PHI sejam criptografados em repouso ao armazená-los em locais com os quais a plataforma Databricks possa interagir. Isso inclui definir as configurações de criptografia no armazenamento raiz de cada workspaceque faz parte da criação workspace .

  • Garanta a criptografia (bem como a realização de backups) para seu bucket S3 raiz e todas as outras fontes de dados.

  • Certifique-se de que todos os dados que possam conter PHI sejam criptografados em trânsito entre Databricks e qualquer um dos seus locais de armazenamento de dados ou locais externos que você acessa de uma máquina de plano compute . Por exemplo, quaisquer APIs usadas em um Notebook que possa se conectar a fontes de dados externas deverão usar criptografia apropriada em quaisquer conexões de saída.

Observe o seguinte sobre a chave de gerenciar o cliente:

  • O senhor pode adicionar a chave gerenciadora de clientes ao seu bucket S3 raiz do workspaceusando a chave gerenciadora de clientes para o recurso de armazenamento workspace, mas a Databricks não exige que o senhor faça isso.

  • Como parte opcional do recurso de armazenamento workspace, o senhor pode adicionar a chave gerenciadora de clientes para volumes EBS, mas isso não é necessário para o HIPAA compliance.

Observação

Se o senhor for um cliente existente do HIPAA e seu workspace não estiver na versão E2 da plataforma Databricks, para criar um cluster, consulte os artigos herdados Create and verify a cluster for legacy HIPAA support.