使用 Google Cloud Platform 时如何确保遵从《健康保险流通与责任法案》(HIPAA)

本指南介绍使用 Google Cloud Platform 时如何确保遵从 HIPAA。使用 G Suite 时如何确保遵从 HIPAA 另行单独介绍。

免责声明

本指南仅供参考。Google 在本指南中提供的信息或建议不构成法律建议。每个客户都有责任独立而适当地评估其自身对服务的具体使用情况,以履行法规遵从义务。

目标受众

对于需要遵从《健康保险流通与责任法案》(简称 HIPAA;修订版;包括《卫生信息技术促进经济和临床健康 (HITECH) 法案》)中相关要求的客户,Google Cloud Platform 可提供支持以确保他们符合 HIPAA 要求。本指南面向安全人员、合规专员、IT 管理员和其他负责 HIPAA 实施工作以及确保在使用 Google Cloud Platform 时遵从 HIPAA 法规的员工。阅读本指南后,您将了解 Google 如何提供支持来确保客户符合 HIPAA 要求,并了解如何配置 Google Cloud 项目以帮助您履行 HIPAA 规定的职责。

定义

本文档中使用但未另行定义的所有大写术语均与 HIPAA 中的含义相同。此外,就本文档而言,受保护健康信息 (PHI) 是指 Google 从 HIPAA 所适用的实体处收到的受保护健康信息。

概览

请务必注意,美国 HHS 没有认可 HIPAA 合规性认证,并且遵守 HIPAA 是客户与 Google 的共同责任。 具体而言,HIPAA 要求遵守安全规则隐私规则违规通知规则。Google Cloud Platform 可以提供支持来确保客户符合 HIPAA 要求(在《业务伙伴协议》范围内),但最终由客户负责评估他们自己是否遵守 HIPAA。

按照 HIPAA,Google 将根据需要与客户签订《业务伙伴协议》。Google Cloud Platform 是在 700 多人的安全工程团队的指导下构建而成,该团队比大多数自有安全团队都要大。如需详细了解我们在安全和数据保护方面采取的方法,包括有关 Google 如何采取各种组织和技术控制措施来保护您的数据的详细信息,请参阅 Google 安全性白皮书Google 基础架构安全设计概览

除了记录我们在安全和隐私保护设计方面采取的方法之外,Google 会定期接受多项独立的第三方审核,以便为客户提供外部验证(报告和证书链接如下)。也就是说,我们数据中心、基础设施和运营过程中的控制机制均通过了独立审核机构的检验。Google 每年都会接受以下标准的审核:

  • SSAE16 / ISAE 3402 Type II。我们提供了相关的公开 SOC 3 报告。如果客户签署了保密协议,我们还可提供 SOC 2 报告。
  • ISO 27001。 Google 提供 Google Cloud Platform 服务所用的系统、应用、人员、技术、流程和数据中心均已获得 ISO 27001 认证。我们的 ISO 27001 证书可在我们网站的合规性部分找到。
  • 针对云端安全性的 ISO 27017。这是专门针对云服务的信息安全控制国际做法标准,以 ISO/IEC 27002 为基础。我们的 ISO 27017 证书可在我们网站的合规性部分找到。
  • 针对云端隐私权的 ISO 27018。这是专门针对公共云服务个人身份信息 (PII) 保护的国际做法标准。我们的 ISO 27018 证书可在我们网站的合规性部分找到。
  • FedRAMP ATO
  • PCI DSS 3.2 版

除了确保 Google 环境的机密性、完整性和可用性之外,Google 全面的第三方审核方法还旨在确保 Google 对提供一流信息安全的承诺。客户可以参考这些第三方审核报告,以评估 Google 的产品如何满足其 HIPAA 法规遵从方面的需要。

客户责任

客户的主要责任之一是确定他们是否是所适用的实体(或所适用的实体的业务伙伴),如果是,还要确定他们是否需要与 Google 签订《业务伙伴协议》,以便进行互动。

虽然 Google 为 PHI 的存储和处理提供了安全且合规的基础架构(如上所述),但客户负责确保根据 HIPAA 要求正确配置和保护他们在 Google Cloud Platform 的基础上构建的环境和应用。在云中,这通常被称为共享安全模型。

基本最佳做法:

  • 执行 Google Cloud 业务伙伴协议 (BAA)。您可以直接向客户经理申请 BAA。
  • 在处理 PHI 时,停用 BAA 未明确涵盖的 Google Cloud 产品(请参阅涵盖的产品),或确保您没有使用这些产品。

推荐的技术最佳做法:

  • 配置有权访问项目的人员时,请采用 IAM 最佳做法。具体来说,由于服务帐号可用于访问资源,因此请严格控制对这些服务帐号和服务帐号密钥的访问。
  • 确定您的组织是否具有超出 HIPAA 安全规则要求的加密要求。Google Cloud Platform 上存储的所有客户内容均已加密,请参阅我们的加密白皮书以了解详情和任何例外情况。
  • 如果您使用的是 Cloud Storage,请考虑启用对象版本控制以提供该数据的存档,并允许在意外删除数据时恢复删除。此外,在使用 gsutil 与 Cloud Storage 进行交互之前,请查看并遵循安全与隐私权注意事项中提供的指南。
  • 配置审核日志导出目标位置。我们强烈建议将审核日志导出到 Cloud Storage 以进行长期归档,以及将审核日志导出到 BigQuery 以满足任何分析、监控和/或取证需求。确保控制针对适合您组织的这些目标位置的访问权限。
  • 对适合您组织的日志进行访问权限控制。具有日志查看者角色的用户可以访问管理活动审核日志,而具有私密日志查看者角色的用户可以访问数据访问审核日志。
  • 定期检查审核日志,以确保安全性以及遵从相应要求。如上所述,BigQuery 是进行大规模日志分析的绝佳平台。您还可以考虑利用我们的第三方集成的 SIEM 平台,通过日志分析来证明是否遵从法规。
  • 在 Cloud Datastore 中创建或配置索引时,请在将任何 PHI、安全凭据或其他敏感数据用作索引的实体键、编入索引的属性键或编入索引的属性值之前,对这些数据进行加密。有关创建和/或配置索引的信息,请参阅 Cloud Datastore 文档
  • 创建或更新 Dialogflow Enterprise 代理时,请务必避免在您的代理定义(包括意图、训练短语和实体)中加入 PHI 或安全凭据。
  • 创建或更新资源时,请确保在指定资源的元数据时避免加入 PHI 或安全凭据,因为该信息可能会在日志中捕获。审核日志不包含资源的数据内容或日志中的查询结果,但可能会捕获资源元数据。

涵盖产品

Google Cloud BAA 涵盖 GCP 的整个基础架构(包括所有区域、所有地区、所有网络路径、所有接入点)以及下述产品:

  • App Engine
  • Cloud Armor
  • Cloud AutoML Natural Language
  • Cloud AutoML Translation
  • Cloud AutoML Vision
  • BigQuery
  • BigQuery Data Transfer Service
  • Cloud Bigtable
  • Cloud Console
  • Cloud Composer
  • Cloud Data Loss Prevention
  • Cloud Dataflow
  • Cloud Datalab
  • Cloud Dataproc
  • Cloud Datastore
  • Cloud Deployment Manager
  • Cloud Firestore
  • Cloud Functions
  • Cloud Genomics
  • Cloud Healthcare
  • Cloud Identity
  • Cloud Identity-Aware Proxy
  • Cloud IoT Core
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud Machine Learning Engine
  • Cloud Natural Language API
  • Cloud NAT
  • Cloud Pub/Sub
  • Cloud Resource Manager
  • Cloud Router
  • Cloud Source Repositories
  • Cloud Spanner
  • Cloud Speech API
  • Cloud SQL for MySQL
  • Cloud SQL for PostgreSQL
  • Cloud Service Consumer Management API
  • Cloud Storage
  • Cloud Translation API
  • Cloud Video Intelligence API
  • Cloud Vision API
  • Cloud VPN
  • Compute Engine
  • Container Registry
  • Dialogflow Enterprise Edition
  • Google Service Management
  • Kubernetes Engine
  • Stackdriver Debugger
  • Stackdriver Error Reporting
  • Stackdriver Logging
  • Stackdriver Profiler
  • Stackdriver Trace
  • Transfer Appliance Service
  • Virtual Private Cloud (VPC)

有关涵盖产品的最新列表,请参阅 Google Cloud 合规性网站。当新产品可加入 HIPAA 计划时,此列表会更新。

独有的特性

GCP 的安全做法可让我们签订涵盖 GCP 的整个基础架构(而不是某个部分)的 HIPAA BAA。因此,您将不会受限于特定区域,从而获得规模化、运营和架构方面的优势。您还可以受益于多区域服务冗余以及使用抢占式虚拟机来降低成本的能力。

可让我们提供支持来确保客户符合 HIPAA 要求的安全和合规性措施已深深融入我们的基础架构、安全设计和产品中。因此,我们能以向所有客户提供的同一价格向受 HIPAA 管制的客户提供相同的产品(包括持续使用折扣)。其他公有云服务会因提供 HIPAA 云而收取更多费用,但我们不会。

总结

Google Cloud Platform 提供的云基础架构让客户可以安全地存储、分析健康信息并从中获得数据洞见,而无需担心底层基础架构。

其他资源

此页内容是否有用?请给出您的反馈和评价: