أنت الآن بصدد الاطّلاع على مستندات Apigee Edge.
انتقِل إلى
مستندات Apigee X. info
الامتثال لـ "قانون نقل التأمين الصحي والمسؤولية" (HIPAA) مع Apigee Edge
نحن نولي أهمية كبيرة لسلامة بيانات عملائنا وأمانها وتوفُّرها لهم بشكل دائم. لإثبات امتثالنا لمعايير الأمان في المجال، سعينا للحصول على شهادات أمان، مثل شهادة ISO 27001 وعمليات التدقيق من النوع الثاني SOC 2 وSOC 3. بالنسبة إلى العملاء الخاضعين لمتطلبات "قانون نقل التأمين الصحي والمسؤولية"، يمكن أن تساعد Apigee Edge أيضًا في الامتثال لهذا القانون.
بموجب "قانون نقل التأمين الصحي والمسؤولية"، تُصنَّف معلومات معيّنة عن صحة الفرد أو خدمات الرعاية الصحية التي يستفيد منها كمعلومات صحية محمية (PHI). على عملاء Apigee Edge الخاضعين لقانون نقل التأمين الصحي والمسؤولية والذين يريدون استخدام Apigee Edge مع المعلومات الصحية المحمية، توقيع اتفاقية شراكة أعمال (BAA) مع Google.
يكون عملاء Apigee Edge مسؤولين عن تحديد ما إذا كانوا خاضعين لمتطلبات "قانون نقل التأمين الصحي والمسؤولية"، وما إذا كانوا يستخدمون معلومات صحية محمية أو ينوون استخدامها في خدمات Google. إذا لم يوقّع العميل على "اتفاقية شراكة أعمال" مع Google، يجب ألا يستخدم معلومات صحية محمية في خدمات Google.
على المشرفين مراجعة "اتفاقية شراكة الأعمال" وقبولها قبل السماح باستخدام معلومات صحية محمية في خدمات Google.
لقد نشرنا دليل إعدادات قانون نقل التأمين الصحي والمسؤولية (HIPAA) الخاص بمنصة Apigee في هذا الموضوع لمساعدة العملاء في فهم كيفية تنظيم البيانات على خدمات Google عند التعامل مع معلومات صحية محمية. هذا الدليل موجّه إلى الموظفين في المؤسسات الذين يتحملون مسؤولية تنفيذ "قانون نقل التأمين الصحي والمسؤولية" والامتثال له من خلال Apigee Edge.
دليل إعداد "قانون نقل التأمين الصحي والمسؤولية" (HIPAA) في Edge Public Cloud
هذا الدليل مخصّص لتقديم المعلومات فقط. لا تهدف Apigee إلى أن تشكّل المعلومات أو الاقتراحات الواردة في هذا الدليل نصيحة قانونية. يتحمّل كل عميل مسؤولية تقييم استخدامه الخاص للخدمات بشكل مستقل بما يتناسب مع التزاماته بالامتثال للقوانين.
يجب أن يراجع العملاء الخاضعون لقانون نقل التأمين الصحي والمسؤولية (المعروف باسم HIPAA، بصيغته المعدّلة، بما في ذلك قانون تكنولوجيا المعلومات الصحية للاقتصاد والصحة السريرية (HITECH)) الذين اشتروا حزمة الامتثال لقانون HIPAA البنود التالية. تتوفّر هذه العناصر كخدمة ذاتية ضمن Edge ويمكن أن تساعد في دعم مؤسسة العميل (المؤسسة) في استيفاء التزاماتها المتعلقة بالامتثال لقانون HIPAA. المفهوم الشامل هو "توفّر Google الأمان للمنصة، ويوفّر العميل الأمان لبياناته".
| متطلبات قانون نقل التأمين الصحي والمسؤولية (HIPAA) | الأقسام |
|---|---|
| الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA): الأمان - التحكّم في الوصول | الاستخدام/الأذونات |
| الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA): عملية إدارة الأمان - مراجعة نشاط نظام المعلومات | مسار التدقيق |
| الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA): إدارة كلمات مرور الأمان | متطلبات كلمة المرور المعقّدة أو SAML |
| الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA): الأمان - عملية إدارة الأمان | المسح الضوئي لنقاط النهاية |
| الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA): الأمان - النقل | إعدادات بروتوكول أمان طبقة النقل (TLS) |
التتبُّع / تصحيح الأخطاء
Trace/Debug هي أداة لتحديد المشاكل وحلّها تتيح للمستخدم الاطّلاع على حالة طلب بيانات من واجهة برمجة التطبيقات ومحتواه أثناء معالجته من خلال "معالج الرسائل" في Apigee. "التتبُّع" و"تصحيح الأخطاء" هما اسمان للخدمة نفسها، ولكن يتم الوصول إليهما من خلال آليات مختلفة. Trace هو اسم هذه الخدمة داخل واجهة مستخدم Edge. Debug هو اسم الخدمة نفسها عند استخدامها من خلال طلبات البيانات من واجهة برمجة التطبيقات. إنّ استخدام المصطلح "تتبُّع" في هذا المستند صالح لكل من "التتبُّع" و"تصحيح الأخطاء".
أثناء جلسة "التتبُّع"، يتم فرض "إخفاء البيانات" إذا فعّله العميل وضبطه. يمكن لهذه الأداة حظر عرض البيانات أثناء عملية تتبُّع. راجِع قسم إخفاء البيانات أدناه.
يتم استخدام "خرائط قيم المفاتيح" (KVM) المشفّرة للعملاء الذين يحتاجون إلى الامتثال لقانون HIPAA. في حال استخدام مبدّل KVM مشفّر، سيظل بإمكانك استخدام Trace، ولكن لن تظهر بعض المتغيرات في شاشة عرض Trace. من الممكن اتّخاذ خطوات إضافية لعرض هذه المتغيّرات أيضًا أثناء عملية تتبُّع.
تتوفّر تعليمات تفصيلية حول استخدام Trace في مقالة استخدام أداة Trace.
تتوفّر تفاصيل حول خرائط قيم المفاتيح، بما في ذلك خرائط قيم المفاتيح المشفّرة، في التعامل مع خرائط قيم المفاتيح.
الاستخدام/الأذونات
تتم إدارة إذن الوصول إلى Trace من خلال نظام التحكم في الوصول المستند إلى الدور (RBAC) لحسابات المستخدمين ضمن Edge (الامتثال لقانون HIPAA: الأمان - التحكّم في الوصول). تتوفّر تعليمات مفصّلة حول استخدام نظام التحكّم المستند إلى الأدوار (RBAC) لمنح امتيازات Trace وإبطالها في المقالتَين منح الأدوار وإنشاء أدوار مخصّصة في واجهة المستخدم. تسمح أذونات التتبُّع للمستخدم بتشغيل عملية تتبُّع وإيقافها والوصول إلى الناتج من جلسة تتبُّع.
بما أنّ Trace يمكنه الوصول إلى حمولة طلبات البيانات من واجهة برمجة التطبيقات (المعروفة سابقًا باسم "نص الرسالة")، من المهم مراعاة المستخدمين الذين يمكنهم تشغيل Trace. بما أنّ إدارة المستخدمين هي من مسؤولية العميل، فإنّ منح أذونات Trace يقع أيضًا على عاتق العميل. بصفتها مالكة المنصة، يمكن لشركة Apigee إضافة مستخدم إلى مؤسسة أحد العملاء ومنحه الامتيازات. لا يتم استخدام هذه الإمكانية إلا بناءً على طلب العميل للحصول على الدعم في حال تبيّن أنّ خدمة العملاء لا تعمل بشكل صحيح، ويُعتقد أنّ مراجعة جلسة Trace ستوفّر أفضل المعلومات حول السبب الأساسي للمشكلة.
إخفاء البيانات
تمنع ميزة إخفاء البيانات عرض البيانات الحسّاسة أثناء جلسة "تتبُّع الأخطاء" أو "تصحيح الأخطاء" فقط، سواء في "تتبُّع الأخطاء" (واجهة مستخدم Edge) أو في الخلفية من خلال "تصحيح الأخطاء" (واجهة برمجة تطبيقات Edge). تتوفّر تفاصيل حول كيفية إعداد ميزة إخفاء البيانات في مقالة إخفاء البيانات.
لا يمنع إخفاء البيانات ظهورها في ملفات السجلّات وذاكرة التخزين المؤقت والإحصاءات وما إلى ذلك. للحصول على مساعدة بشأن إخفاء البيانات في السجلّات، ننصحك بإضافة نمط تعبير عادي إلى ملف logback.xml. يجب عادةً عدم كتابة البيانات الحساسة في ذاكرة التخزين المؤقت أو "إحصاءات Google" بدون مبرّر تجاري قوي ومراجعة من قِبل فِرق الأمان والفِرق القانونية.
ذاكرة التخزين المؤقت من المستوى 1 والمستوى 2
سيؤدي استخدام ذاكرة التخزين المؤقت من المستوى 1 إلى استخدام ذاكرة التخزين المؤقت من المستوى 2 تلقائيًا أيضًا. ذاكرة التخزين المؤقت من المستوى 1 هي "ذاكرة فقط"، بينما تكتب ذاكرة التخزين المؤقت من المستوى 2 البيانات على القرص للمزامنة بين عدة ذاكرات تخزين مؤقت من المستوى 1. ذاكرة التخزين المؤقت من المستوى الثاني هي التي تحافظ على مزامنة معالجات الرسائل المتعددة داخل منطقة وعلى مستوى العالم. لا يمكن حاليًا تفعيل ذاكرة التخزين المؤقت من المستوى 1 بدون ذاكرة تخزين مؤقت من المستوى 2. تكتب ذاكرة التخزين المؤقت من المستوى الثاني البيانات على القرص حتى يمكن مزامنتها مع معالجات الرسائل الأخرى الخاصة بمؤسسة العميل. تتوفّر تعليمات مفصّلة حول استخدام ذاكرة التخزين المؤقت في إضافة التخزين المؤقت والثبات.
مسار التدقيق
يمكن للعملاء مراجعة سجلّ التدقيق لجميع الأنشطة الإدارية التي تم تنفيذها داخل مؤسسة العميل، بما في ذلك استخدام Trace (الامتثال لقانون HIPAA: عملية إدارة الأمان - مراجعة نشاط نظام المعلومات). تتوفّر التعليمات التفصيلية هنا وفي مقالة استخدام أداة "التتبُّع".
متطلبات كلمات المرور المعقّدة أو SAML
بالنسبة إلى العملاء الذين عليهم الالتزام بمتطلبات قانون نقل التأمين الصحي والمسؤولية (HIPAA)، يتم ضبط كلمات مرور المستخدمين لتلبية المتطلبات المتقدّمة، مثل الطول والتعقيد ومدة الصلاحية. (الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA): إدارة كلمات المرور الآمنة)
يوفّر Edge أيضًا المصادقة المتعدّدة العوامل، كما هو موضّح في تفعيل المصادقة الثنائية لحسابك على Apigee، وSAML، كما هو موضّح في تفعيل مصادقة SAML في Edge، كبدائل لعناصر التحكّم في المصادقة.
أمان نقاط النهاية
فحص نقاط النهاية
يتحمّل عملاء Edge Cloud مسؤولية فحص نقاط نهاية واجهة برمجة التطبيقات واختبارها (يُطلق عليها أحيانًا اسم "مكوّنات وقت التشغيل") في Edge ( الامتثال لقانون نقل التأمين الصحي والمسؤولية: الأمان - عملية إدارة الأمان). يجب أن تغطي اختبارات العملاء خدمات خادم وكيل واجهة برمجة التطبيقات الفعلية المستضافة على Edge، حيث يتم إرسال عدد الزيارات إلى واجهة برمجة التطبيقات إلى Edge قبل معالجتها ثم تسليمها إلى مركز بيانات العميل. لا تتم الموافقة على اختبار الموارد المشتركة، مثل واجهة مستخدم بوابة الإدارة، للعملاء الفرديين (يتوفّر للعملاء تقرير تابع لجهة خارجية يغطي اختبار الخدمات المشتركة بموجب اتفاقية عدم إفصاح وبناءً على طلب).
يجب على العملاء اختبار نقاط نهاية واجهة برمجة التطبيقات، وننصحهم بذلك. لا تحظر اتفاقيتك مع Apigee اختبار نقاط نهاية واجهة برمجة التطبيقات، ولكنها تطلب منك عدم اختبار واجهة المستخدم المشترَكة للإدارة. مع ذلك، إذا كنت بحاجة إلى توضيح إضافي، يُرجى فتح طلب دعم يشير إلى الاختبار المخطط له. ويُرجى إرسال إشعار مسبق إلى Apigee حتى نتمكّن من التعرّف على عدد الزيارات التجريبية.
على العملاء الذين يختبرون نقاط النهاية البحث عن أي مشاكل خاصة بواجهة برمجة التطبيقات، وأي مشاكل متعلقة بخدمات Apigee، والتحقّق أيضًا من بروتوكول أمان طبقة النقل والعناصر الأخرى القابلة للإعداد. يجب إبلاغ Apigee بأي عناصر يتم العثور عليها وتكون مرتبطة بخدمات Apigee من خلال تذكرة دعم.
معظم المشاكل المتعلّقة بنقطة النهاية هي مشاكل يمكن للعملاء حلّها بأنفسهم، ويمكن حلّها من خلال مراجعة مستندات Edge. إذا كانت هناك عناصر غير واضحة بشأن كيفية إصلاحها، يُرجى فتح طلب للحصول على الدعم.
إعدادات بروتوكول أمان طبقة النقل (TLS)
يتحمّل العملاء مسؤولية تحديد نقاط نهاية TLS وتكوينها لوكلاء واجهة برمجة التطبيقات. هذه ميزة خدمة ذاتية في Edge. تختلف متطلبات العملاء بشأن التشفير والبروتوكول واختيارات الخوارزميات بشكل كبير وتكون خاصة بحالات الاستخدام الفردية. بما أنّ Apigee لا يعرف تفاصيل تصميم واجهة برمجة التطبيقات وحِزم البيانات الخاصة بكل عميل، يتحمّل العملاء مسؤولية تحديد التشفير المناسب للبيانات أثناء نقلها ( الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA): الأمان - الإرسال).
تتوفّر تعليمات مفصّلة حول إعداد بروتوكول أمان طبقة النقل (TLS) على TLS/SSL.
تخزين البيانات
لا يُشترط تخزين البيانات في Edge لكي يعمل بشكل صحيح. ومع ذلك، تتوفّر خدمات لتخزين البيانات في Edge. يمكن للعملاء اختيار استخدام ذاكرة التخزين المؤقت أو الإحصاءات لتخزين البيانات. ننصح بمراجعة عمليات الإعداد والسياسات وعمليات النشر من قِبل مشرفي العملاء لتجنُّب الاستخدام العرضي أو الضار لخدمات تخزين البيانات في Edge بطريقة غير متوافقة.
تشفير حمولة البيانات
لا يتم توفير أدوات تشفير البيانات للعملاء لاستخدامها داخل Edge. ومع ذلك، يمكن للعملاء تشفير البيانات قبل إرسالها إلى Edge. لا تمنع البيانات المشفّرة في الحمولة (أو نص الرسالة) Edge من العمل. قد لا تتمكّن بعض سياسات Edge من التفاعل مع البيانات إذا تلقّتها مشفّرة من العميل. على سبيل المثال، لا يمكن إجراء عملية تحويل إذا لم تكن البيانات نفسها متاحة لـ Edge لتغييرها. ومع ذلك، ستعمل السياسات الأخرى والسياسات والحِزم التي أنشأها العملاء حتى إذا كانت حمولة البيانات مشفّرة.
معلومات تكشف الهوية الشخصية في معرّفات الموارد المنتظمة (URI)
تجمع منصة التحليلات الموحّدة (UAP) من Apigee بيانات الإحصاءات، بما في ذلك أي معلومات صحية محمية أو بيانات حساسة أخرى مضمّنة في معرّف الموارد المنتظم (URI) لطلب بيانات من واجهة برمجة التطبيقات إلى Apigee Edge، وتحتفظ بها لمدة 13 شهرًا. تتوافق معلومات الصحة المحمية (PHI) في معرّف الموارد الموحّد (URI) مع معايير Fast Healthcare Interoperability Resources (FHIR)، وبالتالي تتوافق مع Apigee. يتم تشفير بيانات "إحصاءات Google" في "منصّة التطبيقات الشاملة" تلقائيًا أثناء عدم استخدامها.
لا تتوافق Apigee حاليًا مع ما يلي:
- إخفاء البيانات إلى UAP
- تغيير دورة الاحتفاظ بالبيانات
- إيقاف "حملات التطبيقات الشاملة"
- إزالة معرّف الموارد المنتظم (URI) من عملية جمع بيانات "حملات التطبيقات الشاملة"