Cumplimiento de la HIPAA en Google Cloud Platform

En esta guía, se aborda el cumplimiento de la HIPAA en Google Cloud Platform. El cumplimiento de la HIPAA para G Suite se trata por separado.

Renuncia de responsabilidad

Esta guía solo tiene fines informativos. La intención de Google no consiste en que la información ni las recomendaciones incluidas se consideren asesoramiento legal. Cada cliente es responsable de evaluar de manera independiente el uso particular que hace de los servicios según corresponda para satisfacer las obligaciones legales de cumplimiento normativo.

Público objetivo

Google Cloud Platform ayuda a cumplir con la Ley de Responsabilidad y Portabilidad de Seguros Médicos (conocida como HIPAA) a los clientes sujetos a los requisitos de esta, así como a los de sus enmiendas, incluidas las de la Ley de Tecnología de la Información de Salud Clínica y Económica (HITECH). Esta guía está destinada a los encargados de la seguridad y del cumplimiento, los administradores de TI y demás empleados responsables de la implementación y el cumplimiento de la HIPAA en Google Cloud Platform. Después de leer esta guía, comprenderás qué hace Google para respaldar el cumplimiento de esta ley y cómo configurar los proyectos de Google Cloud para cumplir con las responsabilidades que conlleva.

Definiciones

Los términos en mayúscula que no están definidos en este documento tienen el mismo significado que se les atribuye en la ley HIPAA. Además, a los efectos de este documento, la Información de salud protegida (PHI) significa la PHI que Google recibe de una Entidad Cubierta.

Descripción general

Es importante tener en cuenta que no existen certificaciones reconocidas por el Departamento de Salud y Servicios Humanos (HHS) de EE.UU. para el cumplimiento de la HIPAA y que regirse por esta ley es una responsabilidad compartida entre el cliente y Google. En particular, la HIPAA exige el cumplimiento de la Regla de Seguridad, la Regla de Privacidad, y la Regla de Notificación por Incumplimientos. Google Cloud Platform apoya el cumplimiento de la ley HIPAA (dentro del alcance de un Acuerdo entre Socios Comerciales), pero, en última instancia, los clientes son los responsables de evaluar su propio cumplimiento de la HIPAA.

Google firmará Acuerdos entre Socios Comerciales con clientes según sea necesario, conforme a la HIPAA. Google Cloud Platform se creó bajo la orientación de un equipo de ingeniería de seguridad conformado por más de 700 personas, que es más grande que la mayoría de los equipos de seguridad locales. En el Informe de seguridad de Google y la Descripción general del diseño de seguridad de la infraestructura de Google, se presenta información específica sobre nuestro enfoque para la seguridad y la protección de los datos, incluidos detalles sobre los controles técnicos y organizativos acerca de cómo Google protege tus datos.

Además de documentar su enfoque para el diseño de seguridad y privacidad, Google se somete en forma periódica a diferentes auditorías de terceros para brindarles a los clientes verificación externa (los informes y los certificados aparecen en vínculos a continuación). Esto significa que un auditor independiente examinó los controles que existen en nuestros centros de datos, infraestructura y operaciones. Google realiza auditorías anuales para las siguientes normas:

  • SSAE16 / ISAE 3402 Tipo II. Este es el informe público asociado SOC 3. Se puede obtener el informe SOC 2 si se firma un NDA.
  • ISO 27001. Google obtuvo las certificaciones ISO 27001 para los sistemas, las aplicaciones, los empleados, las tecnologías, los procesos y los centros de datos que forman parte de Google Cloud Platform. Nuestra certificación ISO 27001 está disponible en la sección de cumplimiento de nuestro sitio web.
  • ISO 27017 sobre la seguridad en la nube. Este es un estándar internacional de práctica para los controles de seguridad de la información basado en ISO/IEC 27002 específicamente para los servicios en la nube. Nuestra certificación ISO 27017 está disponible en la sección de cumplimiento de nuestro sitio web.
  • ISO 27018 sobre la privacidad en la nube. Este es un estándar internacional de práctica para la protección de la información de identificación personal (PII) en servicios públicos de nube. Nuestra certificación ISO 27018 está disponible en la sección de cumplimiento de nuestro sitio web.
  • FedRAMP ATO
  • PCI DSS v3.2.1

Además de garantizar la confidencialidad, la integridad y la disponibilidad del entorno de Google, el enfoque integral de auditoría de terceros de Google está diseñado para proporcionar garantías de nuestro compromiso de brindar el mejor nivel de seguridad de la información. Los clientes pueden hacer referencia a estos informes de auditoría de terceros para evaluar de qué manera los productos de Google satisfacen sus necesidades de cumplimiento de la ley HIPAA.

Responsabilidades de los clientes

Una de las principales responsabilidades del cliente es determinar si es o no una Entidad Cubierta (o un Socio Comercial de una Entidad Cubierta) y, de ser así, si requiere un Acuerdo entre Socios Comerciales con Google a los efectos de sus interacciones.

Si bien Google proporciona una infraestructura segura que cumple con las normativas vigentes (como se describe anteriormente) para el almacenamiento y procesamiento de PHI, el cliente es responsable de garantizar que el entorno y las aplicaciones que construya en Google Cloud Platform estén configurados correctamente y cumplan con los requisitos de seguridad de acuerdo con las disposiciones de la ley HIPAA. Por lo general, esto se conoce como el modelo de seguridad compartida en la nube.

Prácticas recomendadas esenciales:

  • Formaliza un Acuerdo entre Socios Comerciales (BAA) de Google Cloud. Puedes solicitarlo directamente a tu administrador de cuentas.
  • Inhabilita los productos de Google Cloud que no estén incluidos de manera explícita en el BAA (consulta Productos cubiertos) o asegúrate de no usarlos cuando trabajes con PHI.

Prácticas técnicas recomendadas:

  • Usa las prácticas recomendadas de IAM para configurar quién tendrá acceso al proyecto. En especial, debido a que se pueden usar las cuentas de servicio para acceder a los recursos, asegúrate de que el acceso a esas cuentas y a las claves de la cuenta de servicio esté bien controlado.
  • Determina si tu organización tiene requisitos de encriptación que superan las exigencias de la Regla de seguridad de la HIPAA. Todo el contenido del cliente se encripta en reposo en Google Cloud Platform. Consulta nuestro informe de encriptación para conocer más detalles y las excepciones.
  • Si usas Cloud Storage, considera habilitar el Control de versiones de objetos a fin de proporcionar un archivo para esos datos y que se puedan recuperar en caso de que ocurra una eliminación accidental. Además, revisa y cumple los lineamientos proporcionados en las consideraciones de seguridad y de privacidad antes de usar gsutil para interactuar con Cloud Storage.
  • Configura los destinos para exportación de registros de auditoría. Te recomendamos exportar registros de auditoría a Cloud Storage para archivarlos a largo plazo, así como a BigQuery para cualquier necesidad analítica, de supervisión o legal. Asegúrate de configurar el control de acceso para los destinos correspondientes a tu organización.
  • Configura el control de acceso para los registros que mejor se ajuste a tu organización. Los usuarios con la función de visor de registros pueden acceder a los registros de auditoría de actividad del administrador, y los usuarios con la función de visor de registros privados pueden acceder a los registros de auditoría de acceso a los datos.
  • Revisa regularmente los registros de auditoría para garantizar la seguridad y el cumplimiento de los requisitos. Como se mencionó antes, BigQuery es una plataforma excelente para el análisis de registros a gran escala. Recomendamos que aproveches las plataformas SIEM de nuestras integraciones en terceros para demostrar el cumplimiento a través del análisis de registros.
  • Cuando crees o configures índices en Cloud Datastore, encripta toda PHI, credencial de seguridad y demás datos sensibles antes de usarlos, como la clave de la entidad, la clave de propiedad indexada o el valor de propiedad indexado para el índice. Consulta la documentación de Cloud Datastore para obtener más información sobre cómo crear o configurar índices.
  • Cuando crees o actualices agentes de Dialogflow Enterprise, asegúrate de no incluir PHI ni credenciales de seguridad en la definición de los agentes, incluidos Intents, Frases de entrenamiento y Entidades.
  • Cuando crees o actualices recursos, asegúrate de no incluir PHI ni credenciales de seguridad cuando especifiques los metadatos de un recurso, ya que se podría capturar esa información en los registros. Los registros de auditoría nunca incluyen contenidos de datos de un recurso ni los resultados de una consulta en los registros, pero se podrían capturar los metadatos del recurso.
  • Usa las prácticas de Identity Platform cuando utilices este servicio en tu proyecto.
  • Cuando uses los servicios de Cloud Build para el desarrollo o la integración continua, evita incluir o almacenar PHI en los archivos de configuración de compilación, los archivos de control de versiones o cualquier otro artefacto de compilación.
  • Si usas Cloud CDN, asegúrate de no solicitar almacenamiento en caché de la PHI. Consulta la documentación de Cloud CDN de modo que puedas obtener más información para evitar el almacenamiento en caché.
  • Si usas Cloud Speech-to-Text y firmaste una BAA con Google que cubre las obligaciones de la PHI en virtud de la ley HIPAA, entonces no debes participar en el programa de registro de datos.

Productos cubiertos

El BAA de Google Cloud rige la infraestructura de GCP en su totalidad (todas las regiones, zonas, rutas de red y puntos de presencia) y los productos que se detallan a continuación:

  • Transparencia de acceso
  • Apigee Edge
  • Apigee Hybrid
  • Prediction y AI Platform Training
  • App Engine
  • Autorización binaria
  • Notebooks de Cloud AI
  • Cloud Armor
  • Cloud Asset Inventory
  • Cloud AutoML Natural Language
  • Cloud AutoMLTables
  • Cloud AutoML Translation
  • Cloud AutoML Video
  • Cloud AutoML Vision
  • BigQuery
  • Servicio de transferencia de datos de BigQuery
  • Cloud Bigtable
  • Cloud Build
  • Cloud CDN
  • Cloud Console
  • App de Cloud Console
  • Cloud Composer
  • Cloud Data Fusion
  • Cloud Data Labeling Service
  • Cloud Data Loss Prevention
  • Cloud Dataflow
  • Cloud Datalab
  • Cloud Dataproc
  • Cloud Datastore
  • Cloud Debugger
  • Cloud Deployment Manager
  • Cloud DNS
  • Cloud Endpoints
  • Cloud Filestore
  • Cloud Firestore
  • Cloud Functions
  • Cloud Healthcare
  • Cloud HSM
  • Cloud Identity
  • Cloud Identity and Access Management
  • Cloud Identity-Aware Proxy
  • Cloud Interconnect
  • Cloud IoT Core
  • Cloud Key Management Service
  • Cloud Life Sciences (antes Google Genomics)
  • Cloud Load Balancing
  • Cloud Logging
  • Cloud Memorystore
  • API de Cloud Natural Language
  • Cloud NAT
  • Cloud Profiler
  • Cloud Pub/Sub
  • Cloud Resource Manager
  • Cloud Router
  • Cloud Run (completamente administrado)
  • Cloud Run for Anthos
  • Cloud Scheduler
  • Cloud Shell
  • Cloud Source Repositories
  • Cloud Spanner
  • Cloud Speech-to-Text
  • Cloud SQL
  • API de Administración de consumidores de servicios de Cloud
  • Cloud Storage
  • Servicio de transferencia de Cloud Storage
  • Cloud Tasks
  • Cloud Trace
  • API de Cloud Translation
  • Cloud Text-to-Speech
  • API de Cloud Video Intelligence
  • API de Cloud Vision
  • Cloud VPN
  • Compute Engine
  • Container Registry
  • Data Catalog
  • Dialogflow
  • Error Reporting
  • Control de servicios de Google
  • Administración de servicios de Google
  • Identity Platform
  • Kubernetes Engine
  • Niveles de servicio de red
  • Persistent Disk
  • Security Command Center
  • Directorio de servicios
  • Traffic Director
  • Servicio Transfer Appliance
  • Nube privada virtual (VPC)
  • Controles del servicio de VPC
  • Web Security Scanner

Consulta el sitio de cumplimiento de Google Cloud para obtener la lista más actual de productos cubiertos. Esta lista se actualiza cuando aparecen nuevos productos disponibles en el programa de la ley HIPAA.

Características únicas

Las prácticas de seguridad de GCP nos permiten contar con un BAA de la HIPAA que abarque la totalidad de la infraestructura de GCP y no una porción de la nube. Como resultado, no estás restringido a una región específica, lo cual tiene beneficios operativos y de arquitectura y escalabilidad. También puedes beneficiarte de la redundancia de servicio multirregional, además de la opción de usar VM interrumpibles para reducir costos.

Las medidas de seguridad y cumplimiento que nos permiten respaldar el cumplimiento de la ley HIPAA están arraigadas en nuestra infraestructura, nuestro diseño de seguridad y nuestros productos. Por ello, podemos ofrecerles a los clientes regulados por la ley HIPAA los mismos productos que están disponibles para el resto de los clientes al mismo precio, incluidos los descuentos por uso continuo. Otras nubes públicas cobran más dinero por la versión HIPAA; nosotros no.

Conclusión

Google Cloud Platform es la infraestructura de nube donde los clientes pueden almacenar, analizar y obtener estadísticas médicas de forma segura, sin tener que preocuparse por la infraestructura subyacente.

Recursos adicionales