Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Panoramica su HIPAA e HITECH Act
L'Health Insurance Portability and Accountability Act del 1996 (HIPAA) e le normative emanate ai sensi dell'HIPAA sono un insieme di leggi sanitarie statunitensi che stabiliscono i requisiti per l'uso, la divulgazione e la salvaguardia delle informazioni sanitarie identificabili individualmente. L'ambito di applicazione dell'HIPAA è stato esteso con l'emanazione dell'Health Information Technology for Economic and Clinical Health (HITECH) Act nel 2009.
L'HIPAA si applica alle entità coperte (in particolare, fornitori di assistenza sanitaria, piani sanitari e centri di smistamento sanitario) che creano, ricevono, gestiscono, trasmettono o accedono alle informazioni sanitarie protette dei pazienti (PHI). L'HIPAA si applica inoltre ai soci in affari di entità coperte che svolgono determinate funzioni o attività che coinvolgono PHI come parte della fornitura di servizi all'entità coperta o per conto dell'entità coperta.
Quando un'entità coperta si avvale dei servizi di un provider di servizi cloud, ad esempio Microsoft, il provider di servizi cloud è un socio in affari ai sensi dell'HIPAA. Inoltre, quando un socio in affari subappalta a un fornitore di servizi cloud per creare, ricevere, mantenere o trasmettere PHI, anche il fornitore di servizi cloud diventa un socio in affari.
Microsoft, HIPAA e HITECH Act
Le normative HIPAA richiedono che le entità coperte (definite ai sensi delle Regole) stipulino accordi con i soci in affari per garantire che le PHI siano adeguatamente protette. Questo accordo è chiamato Accordo di società in affari. Tra le altre cose, un accordo di società in affari stabilisce gli usi e le divulgazioni consentiti e richiesti di PHI da parte del socio in affari, in base al rapporto tra le parti e alle attività o ai servizi svolti dal socio in affari. Per supportare la conformità dei clienti alla normativa HIPAA quando usano i prodotti e i servizi aziendali Microsoft, Microsoft stipula contratti di società in affari con i clienti dell'entità coperta e della società in affari.
Attualmente non esiste uno standard di certificazione approvato dal Dipartimento della salute e dei servizi umani per dimostrare la conformità all'HIPAA o all'HITECH Act da parte di un socio in affari. Tuttavia, Microsoft garantisce ai clienti la conformità a HIPAA e all'HITECH Act e aderisce ai requisiti delle regole di sicurezza di HIPAA in qualità di socio in affari. Inoltre, Microsoft stipula accordi di società in affari con i clienti dell'entità coperta e dei soci in affari per supportare la conformità agli obblighi HIPAA.
Certificazioni di terze parti
I servizi Microsoft coperti dal BAA sono sottoposti a controlli condotti da revisori indipendenti accreditati per la certificazione Microsoft ISO/IEC 27001 e la certificazione HITRUST Common Security Framework (CSF).
Anche i servizi cloud aziendali Microsoft sono coperti dalle valutazioni FedRAMP. Microsoft Azure e Microsoft Azure Azure per enti pubblici hanno ricevuto un'autorizzazione provvisoria per operare dal FedRAMP Joint Authorization Board; Microsoft Dynamics 365 U.S. Government ha ricevuto un'Agency Authority to Operate dal Dipartimento per l'edilizia abitativa e lo sviluppo urbano degli Stati Uniti, così come Microsoft Office 365 U.S. Government dal Dipartimento della salute e dei servizi umani degli Stati Uniti.
Per informazioni su come Microsoft Cloud aiuta i clienti a supportare i requisiti HIPAA e HITECH, visita Storie dei clienti Microsoft.
Piattaforme e servizi cloud nell'ambito Microsoft
- Azure e Azure per enti pubblici
- Azure DevOps Services
- Dynamics 365 e Dynamics 365 U.S. Government
- Microsoft Intune
- Microsoft Copilot per la sicurezza
- Microsoft Defender for Cloud Apps
- Esperti di Microsoft Defender per la ricerca
- Esperti di Microsoft Defender per XDR
- Il servizio Bot Microsoft Healthcare
- Microsoft Managed Desktop
- Servizi professionali Microsoft: Premier e locale per Azure, Dynamics 365, Microsoft Intune e per le aziende di medie dimensioni e per i clienti aziendali di Microsoft 365 per le aziende
- Office 365, Office 365 U.S. Government
- Il servizio cloud Power Automate come servizio autonomo o incluso in un piano o una famiglia di prodotti con marchio Office 365 o Dynamics 365
- Servizio cloud Power Apps come servizio autonomo o incluso in un piano o una famiglia di prodotti con marchio Office 365 o Dynamics 365
- Il servizio cloud Power BI come servizio autonomo o incluso in un piano o una famiglia di prodotti con marchio Office 365 o Dynamics 365
- Windows 365
Azure, Dynamics 365 e HIPAA
Per altre informazioni sulla conformità di Azure, Dynamics 365 e altri Servizi online, vedere l'offerta HIPAA di Azure.
Office 365 e HIPAA
Ambienti di Office 365
Microsoft Office 365 è una piattaforma cloud iperscalabile multi-tenant e un'esperienza integrata di app e servizi disponibili per i clienti in diverse aree geografiche del mondo. La maggior parte dei servizi di Office 365 consente ai clienti di specificare l'area geografica in cui si trovano i dati dei clienti. Microsoft potrebbe replicare i dati dei clienti in altre parti all'interno della stessa area geografica (ad esempio, gli Stati Uniti) per la resilienza dei dati. Tuttavia, Microsoft non replicherà i dati dei clienti al di fuori dell'area geografica prescelta.
Questa sezione riguarda i seguenti ambienti di Office 365:
- Software client (client): software client commerciale in esecuzione nei dispositivi dei clienti.
- Office 365 (commerciale): il servizio cloud pubblico commerciale di Office 365 disponibile a livello globale.
- Office 365 Government Community Cloud (GCC): il servizio cloud Office 365 GCC è disponibile per i governi federali, statali, locali e tribali degli Stati Uniti, nonché per i terzisti che detengono o elaborano dati per conto del governo degli Stati Uniti.
- Office 365 Government Community Cloud - High (GCC High): il servizio cloud Office 365 GCC High è progettato secondo i controlli di livello 4 delle linee guida sui requisiti di sicurezza del Dipartimento della Difesa (DoD) e controlla e supporta le informazioni federali e di difesa rigorosamente regolamentate. Questo ambiente viene usato dalle agenzie federali, dalla Defense Industrial Base (DIB) e dai terzisti governativi.
- Office 365 DoD (DoD): il servizio cloud Office 365 DoD è progettato secondo i controlli di livello 5 delle linee guida sui requisiti di sicurezza del Dipartimento della Difesa e supporta rigide normative federali e di difesa. Questo ambiente è destinato all'uso esclusivo da parte del Dipartimento della Difesa degli Stati Uniti.
Usare questa sezione per soddisfare gli obblighi di conformità in settori regolamentati e mercati globali. Per scoprire quali servizi sono disponibili in quali aree geografiche, vedere le informazioni sulla disponibilità internazionale e l'articolo Dove sono archiviati i dati dei clienti Microsoft 365. Per altre informazioni sull'ambiente cloud di Office 365 Government, vedere l'articolo Office 365 Government Cloud.
L'organizzazione è interamente responsabile di garantire la conformità a tutte le leggi e normative applicabili. Le informazioni fornite in questa sezione non costituiscono una consulenza legale. Pertanto, è consigliabile consultare i propri consulenti legali per eventuali domande relative alla conformità normativa della propria organizzazione.
Applicabilità di Office 365 e servizi inclusi nell'ambito
Usare la tabella seguente per determinare l'applicabilità per i servizi e l'abbonamento a Office 365:
| Applicabilità | Servizi inclusi nell'ambito |
|---|---|
| Commerciale | Access Online, Azure Communications Service, Compliance Manager, Customer Lockbox, Delve, Exchange Online, Forms, Griffin, Identity Manager, Lockbox (Torus), Microsoft Copilot, Microsoft Copilot Chat, Microsoft Defender per Office 365, Microsoft Entra ID, portale Microsoft Purview, Microsoft Teams, MyAnalytics, componente aggiuntivo Office 365 Advanced Compliance, Portale clienti di Office 365, Office 365 Microservizi (inclusi ma non limitati a ObjectStore, Sway, Power Automate, PowerPoint Online Document Service, Query Annotation Service, School sincronizzazione dati, Siphon, Voce, eXtensible Application Program), Office Online, Office Pro Plus, Office Services Infrastructure, OneDrive for Business, Planner, Power Apps, Power BI, Project Online, Crittografia del servizio con chiave cliente Microsoft Purview, SharePoint Online, Stream |
| GCC | Azure Communications Service, Compliance Manager, Delve, Exchange Online, Forms, Microsoft Copilot, Microsoft Copilot Chat Microsoft Defender per Office 365, Microsoft Entra ID, portale Microsoft Purview, Microsoft Teams, MyAnalytics, componente aggiuntivo Office 365 Advanced Compliance, Office Online, Office Pro Plus, OneDrive for Business, Planner, Power Apps, Power Automate, Power BI, SharePoint Online, Stream |
Domande frequenti
L'organizzazione può stipulare un BAA con Microsoft?
Sì. Microsoft offre ai suoi clienti interessati e soci in affari un contratto di società in affari che copre i servizi Microsoft nell'ambito.
Il contratto di società in affari HIPAA di Microsoft è disponibile tramite l'addendum per la protezione dei dati dei Microsoft Online Services per impostazione predefinita per tutti i clienti che sono persone giuridiche o partner commerciali coperti dalla normativa HIPAA. Per l'elenco dei servizi cloud coperti da questo BAA, vedere "Servizi cloud Microsoft nell'ambito" in questa pagina Web.
Il contratto di società in affari HIPAA è disponibile anche per i servizi professionali Microsoft che rientrano nell'ambito. Per altre informazioni, contattare il rappresentante dei servizi Microsoft.
Il possesso di un contratto di società in affari con Microsoft garantisce la conformità dell'organizzazione all'HIPAA e all'HITECH Act?
No. Offrendo un contratto di società in affari, Microsoft contribuisce a supportare la conformità HIPAA. Tuttavia, l'uso dei servizi Microsoft non consente di per sé la conformità HIPAA. L'organizzazione è responsabile di garantire che l'utente disponga di un programma di conformità e di processi interni adeguati e che l'uso specifico dei servizi Microsoft sia in linea con gli obblighi dell'utente ai sensi dell'HIPAA e dell'HITECH Act.
Microsoft può utilizzare il Contratto in Business Associate della mia organizzazione?
No, Microsoft non può usare il Contratto in Business Associate di un cliente. Poiché offriamo servizi hyperscale e multitenant standardizzati per tutti i nostri clienti, dobbiamo operare in modo coerente. Il Contratto di società in affari HIPAA di Microsoft riflette fedelmente il modo in cui operiamo. Di conseguenza, per soddisfare le esigenze del settore sanitario, Microsoft ha collaborato con un consorzio di centri medici accademici e altri enti del settore pubblico e privato nel settore sanitario per creare un contratto di società in affari che si allinea con le nostre offerte di servizi su larga scala e soddisfa le esigenze dei clienti.
Come è possibile ottenere copie dei report di controllo di terze parti?
Il Service Trust Portal fornisce report di conformità controllati in modo indipendente. È possibile usare il portale per richiedere report di audit in modo che i revisori possano confrontare i risultati dei servizi cloud Microsoft con i requisiti legali e normativi dell'utente. I clienti di Azure possono anche recuperare i certificati di Azure e i report di controllo nel portale di Azure tramite il pannello report di controllo in Microsoft Defender per il cloud.
Come è possibile ottenere altre informazioni sul modo in cui Microsoft supporta la conformità con HIPAA e HITECH Act?
Per assistere i clienti in questa attività, Microsoft ha pubblicato queste linee guida:
- Le linee guida per l'implementazione della legge HIPAA/HITECH per Azure per i responsabili della privacy, della sicurezza e della conformità e altri responsabili dell'implementazione di HIPAA e HITECH Act descrivono i passaggi concreti che l'organizzazione può eseguire per mantenere la conformità.
Usare Microsoft Purview Compliance Manager per valutare il rischio
Microsoft Purview Compliance Manager è una funzionalità del portale Microsoft Purview che consente di comprendere il comportamento di conformità dell'organizzazione e di intraprendere azioni per ridurre i rischi. Compliance Manager offre un modello premium per creare una valutazione per questa normativa. Individuare il modello nella pagina modelli di valutazioni in Compliance Manager. Informazioni su come creare valutazioni in Compliance Manager.