Kepatuhan HIPAA di Google Cloud

Panduan ini mencakup kepatuhan HIPAA untuk Google Cloud. Kepatuhan HIPAA untuk Google Workspace dijelaskan dalam panduan terpisah.

Pernyataan penyangkalan

Panduan ini hanya untuk tujuan memberikan informasi. Google tidak bermaksud menjadikan informasi atau rekomendasi dalam panduan ini sebagai nasihat hukum. Setiap pelanggan bertanggung jawab untuk mengevaluasi penggunaan layanannya sendiri secara independen sesuai kebutuhan untuk mendukung kewajiban kepatuhan hukumnya.

Audiens yang Ditargetkan

Bagi pelanggan yang tunduk pada persyaratan Health Insurance Portability and Accountability Act (disingkat HIPAA, sebagaimana telah diamendemen, termasuk oleh Health Information Technology for Economic and Clinical Health — HITECH — Act), Google Cloud mendukung kepatuhan HIPAA. Panduan ini ditujukan untuk petugas keamanan, petugas kepatuhan, administrator IT, serta karyawan lain yang bertanggung jawab atas penerapan dan kepatuhan HIPAA pada Google Cloud. Setelah membaca panduan ini, Anda akan memahami bagaimana Google mampu mendukung kepatuhan HIPAA serta memahami cara mengonfigurasi Project Google Cloud untuk memenuhi tanggung jawab Anda berdasarkan HIPAA.

Definisi

Semua istilah berhuruf besar yang digunakan tetapi tidak didefinisikan dalam dokumen ini memiliki arti yang sama seperti pada HIPAA. Selanjutnya, untuk keperluan dokumen ini, Informasi Kesehatan Terlindungi (PHI) merupakan PHI yang diterima Google dari Entitas yang Tercakup.

Ringkasan

Penting untuk dicatat bahwa tidak ada sertifikasi yang diakui oleh HHS Amerika Serikat untuk kepatuhan HIPAA, dan bahwa mematuhi HIPAA adalah tanggung jawab bersama antara pelanggan dan Google. Secara khusus, HIPAA menuntut kepatuhan terhadap Aturan Keamanan, Aturan Privasi, dan Aturan Pemberitahuan Pelanggaran. Google Cloud mendukung kepatuhan HIPAA (dalam lingkup Perjanjian Rekanan Bisnis), tetapi pada akhirnya pelanggan bertanggung jawab untuk mengevaluasi kepatuhan HIPAA mereka sendiri.

Google akan menandatangani Perjanjian Rekanan Bisnis dengan pelanggan sesuai kebutuhan berdasarkan ketentuan HIPAA. Google Cloud dibangun di bawah bimbingan tim engineering keamanan yang beranggotakan lebih dari 700 orang, yang lebih besar daripada sebagian besar tim keamanan lokal. Detail spesifik terkait pendekatan keamanan dan perlindungan data kami, termasuk detail tentang kontrol organisasi dan teknis mengenai cara Google melindungi data Anda, dapat ditemukan dalam Laporan Resmi Keamanan Google dan Ringkasan Desain Keamanan Infrastruktur Google.

Selain mendokumentasikan pendekatan desain keamanan dan privasi kami, Google menjalani beberapa audit pihak ketiga independen secara rutin untuk memberikan verifikasi eksternal bagi pelanggan (link laporan dan sertifikat tercantum di bawah). Artinya, auditor independen telah memeriksa kontrol yang ada dalam operasi, infrastruktur, dan pusat data kami. Google menjalani audit tahunan untuk standar berikut:

SSAE 16 / ISAE 3402 Type II. Berikut adalah laporan SOC 3 publik yang terkait. Laporan SOC 2 bisa diperoleh berdasarkan NDA.
ISO 27001. Google telah memperoleh sertifikasi ISO 27001 untuk sistem, aplikasi, orang, teknologi, proses, dan pusat data yang menyajikan Google Cloud. Sertifikat ISO 27001 kami tersedia di bagian kepatuhan pada situs kami.
ISO 27017, Keamanan Cloud. Sertifikat ISO 27017 adalah standar internasional untuk praktik pengendalian keamanan informasi berdasarkan ISO/IEC 27002, khususnya untuk layanan cloud. Sertifikat ISO 27017 tersedia di bagian kepatuhan pada situs kami.
ISO 27018, Privasi Cloud. Ini adalah standar internasional untuk praktik perlindungan informasi identitas pribadi (PII) pada layanan cloud publik. Sertifikat ISO 27018 tersedia di bagian kepatuhan pada situs kami.
FedRAMP ATO
PCI DSS v3.2.1

Selain memastikan kerahasiaan, integritas, dan ketersediaan lingkungan Google, pendekatan audit pihak ketiga komprehensif Google dirancang untuk memberikan jaminan komitmen Google terhadap keamanan informasi terbaik. Pelanggan dapat menggunakan laporan audit pihak ketiga ini sebagai rujukan guna menilai bagaimana produk Google dapat memenuhi kebutuhan kepatuhan HIPAA mereka.

Tanggung Jawab Pelanggan

Salah satu tanggung jawab utama pelanggan adalah menentukan apakah mereka adalah Entitas yang Tercakup (atau Asosiasi Bisnis dari Entitas yang Tercakup) dan, jika ya, apakah mereka memerlukan Perjanjian Rekanan Bisnis dengan Google untuk keperluan interaksi mereka atau tidak.

Sementara Google menyediakan infrastruktur yang aman dan mematuhi standar (seperti dijelaskan di atas) untuk penyimpanan dan pemrosesan PHI, pelanggan bertanggung jawab untuk memastikan bahwa lingkungan dan aplikasi yang mereka bangun di atas Google Cloud telah dikonfigurasi dengan benar dan diamankan berdasarkan persyaratan HIPAA. Hal ini sering disebut sebagai model keamanan bersama di cloud.

Praktik terbaik yang penting:

Jalankan Google Cloud BAA. Anda dapat meminta BAA secara langsung dari pengelola akun Anda.
Nonaktifkan atau pastikan Anda tidak menggunakan Produk Google Cloud yang tidak tercakup secara eksplisit oleh BAA (lihat Produk yang Tercakup) saat bekerja dengan PHI.
Jangan menggunakan penawaran Pra-GA (produk atau layanan yang ditawarkan dalam Program Pre-General Availability Google Cloud atau penawaran pra-GA lainnya sebagaimana didefinisikan dalam Persyaratan Khusus Layanan) Google sehubungan dengan PHI, kecuali jika dinyatakan sebaliknya dalam pemberitahuan atau persyaratan lain dari penawaran tersebut.

Praktik terbaik teknis yang direkomendasikan:

Gunakan praktik terbaik IAM saat mengonfigurasi siapa yang memiliki akses ke project Anda. Secara khusus, karena akun layanan dapat digunakan untuk mengakses resource, pastikan bahwa akses ke akun layanan dan kunci akun layanan tersebut dikontrol dengan ketat.
Tentukan apakah organisasi Anda memiliki persyaratan enkripsi di luar yang diwajibkan oleh aturan keamanan HIPAA. Semua konten pelanggan dienkripsi dalam penyimpanan saat berada di Google Cloud. Lihat info layanan enkripsi kami untuk mengetahui pengecualian dan detail lebih lanjut.
Jika Anda menggunakan Cloud Storage, pertimbangkan untuk mengaktifkan Pembuatan Versi Objek guna menyediakan arsip untuk data tersebut dan memungkinkan dilakukannya pembatalan penghapusan jika terjadi penghapusan data secara tidak disengaja.
Konfigurasikan tujuan ekspor log audit. Kami sangat menganjurkan pengeksporan log audit ke Cloud Storage untuk arsip jangka panjang serta ke BigQuery untuk segala keperluan analisis, pemantauan, dan/atau forensik. Pastikan Anda telah mengonfigurasi kontrol akses untuk tujuan yang sesuai dengan organisasi Anda.
Konfigurasikan kontrol akses untuk log yang sesuai dengan organisasi Anda. Log audit Aktivitas Admin dapat diakses oleh pengguna yang memiliki peran Logs Viewer, dan log audit Akses Data dapat diakses oleh pengguna yang memiliki peran Private Logs Viewer.
Tinjau log audit secara rutin untuk memastikan keamanan dan kepatuhan terhadap persyaratan. Seperti disebutkan di atas, BigQuery adalah platform yang sangat baik untuk analisis log skala besar. Anda juga dapat mempertimbangkan platform SIEM dari integrasi pihak ketiga kami untuk menunjukkan kepatuhan melalui analisis log.
Saat membuat atau mengonfigurasi indeks di Cloud Datastore; enkripsi semua PHI, kredensial keamanan, atau data sensitif lainnya, sebelum menggunakannya sebagai kunci entity, kunci properti terindeks, atau nilai properti terindeks untuk indeks tersebut. Baca dokumentasi Cloud Datastore untuk mengetahui informasi terkait cara membuat dan/atau mengonfigurasi indeks.
Saat membuat atau mengupdate agen Dialogflow, pastikan untuk tidak menyertakan PHI atau kredensial keamanan dalam definisi agen Anda, termasuk Intent, Frasa Latihan, dan Entity.
Saat membuat atau mengupdate resource, pastikan untuk tidak menyertakan PHI atau kredensial keamanan saat menentukan metadata resource, karena informasi tersebut dapat direkam dalam log. Log audit tidak pernah menyertakan konten data resource atau hasil kueri dalam log, tetapi metadata resource dapat direkam.
Ikuti praktik Identity Platform saat menggunakan Identity Platform untuk project Anda.
Saat menggunakan layanan Cloud Build untuk melakukan continuous integration atau pengembangan berkelanjutan, pastikan untuk tidak menyertakan atau menyimpan PHI dalam file konfigurasi build, file kontrol sumber, atau artefak build lainnya.
Jika Anda menggunakan Looker (Google Cloud core), individu yang ditunjuk oleh Pelanggan untuk mengelola instance atau resource harus meninjau konfigurasi keamanan pada aplikasi dan integrasi pihak ketiga, serta dokumentasi keamanan dan privasi terkait yang disediakan oleh aplikasi pihak ketiga.
Jika Anda menggunakan Looker (Google Cloud core) untuk membuat struktur kueri, pastikan untuk tidak menyertakan atau menyimpan PHI dalam logika bisnis yang digunakan untuk mengonfigurasi kueri tersebut. Baca Dokumentasi untuk mengetahui informasi terkait pembuatan struktur kueri.
Jika Anda menggunakan Cloud CDN, pastikan untuk tidak meminta caching PHI. Baca dokumentasi Cloud CDN untuk mengetahui informasi terkait cara mencegah caching.
Jika Anda menggunakan Cloud Speech-to-Text, dan telah menandatangani BAA dengan Google yang mencakup kewajiban PHI berdasarkan HIPAA, maka Anda tidak boleh mengikuti program logging data.
Jika Anda menggunakan Google Cloud VMware Engine, Anda bertanggung jawab untuk menyimpan log akses tingkat aplikasi sesuai dengan jangka waktu yang dibutuhkan guna memenuhi persyaratan HIPAA.
Saat mengonfigurasi tugas Sensitive Data Protection, pastikan semua data output ditulis ke target penyimpanan yang dikonfigurasikan sebagai bagian dari lingkungan Anda yang aman.
Tinjau dan ikuti panduan yang disediakan oleh Praktik Terbaik Secret Manager saat menyimpan secret di Secret Manager.
Artifact Registry mengenkripsi data dalam repositori menggunakan enkripsi default Google atau kunci enkripsi yang dikelola pelanggan (CMEK). Metadata, seperti nama artefak, dienkripsi dengan enkripsi default Google. Metadata ini dapat muncul di log dan bisa dilihat oleh semua pengguna yang memiliki izin peran Reader atau peran Viewer pada Artifact Registry. Ikuti panduan di artikel Mengamankan artefak untuk membantu mencegah akses yang tidak sah ke PHI.
Container Registry mengenkripsi data dalam bucket penyimpanan registry menggunakan enkripsi default Google atau CMEK. Ikuti praktik terbaik terkait container untuk membantu mencegah akses yang tidak sah ke PHI.
Jika Anda menggunakan Filestore, gunakan kontrol akses berbasis IP untuk membatasi VM Compute Engine dan Cluster GKE mana yang dapat mengakses instance Filestore. Sebaiknya gunakan cadangan agar pemulihan data dapat dilakukan jika terjadi penghapusan data yang tidak disengaja.
Jika Anda menggunakan Cloud Monitoring, jangan menyimpan PHI dalam metadata di Google Cloud, termasuk label metrik, label VM, anotasi resource GKE, atau judul/konten dasbor. Siapa pun yang diberi otorisasi oleh IAM untuk melihat konsol pemantauan atau menggunakan Cloud Monitoring API dapat melihat data ini. Jangan memasukkan PHI dalam konfigurasi Pemberitahuan (misalnya, nama tampilan atau dokumentasi) yang dapat dikirim ke penerima pemberitahuan.
Saat menggunakan reCAPTCHA Enterprise, pastikan untuk tidak menyertakan PHI dalam URI atau tindakan.
Jika Anda menggunakan Gateway API, header tidak boleh memiliki PHI atau PII.
Untuk Database Migration Service, gunakan metode konektivitas IP Pribadi, agar database yang berisi PHI tidak terekspos ke Internet.
Jika Anda menggunakan Dataplex, nilai kolom google.cloud.datacatalog.lineage.v1.Process.attributes dan google.cloud.datacatalog.lineage.v1.Run.attributes tidak boleh berisi PHI atau PII.
Saat menggunakan Vertex AI Search, gunakan API regional dan lokasi resource untuk PHI.
Saat menggunakan Application Integration dan Integration Connectors, jangan menyertakan PII, PHI, atau informasi sensitif lainnya dalam Parameter Integrasi, Nama Koneksi, atau Konfigurasi Koneksi, karena informasi ini dapat direkam ke log. Konfigurasikan kontrol akses log jika payload yang diminta berisi data sensitif. Beberapa konektor berbasis file dan peristiwa berbasis webhook yang ditawarkan oleh Integration Connectors akan menyimpan data untuk sementara. Pelanggan diberi kontrol untuk mengenkripsi data tersebut dengan kunci yang mereka pilih menggunakan CMEK.

Produk yang Tercakup

BAA Google Cloud mencakup seluruh infrastruktur Google Cloud (semua region, semua zona, semua jalur jaringan, semua titik kehadiran), dan produk berikut:

Access Approval
Access Context Manager
Transparansi Akses
Pelabelan Data AI Platform
Pelatihan dan Prediksi AI Platform
AlloyDB untuk PostgreSQL
Gateway API
Apigee
App Engine
Application Integration
Artifact Registry
Assured Workloads
AutoML Natural Language
AutoML Tables
AutoML Translation
AutoML Video
AutoML Vision
Solusi Bare Metal
Batch
BigQuery
BigQuery Data Transfer Service
BigQuery Omni
Bigtable
Otorisasi Biner
Inventaris Aset Cloud
Cloud Backup and DR
Cloud Build
Cloud CDN
Cloud Composer
Konsol Cloud
Cloud Data Fusion
Cloud Deploy
Cloud Deployment Manager
Cloud DNS
Cloud Endpoints
Cloud Filestore
Cloud Functions
Cloud Healthcare API
Cloud HSM
Cloud Identity
Cloud IDS
Cloud Interconnect
Cloud Key Management Service
Cloud Life Sciences (sebelumnya disebut Google Genomics)
Cloud Load Balancing
Cloud Logging
Cloud Monitoring
Cloud NAT (Penafsiran Alamat Jaringan)
Cloud Natural Language API
Cloud Profiler
Cloud Router
Cloud Run (terkelola sepenuhnya)
Cloud Run for Anthos
Cloud Scheduler
Cloud Shell
Cloud Source Repositories
Cloud SQL
Cloud Storage
Cloud Tasks
Cloud Trace
Cloud Translation
Cloud Vision
Cloud VPN
Colab Enterprise
Compute Engine
Config Management
Connect
Contact Center AI
Contact Center AI Insights
Contact Center AI Agent Assist
Container Registry
Database Migration Service
Data Catalog
Dataflow
Dataform
Datalab
Dataplex
Dataproc
Datastore
Datastream
Dialogflow
Document AI
Document AI Warehouse
Eventarc
Firestore
AI Generatif di Vertex AI
GKE Hub
Aplikasi Google Cloud
Google Cloud Armor
Google Cloud Identity-Aware Proxy
Google Cloud VMware Engine (GCVE)
Google Kubernetes Engine
Healthcare Data Engine
Looker (Google Cloud core)
Looker Studio*
Identity & Access Management (IAM)
Identity Platform
Integration Connectors
IoT Core
Key Access Justifications (KAJ)
Layanan Terkelola untuk Microsoft Active Directory (AD)
Memorystore
Network Service Tiers
Persistent Disk
Pub/Sub
Risk Manager
reCAPTCHA Enterprise
Resource Manager API
Secret Manager
Security Command Center
Sensitive Data Protection
Service Consumer Management
Service Control
Direktori Layanan
Pengelolaan Layanan
Mesh Layanan
Spanner
Speech-to-Text
Storage Transfer Service
Text-to-Speech
Traffic Director
Transfer Appliance
Vertex AI Platform (sebelumnya disebut Vertex AI)
Vertex AI Search
Video Intelligence API
Virtual Private Cloud
Kontrol Layanan VPC
Web Security Scanner
Instance Vertex AI Workbench
Workflows

* Dengan ketentuan bahwa Pelanggan telah memilih agar Looker Studio diatur berdasarkan Perjanjian Google Cloud mereka.

Daftar ini diperbarui ketika produk baru tersedia untuk program HIPAA.

Fitur Unik

Praktik keamanan Google Cloud memungkinkan kami memiliki BAA HIPAA yang mencakup seluruh infrastruktur Google Cloud, bukan bagian yang disisihkan dari cloud kami. Hasilnya, Anda tidak dibatasi pada region tertentu yang memiliki manfaat skalabilitas, operasional, dan arsitektur. Anda juga dapat memanfaatkan redundansi layanan multi-regional serta kemampuan untuk menggunakan VM yang Dapat Diakhiri untuk mengurangi biaya.

Langkah-langkah keamanan dan kepatuhan yang memungkinkan kami untuk mendukung kepatuhan HIPAA tertanam kuat dalam infrastruktur, desain keamanan, dan produk kami. Karena itu, kami dapat menawarkan kepada pelanggan yang tunduk pada regulasi HIPAA produk yang sama pada harga yang sama dengan yang tersedia untuk semua pelanggan, termasuk diskon penggunaan berkelanjutan. Penyedia cloud publik lainnya membebankan biaya yang lebih mahal untuk cloud HIPAA mereka, tetapi kami tidak.

Kesimpulan

Google Cloud adalah infrastruktur cloud yang dapat digunakan pelanggan untuk menyimpan, menganalisis, dan mendapatkan insight dari informasi kesehatan secara aman, tanpa perlu mengkhawatirkan infrastruktur yang mendasarinya.