HIPAA-Konformität für Lakebase

Lakebase unterstützt Arbeitsbereiche mit dem Compliance-Sicherheitsprofil , sodass Sie regulierte Daten, einschließlich geschützter Gesundheitsinformationen (PHI) gemäß dem Health Insurance Portability and Accountability Act (HIPAA), verarbeiten können. Diese Seite erklärt, was Compliance-Unterstützung für Lakebase bedeutet, welche Compliance-Standards unterstützt werden und wie die Verantwortung für PHI geteilt wird. Für die plattformweiten HIPAA-Kontrollen und Anforderungen siehe HIPAA.

Unterstützte Compliance-Standards

Lakebase ist für Arbeitsbereiche mit dem Compliance-Sicherheitsprofil gemäß dem HIPAA-Standard und mehreren anderen Compliance-Standards verfügbar, einige davon nur in bestimmten Regionen. Die vollständige Liste finden Sie unter Lakebase compliance.

Wenn ein Arbeitsbereich das Compliance-Sicherheitsprofil mit dem HIPAA-Standard verwendet, setzt Lakebase die für HIPAA erforderlichen Kontrollen durch, einschließlich erweiterter Audit-Protokollierung für Datenbankaktivitäten. Weitere Informationen darüber, wie Audit-Ereignisse erfasst und geliefert werden, finden Sie unter HIPAA-Audit-Protokollierung.

Nachdem Sie HIPAA aktiviert haben, dauert es typischerweise bis zu 10 Minuten, bis die Einstellung Lakebase erreicht. Projekte, die bereits laufen, und Projekte, die Sie während dieses Zeitraums erstellen, müssen neu gestartet werden, bevor sie HIPAA-Prüfprotokolle durchsetzen. Siehe Bestehende Projekte neu starten.

Note

HIPAA ist das einzige Compliance-Profil, das erweiterte Audit-Logging für Lakebase ermöglicht. Andere unterstützte Compliance-Standards wenden kein Lakebase-spezifisches Prüfverhalten an.

Gemeinsame Verantwortung für PHI

Databricks und Ihre Organisation teilen sich die Verantwortung für den Schutz von PHI in Lakebase. Dieser Abschnitt beschreibt die spezifischen Verantwortlichkeiten für Lakebase. Für das plattformweite HIPAA-Modell der geteilten Verantwortung siehe Geteilte Verantwortung für die Einhaltung von HIPAA.

Was Databricks bietet

Databricks stellt die konforme Plattform bereit, auf der Lakebase läuft, darunter:

  • Infrastruktur, die die HIPAA-Anforderungen erfüllt, wenn der Arbeitsbereich das Compliance-Sicherheitsprofil verwendet.
  • Verschlüsselung von Daten in Ruhe und während des Transports.
  • Audit-Protokollierung für HIPAA-aktivierte Projekte, bereitgestellt in der Systemtabelle für Audit-Logs. Siehe HIPAA-Audit-Protokollierung.

Deine Verantwortlichkeiten

Ihre Organisation ist dafür verantwortlich, wie Sie PHI in Ihren Lakebase-Datenbanken handhaben:

  • Halte PHI aus Metadaten heraus. Fügen Sie PHI nicht in Datenbankobjektnamen ein, wie Datenbank-, Schema-, Tabellen- oder Spaltennamen. Diese Namen können in Auditprotokollen und Systemmetadaten erscheinen.
  • Halte PHI aus Anfragetexten heraus. Audit-Protokolle können den Text der Kontoauszüge aufzeichnen. Vermeide es, PHI als wörtliche Werte in Abfragen einzubetten. Verwenden Sie parametrisierte Abfragen, wo möglich.
  • PHI aus Support-Tickets heraushalten. Fügen Sie keine PHI in Support-Anfragen, Screenshots oder Diagnoseausgaben ein, die Sie mit Databricks teilen.
  • Konfigurieren Sie Zugriffskontrollen. Vergib Datenbankrollen und Berechtigungen nach dem Prinzip der geringsten Rechte. Weitere Informationen zu Rollen und Berechtigungen.
  • Aufbewahrung von Auditprotokollen verwalten. Überprüfen und bewahren Sie Auditprotokolle entsprechend Ihren Compliance-Verpflichtungen auf. Siehe Audit-Log-Aufbewahrung.

Important

Databricks kann PHI, die Sie in Objektnamen oder im Abfragetext platzieren, im Nachhinein nicht entfernen. Es liegt in Ihrer Verantwortung, PHI daran zu hindern, diese Orte zu betreten.

Geschäftspartnervereinbarung

Die Verarbeitung von PHI unter HIPAA erfordert eine Business Associate Agreement (BAA). Wie der BAA angewendet wird, hängt von deinem Cloud-Anbieter ab. Für Details siehe HIPAA.

Nächste Schritte

  • Zuletzt aktualisiert um