HIPAA法規遵循功能

重要的

如果您是現有的HIPAA客戶，並且您的帳戶不在Databricks平台的E2版本上，並且您需要創建並驗證遺留HIPAA支持的集群，請參見Beplay体育安卓版本創建並驗證用於遺留HIPAA支持的集群．

HIPAA遵從性特性需要啟用合規安全概要，它添加監視代理、強製實例類型用於節點間加密、提供加固的計算映像以及其他功能。具體技術要求請參見啟用遵從性安全配置文件．

要使用遵從性安全配置文件，您的Databricks帳戶必須包含增強的安全性和遵從性插件。具體操作請參見定價頁．

此功能要求您的帳戶位於Enterprise層。

HIPAA概述

1996年的健康保險攜帶和責任法案(HIPAA)，以及經濟和臨床健康健康信息技術(HITECH)和在HIPAA下發布的法規是一套美國醫療保健法律。除其他條款外，這些法律對受保護健康信息(PHI)的使用、披露和保護提出了要求。

HIPAA適用於覆蓋的實體和業務夥伴創建、接收、維護、傳輸或訪問PHI。當涉及的實體或業務合作夥伴與雲服務提供商(如Databricks)的服務接觸時，該CSP將成為HIPAA下的業務合作夥伴。

HIPAA法規要求所涵蓋的實體及其業務夥伴簽訂一份名為“業務夥伴協議”(BAA)的合同，以確保業務夥伴將充分保護PHI。除其他事項外，BAA根據各方以及業務夥伴執行的活動和服務之間的關係確定了業務夥伴對PHI的允許和必需的使用和披露。

數據ricks允許在數據ricks上處理PHI數據嗎?

數據ricks允許在簽署協議的條件下處理PHI數據。聯係您的Databricks代表獲取更多信息。

在E2上為HIPAA配置帳戶和工作空間

如果您是現有的HIPAA客戶，並且您的帳戶是不在E2版本的Databricks平台上:Beplay体育安卓版本

  • 您必須聯係您的Databricks代表，以升級您的帳戶到E2版本的平台。Beplay体育安卓版本

  • 請注意，E2平台是一個多租戶平台，Beplay体育安卓版本您選擇在E2上部署HIPAA將被視為您放棄合同中與我們在E2上向您提供HIPAA的能力相衝突的任何條款。

E2平台上的HIPAA遵從特性可以在帳戶級別(針對所有工作區)啟用，也可Beplay体育安卓版本以隻針對某些工作區啟用。

若要配置您的帳戶或工作空間以支持HIPAA標準規定的數據處理，請啟用合規安全概要．其中一個步驟包括聯係您的Databricks代表。當您這樣做時，還要請求創建一個具有HIPAA遵從特性的新E2帳戶。您將收到額外的信息和協議簽署。請注意，為帳戶啟用HIPAA遵從性特性是永久的，以後不能刪除。

在E2上為HIPAA啟用Databricks帳戶後，帳戶中的工作空間對所有人都具有HIPAA遵從特性E2地區．要部署一個沒有HIPAA遵從性特性的工作空間，您必須創建一個單獨的Databricks帳戶。

重要的

  • 您完全有責任確保您自己遵守所有適用的法律法規。Databricks在線文檔中提供的信息不構成法律建議，您應該谘詢您的法律顧問有關法規遵從性的任何問題。

  • 數據ricks不支持使用E2平台上HIPAA上的PHI處理預覽特性，除了列出的特性Beplay体育安卓版本支持處理PHI數據的預覽功能．

遵守HIPAA的共同責任

遵循HIPAA有三個主要方麵，有不同的責任。雖然每一方都有許多責任，以下我們列出我們的主要責任，以及你的責任。

本文使用Databricks術語控製飛機和一個數據平麵，這是Databricks工作原理的兩個主要部分:

  • 的磚控製飛機包括Databricks在自己的AWS帳戶中管理的後端服務。

  • 數據平麵是處理數據湖的地方。的經典的數據平麵包括您的AWS帳戶中的AWS VPC，以及用於處理您的筆記本、作業和經典SQL倉庫的計算資源集群。

    重要的

    對於啟用了HIPAA遵從特性的工作區，數據平麵指您自己的AWS賬戶中的Classic數據平麵。在本新聞稿發布之時，Serverless計算在啟用HIPAA遵從性特性的工作空間上禁用特性。

AWS的主要職責包括:

  • 履行其作為您的BAA與AWS的業務合作夥伴的義務。

  • 根據您與AWS的合同向您提供符合HIPAA要求的EC2機器。

  • 在AWS Nitro實例中提供基於HIPAA的硬件加速加密和傳輸中加密。

  • 當Databricks釋放EC2實例時，刪除加密密鑰和數據。

Databricks的主要職責包括:

  • 對傳輸到控製平麵或從控製平麵傳輸的傳輸中PHI數據進行加密。

  • 在控製平麵對處於靜止狀態的PHI數據進行加密

  • 將實例類型的集合限製為AWS Nitro實例類型，這些實例類型實施傳輸中的加密和靜止時的加密。有關支持的實例類型列表，請參閱AWS Nitro System和HIPAA遵從特性。Databricks通過帳戶控製台和API限製實例類型。

  • 當您在Databricks中指示要解除EC2實例的配給時，例如自動終止或手動終止，以便AWS可以擦除它們。

你的主要職責:

  • 將您的工作區配置為使用其中任何一種用於托管服務的客戶托管密鑰或者是在客戶帳戶中存儲交互式筆記本結果特性。

  • 不要使用Databricks中的預覽功能來處理PHI。但是，它支持使用中列出的預覽功能支持處理PHI數據的預覽功能

  • 遵循安全最佳實踐，如禁用不必要的數據平麵出口和使用Databricks秘密特性(或其他類似的功能)來存儲提供訪問PHI的訪問鍵。

  • 與AWS簽訂業務關聯協議，覆蓋EC2實例所在VPC內處理的所有數據。

  • 不要在虛擬機中執行違反HIPAA的操作。例如，直接Databricks發送未加密的PHI到端點。

  • 當您將所有可能包含PHI的數據存儲在Databricks平台可能與之交互的位置時，確保這些數據在靜止狀態下是加密的。Beplay体育安卓版本這包括在創建工作區時創建的每個工作區根S3 bucket上設置加密設置。您負責確保對根S3 bucket和所有其他數據源進行加密(以及執行備份)。

  • 確保所有可能包含PHI的數據在Databricks和您的任何數據存儲位置或您從數據平麵機器訪問的外部位置之間傳輸時都是加密的。例如，在可能連接到外部數據源的筆記本中使用的任何api都必須在任何傳出連接上使用適當的加密。

  • 當您將所有可能包含PHI的數據存儲在Databricks平台可能與之交互的位置時，確保這些數據在靜止狀態下是加密的。Beplay体育安卓版本這包括在創建工作區時創建的每個工作區根S3 bucket上設置加密設置。

  • 確保對根S3 bucket和所有其他數據源進行加密(以及執行備份)。

  • 確保所有可能包含PHI的數據在Databricks和您的任何數據存儲位置或您從數據平麵機器訪問的外部位置之間傳輸時都是加密的。例如，在可能連接到外部數據源的筆記本中使用的任何api都必須在任何傳出連接上使用適當的加密。

關於客戶管理鍵，請注意以下幾點: