Apigee Edge के साथ, हेल्थ इंश्योरेंस पोर्टेबिलिटी ऐंड अकाउंटेबिलिटी ऐक्ट (हिपा) का अनुपालन और कॉन्फ़िगरेशन

Apigee Edge का दस्तावेज़ देखा जा रहा है.
Apigee X के दस्तावेज़ पर जाएं. जानकारी

Apigee Edge के साथ, हेल्थ इंश्योरेंस पोर्टेबिलिटी एंड अकाउंटेबिलिटी ऐक्ट (हिपा) का पालन

यह पक्का करना हमारी पहली प्राथमिकता है कि हमारे ग्राहकों का डेटा पूरी तरह सुरक्षित और हमेशा उपलब्ध रहे. इंडस्ट्री में सुरक्षा के स्टैंडर्ड के हमारे अनुपालन को दिखाने के लिए, Google ने सुरक्षा से जुड़े सर्टिफ़िकेशन हासिल किए हैं. जैसे, ISO 27001 सर्टिफ़िकेशन और SOC 2 और SOC 3 टाइप II ऑडिट. जिन ग्राहकों पर हेल्थ इंश्योरेंस पोर्टेबिलिटी ऐंड अकाउंटेबिलिटी ऐक्ट (हिपा) की ज़रूरी शर्तें लागू होती हैं उनके लिए, Apigee Edge भी हिपा का पालन करता है.

हिपा के तहत, किसी व्यक्ति के स्वास्थ्य या स्वास्थ्य सेवाओं से जुड़ी कुछ जानकारी को, स्वास्थ्य की सुरक्षित जानकारी (पीएचआई) के तौर पर रखा गया है. Apigee Edge के ऐसे ग्राहक जो हिपा के दायरे में आते हैं और जिन्हें पीएचआई के साथ Apigee Edge का इस्तेमाल करना है, उन्हें Google के साथ बिज़नेस असोसिएट के बीच के समझौते (बीएए) पर हस्ताक्षर करने होंगे.

Apigee Edge के ग्राहकों को यह तय करना होता है कि वे हिपा से जुड़ी शर्तों के तहत आते हैं या नहीं. साथ ही, वे प्रोटेक्टेड हेल्थ इन्फ़ॉर्मेशन (पीएचआई) के साथ Google की सेवाओं का इस्तेमाल करते हैं या नहीं. जिन ग्राहकों ने Google के साथ बीएए (BAA) पर हस्ताक्षर नहीं किए हैं उन्हें पीएचआई से जुड़े मामलों में, Google की सेवाओं का इस्तेमाल नहीं करना चाहिए.

एडमिन को पीएचआई के साथ Google की सेवाओं का इस्तेमाल करने से पहले, बीएए की समीक्षा करनी होगी और उसे स्वीकार करना होगा.

हमने इस विषय में Apigee की हिपा कॉन्फ़िगरेशन गाइड पब्लिश की है, ताकि ग्राहक यह समझ सकें कि पीएचआई को मैनेज करते समय, Google की सेवाओं पर डेटा को कैसे व्यवस्थित किया जाए. यह गाइड, उन संगठनों के कर्मचारियों के लिए है जो हेल्थ इंश्योरेंस पोर्टेबिलिटी ऐंड अकाउंटेबिलिटी ऐक्ट (हिपा) को लागू करने और Apigee Edge के साथ काम करने के लिए ज़िम्मेदार हैं.

Edge Public Cloud के लिए, हेल्थ इंश्योरेंस पोर्टेबिलिटी एंड अकाउंटेबिलिटी एक्ट (हिपा) के कॉन्फ़िगरेशन की गाइड

यह गाइड सिर्फ़ जानकारी के लिए है. Apigee ने इस गाइड में जानकारी और सुझाव दिए हैं, इन्हें कानूनी सलाह न समझा जाए. हर ग्राहक, सेवाओं के इस्तेमाल से जुड़े कानूनों के अनुपालन के लिए खुद ज़िम्मेदार है. ग्राहक को खुद इस बात का आकलन करना चाहिए कि सेवाओं का इस्तेमाल करते समय, वह इन कानूनों का पालन कर रहा है या नहीं.

हेल्थ इंश्योरेंस पोर्टेबिलिटी ऐंड अकाउंटेबिलिटी ऐक्ट (जिसे हिपा कहा जाता है. इसमें हेल्थ इन्फ़ॉर्मेशन टेक्नोलॉजी फ़ॉर इकनॉमिक ऐंड क्लिनिकल हेल्थ — HITECH ऐक्ट के तहत किए गए बदलाव भी शामिल हैं) के दायरे में आने वाले ग्राहकों को इन आइटम की समीक्षा करनी चाहिए. साथ ही, यह भी ज़रूरी है कि उन्होंने हिपा के मुताबिक काम करने के लिए ज़रूरी पैक खरीदा हो. ये आइटम, Edge में सेल्फ़-सर्विस के तौर पर उपलब्ध हैं. इनकी मदद से, ग्राहक के संगठन को हिपा से जुड़ी शर्तों का पालन करने में मदद मिल सकती है. इसकी मुख्य बात यह है कि "Google, प्लैटफ़ॉर्म को सुरक्षित रखता है और ग्राहक अपना डेटा सुरक्षित रखता है."

हिपा से जुड़ी ज़रूरी शर्तें	सेक्शन
हिपा का पालन: सुरक्षा - ऐक्सेस कंट्रोल	इस्तेमाल/अनुमतियां
हिपा का पालन: सुरक्षा मैनेजमेंट प्रोसेस -इंफ़ॉर्मेशन सिस्टम गतिविधि की समीक्षा	ऑडिट ट्रेल
एचआईपीएए का पालन: पासवर्ड की सुरक्षा मैनेज करना	पासवर्ड से जुड़ी ज़रूरी शर्तें या एसएएमएल
हिपा का पालन: सुरक्षा - सुरक्षा मैनेजमेंट की प्रोसेस	एंडपॉइंट स्कैनिंग
हिपा का पालन: सुरक्षा - डेटा ट्रांसमिशन	टीएलएस कॉन्फ़िगरेशन

ट्रेस / डीबग

ट्रेस/डीबग, समस्या हल करने वाला टूल है. इसकी मदद से, उपयोगकर्ता किसी एपीआई कॉल के स्टेटस और कॉन्टेंट को देख सकता है. ऐसा तब होता है, जब एपीआई कॉल को Apigee मैसेज प्रोसेसर के ज़रिए प्रोसेस किया जाता है. ट्रैक और डीबग, एक ही सेवा के दो नाम हैं. हालांकि, इन्हें अलग-अलग तरीकों से ऐक्सेस किया जाता है. Edge के यूज़र इंटरफ़ेस (यूआई) में, इस सेवा का नाम 'ट्रैस' है. एपीआई कॉल के ज़रिए इस्तेमाल किए जाने पर, डीबग उसी सेवा का नाम होता है. इस दस्तावेज़ में, ट्रैक और डीबग, दोनों के लिए ट्रैक शब्द का इस्तेमाल किया गया है.

अगर खरीदार ने "डेटा मास्किंग" की सुविधा चालू और कॉन्फ़िगर की है, तो ट्रेस सेशन के दौरान यह सुविधा लागू होती है. यह टूल, ट्रैक करने के दौरान डेटा को दिखने से रोक सकता है. नीचे दिया गया डेटा मास्किंग सेक्शन देखें.

एन्क्रिप्ट किए गए की वैल्यू मैप (केवीएम) का इस्तेमाल, उन ग्राहकों के लिए किया जाता है जिन्हें हिपा का पालन करना ज़रूरी है. एन्क्रिप्ट (सुरक्षित) किए गए KVM का इस्तेमाल करने पर भी, ट्रैक का इस्तेमाल किया जा सकता है. हालांकि, ट्रैक की डिसप्ले स्क्रीन में कुछ वैरिएबल नहीं दिखेंगे. ट्रैक के दौरान इन वैरिएबल को दिखाने के लिए, कुछ और चरण पूरे किए जा सकते हैं.

ट्रैक करने के टूल के इस्तेमाल के बारे में ज़्यादा जानकारी के लिए, ट्रैक करने के टूल का इस्तेमाल करना लेख पढ़ें.

एन्क्रिप्ट (सुरक्षित) किए गए केवीएम के साथ-साथ केवीएम के बारे में जानकारी, की-वैल्यू मैप के साथ काम करना पर उपलब्ध है.

इस्तेमाल/अनुमतियां

Edge में उपयोगकर्ता खातों के लिए, ट्रैक का ऐक्सेस, आरबीएसी (भूमिका के हिसाब से ऐक्सेस कंट्रोल) सिस्टम के ज़रिए मैनेज किया जाता है (एचआईपीए का पालन: सुरक्षा - ऐक्सेस कंट्रोल). ट्रैक करने के विशेषाधिकार देने और रद्द करने के लिए, आरबीएसी सिस्टम का इस्तेमाल करने के बारे में ज़्यादा जानकारी पाने के लिए, भूमिकाएं असाइन करना और यूज़र इंटरफ़ेस (यूआई) में कस्टम भूमिकाएं बनाना लेख पढ़ें. ट्रेस की अनुमतियों की मदद से, उपयोगकर्ता ट्रेस शुरू कर सकता है, ट्रेस को रोक सकता है, और ट्रेस सेशन का आउटपुट ऐक्सेस कर सकता है.

ट्रैकिंग टूल के पास एपीआई कॉल के पेलोड (जिसे "मैसेज बॉडी" कहा जाता है) का ऐक्सेस होता है. इसलिए, यह जानना ज़रूरी है कि ट्रैकिंग टूल चलाने का ऐक्सेस किसके पास है. उपयोगकर्ता मैनेजमेंट की ज़िम्मेदारी ग्राहक की होती है. इसलिए, ट्रैक करने की अनुमतियां देने की ज़िम्मेदारी भी ग्राहक की होती है. प्लैटफ़ॉर्म के मालिक के तौर पर, Apigee के पास किसी उपयोगकर्ता को ग्राहक के संगठन में जोड़ने और उसे ऐक्सेस की अनुमतियां असाइन करने की सुविधा होती है. इस सुविधा का इस्तेमाल सिर्फ़ तब किया जाता है, जब ग्राहक सहायता के लिए अनुरोध किया जाता है. ऐसा तब होता है, जब ऐसा लगता है कि ग्राहक सेवा ठीक से काम नहीं कर रही है और ट्रैक सेशन की समीक्षा करने से, समस्या की मुख्य वजह के बारे में सबसे अच्छी जानकारी मिलती है.

डेटा मास्किंग

डेटा मास्किंग की सुविधा, सिर्फ़ ट्रैक/डीबग सेशन के दौरान संवेदनशील डेटा को दिखने से रोकती है. यह सुविधा, ट्रैक (Edge यूज़र इंटरफ़ेस) और डीबग (Edge API) के बैकएंड, दोनों में काम करती है. मास्किंग को सेट अप करने का तरीका जानने के लिए, डेटा को मास्क करना और छिपाना लेख पढ़ें.

डेटा मास्किंग की सुविधा से, डेटा को लॉग फ़ाइलों, कैश मेमोरी, आंकड़ों वगैरह में दिखने से नहीं रोका जा सकता. लॉग में डेटा मास्क करने के लिए, logback.xml फ़ाइल में रेगुलर एक्सप्रेशन पैटर्न जोड़ें. आम तौर पर, संवेदनशील डेटा को कैश मेमोरी या ऐनलिटिक्स में तब तक नहीं डाला जाना चाहिए, जब तक कि कारोबार के लिए ज़रूरी वजह न हो और आपकी सुरक्षा और कानूनी टीम की समीक्षा न हो गई हो.

L1 और L2 कैश

L1 कैश मेमोरी का इस्तेमाल करने पर, L2 कैश मेमोरी का इस्तेमाल अपने-आप हो जाएगा. L1 कैश "सिर्फ़ मेमोरी" होता है, जबकि L2 कैश, एक से ज़्यादा L1 कैश के साथ सिंक करने के लिए, डिस्क पर डेटा लिखता है. एल2 कैश मेमोरी की मदद से, एक ही इलाके और दुनिया भर में कई मैसेज प्रोसेसर सिंक रहते हैं. फ़िलहाल, L2 कैश मेमोरी के बिना L1 कैश मेमोरी की सुविधा चालू नहीं की जा सकती. L2 कैश मेमोरी, डिस्क पर डेटा सेव करती है, ताकि ग्राहक के संगठन के लिए, मैसेज प्रोसेस करने वाले अन्य प्रोसेसर के साथ डेटा सिंक किया जा सके. कैश मेमोरी का इस्तेमाल करने के बारे में ज़्यादा जानकारी के लिए, कैश मेमोरी और डेटा को सेव रखने की सुविधा जोड़ना लेख पढ़ें.

ऑडिट ट्रेल

ग्राहक के पास, अपने संगठन में की गई सभी एडमिन ऐक्टिविटी के ऑडिट ट्रेल की समीक्षा करने का विकल्प होता है. इसमें ट्रेस का इस्तेमाल भी शामिल है (हिपा के अनुपालन के लिए: सुरक्षा मैनेजमेंट प्रोसेस - सूचना प्रणाली की गतिविधि की समीक्षा). ज़्यादा जानकारी के लिए, यहां और ट्रैक टूल का इस्तेमाल करना पर जाएं.

पासवर्ड से जुड़ी जटिल ज़रूरी शर्तें या एसएएमएल

एचआईपीएए के ग्राहकों के लिए, उपयोगकर्ता के पासवर्ड को बेहतर ज़रूरी शर्तों के हिसाब से कॉन्फ़िगर किया जाता है. जैसे, लंबाई, जटिलता, और पासवर्ड के बदलने की अवधि. (हिपा के मुताबिक: पासवर्ड मैनेज करने की सुरक्षा)

Edge, पुष्टि करने के कंट्रोल के विकल्प के तौर पर, कई तरीकों से पुष्टि करने की सुविधा भी देता है. इस सुविधा के बारे में अपने Apigee खाते के लिए, दो तरीकों से पुष्टि करने की सुविधा चालू करना लेख में बताया गया है. साथ ही, Edge के लिए एसएएमएल पुष्टि की सुविधा चालू करना लेख में, एसएएमएल के बारे में बताया गया है.

एंडपॉइंट की सुरक्षा

एंडपॉइंट स्कैनिंग

Edge Cloud के ग्राहकों को अपने एपीआई एंडपॉइंट (जिन्हें कभी-कभी "रनटाइम कॉम्पोनेंट" भी कहा जाता है) को स्कैन करने और उनकी जांच करने की ज़िम्मेदारी होती है. यह काम, Edge में किया जाता है ( हिपा का पालन: सुरक्षा - सुरक्षा मैनेजमेंट प्रोसेस). ग्राहक की जांच में, Edge पर होस्ट की गई एपीआई प्रॉक्सी सेवाओं को शामिल किया जाना चाहिए. यहां एपीआई ट्रैफ़िक को प्रोसेस करने से पहले, Edge में भेजा जाता है और फिर ग्राहक के डेटासेंटर में डिलीवर किया जाता है. शेयर किए गए संसाधनों, जैसे कि मैनेजमेंट पोर्टल के यूज़र इंटरफ़ेस (यूआई) की जांच करने की अनुमति, अलग-अलग ग्राहकों को नहीं दी जाती. शेयर की गई सेवाओं की जांच से जुड़ी तीसरे पक्ष की रिपोर्ट, ग्राहकों के लिए अनुरोध करने पर और गोपनीयता बनाए रखने के समझौते के तहत उपलब्ध होती है.

ग्राहकों को अपने एपीआई एंडपॉइंट की जांच करनी चाहिए. Apigee के साथ आपके समझौते में, एपीआई एंडपॉइंट की जांच करने पर पाबंदी नहीं है. हालांकि, इसमें आपसे शेयर किए गए मैनेजमेंट यूज़र इंटरफ़ेस की जांच न करने का अनुरोध किया गया है. हालांकि, अगर आपको और जानकारी चाहिए, तो कृपया अपनी योजना के मुताबिक की जाने वाली जांच के बारे में बताते हुए, सहायता टिकट खोलें. Apigee को पहले से सूचना देने पर, हमें टेस्टिंग ट्रैफ़िक के बारे में पता चलता है.

अपने एंडपॉइंट की जांच करने वाले ग्राहकों को एपीआई से जुड़ी समस्याओं और Apigee की सेवाओं से जुड़ी समस्याओं का पता लगाना चाहिए. साथ ही, उन्हें TLS और कॉन्फ़िगर किए जा सकने वाले अन्य आइटम की जांच भी करनी चाहिए. Apigee की सेवाओं से जुड़े किसी भी आइटम के बारे में, सहायता टिकट के ज़रिए Apigee को बताया जाना चाहिए.

एंडपॉइंट से जुड़े ज़्यादातर आइटम, ग्राहक के लिए खुद से सेवा देने वाले आइटम होते हैं. इन्हें ठीक करने के लिए, Edge के दस्तावेज़ों की समीक्षा करें. अगर आपको किसी आइटम को ठीक करने का तरीका नहीं पता है, तो कृपया सहायता टीम से संपर्क करें.

टीएलएस कॉन्फ़िगरेशन

एपीआई प्रोक्सी के लिए, अपने TLS एंडपॉइंट तय करने और उन्हें कॉन्फ़िगर करने की ज़िम्मेदारी ग्राहकों की होती है. यह Edge में मौजूद, सेल्फ़-सर्विस की सुविधा है. एन्क्रिप्शन, प्रोटोकॉल, और एल्गोरिदम के विकल्पों के लिए ग्राहकों की ज़रूरतें अलग-अलग होती हैं. ये ज़रूरतें, इस्तेमाल के अलग-अलग उदाहरणों के हिसाब से तय होती हैं. Apigee को हर ग्राहक के एपीआई डिज़ाइन और डेटा पेलोड की जानकारी नहीं होती. इसलिए, ट्रांज़िट में डेटा के लिए सही एन्क्रिप्शन तय करने की ज़िम्मेदारी ग्राहकों की होती है ( एचआईपीएए का पालन: सुरक्षा - ट्रांसमिशन).

TLS कॉन्फ़िगरेशन के बारे में ज़्यादा जानकारी पाने के लिए, TLS/SSL पर जाएं.

डेटा स्टोरेज

Edge के सही तरीके से काम करने के लिए, उसमें डेटा स्टोर करना ज़रूरी नहीं है. हालांकि, Edge में डेटा स्टोर करने के लिए सेवाएं उपलब्ध हैं. ग्राहक, डेटा स्टोरेज के लिए कैश मेमोरी या आंकड़ों का इस्तेमाल कर सकते हैं. हमारा सुझाव है कि ग्राहक एडमिन, कॉन्फ़िगरेशन, नीतियों, और डिप्लॉयमेंट की समीक्षा करें. इससे, Edge में डेटा स्टोरेज सेवाओं का गलत तरीके से इस्तेमाल होने से बचा जा सकता है.

पेलोड का डेटा एन्क्रिप्शन

Edge में डेटा एन्क्रिप्ट (सुरक्षित) करने वाले टूल, ग्राहकों के इस्तेमाल के लिए उपलब्ध नहीं हैं. हालांकि, ग्राहक Edge को डेटा भेजने से पहले, उसे एन्क्रिप्ट कर सकते हैं. पेलोड (या मैसेज के मुख्य हिस्से) में एन्क्रिप्ट (सुरक्षित) किया गया डेटा, Edge के काम करने पर कोई असर नहीं डालता. अगर ग्राहक ने डेटा को एन्क्रिप्ट (सुरक्षित) करके भेजा है, तो हो सकता है कि कुछ Edge नीतियां उस डेटा के साथ इंटरैक्ट न कर पाएं. उदाहरण के लिए, अगर Edge के पास डेटा बदलने के लिए उपलब्ध नहीं है, तो ट्रांसफ़ॉर्मेशन नहीं किया जा सकता. हालांकि, डेटा पेलोड एन्क्रिप्ट होने पर भी, अन्य नीतियां, ग्राहक की बनाई गई नीतियां, और बंडल काम करेंगे.

यूआरआई में व्यक्तिगत पहचान से जुड़ी जानकारी

Apigee का यूनिफ़ाइड ऐनलिटिक्स प्लैटफ़ॉर्म (यूएपी), ऐनलिटिक्स डेटा कैप्चर करता है. इसमें, Apigee Edge में किसी एपीआई कॉल के यूनिफ़ॉर्म रिसॉर्स आइडेंटिफ़ायर (यूआरआई) में शामिल, किसी भी तरह का व्यक्तिगत स्वास्थ्य जानकारी (पीएचआई) या अन्य संवेदनशील डेटा शामिल होता है. साथ ही, इसे 13 महीने तक सेव रखा जाता है. यूआरआई में मौजूद व्यक्तिगत स्वास्थ्य जानकारी, फ़ास्ट हेल्थकेयर इंटरऑपरेबिलिटी रिसोर्स (एफ़एचआईआर) स्टैंडर्ड के मुताबिक होती है. इसलिए, Apigee पर भी यह काम करती है. UAP में मौजूद Analytics डेटा, डिफ़ॉल्ट रूप से एन्क्रिप्ट (सुरक्षित) होता है.

फ़िलहाल, Apigee इनके साथ काम नहीं करता:

• यूएपी में डेटा मास्किंग
• डेटा के रखरखाव की अवधि बदलना
• यूएपी से ऑप्ट आउट करना
• UAP डेटा कलेक्शन से यूआरआई हटाना