Apigee Edge के साथ, हेल्थ इंश्योरेंस पोर्टेबिलिटी ऐंड अकाउंटेबिलिटी ऐक्ट (हिपा) का अनुपालन और कॉन्फ़िगरेशन

Apigee Edge का दस्तावेज़ देखा जा रहा है.
Apigee X के दस्तावेज़ पर जाएं. info

Apigee Edge के साथ हिपा का पालन करना

यह पक्का करना हमारी पहली प्राथमिकता है कि हमारे ग्राहकों का डेटा पूरी तरह सुरक्षित और हमेशा उपलब्ध रहे. इंडस्ट्री में सुरक्षा के स्टैंडर्ड के हमारे अनुपालन को दिखाने के लिए, Google ने सुरक्षा से जुड़े सर्टिफ़िकेट हासिल किए हैं. जैसे, ISO 27001 सर्टिफ़िकेट, SOC 2, और SOC 3 टाइप II ऑडिट. हेल्थ इंश्योरेंस पोर्टेबिलिटी ऐंड अकाउंटेबिलिटी ऐक्ट (हिपा) की ज़रूरी शर्तों के दायरे में आने वाले ग्राहकों के लिए, Apigee Edge, हिपा के मुताबिक काम कर सकता है.

हिपा के तहत, किसी व्यक्ति के स्वास्थ्य या स्वास्थ्य सेवाओं से जुड़ी कुछ जानकारी को स्वास्थ्य की सुरक्षित जानकारी (पीएचआई) के तौर पर रखा गया है. Apigee Edge के ऐसे ग्राहक जो हिपा से जुड़ी शर्तों के तहत आते हैं और पीएचआई के साथ Apigee Edge का इस्तेमाल करना चाहते हैं उन्हें Google के साथ कारोबार सहभागियों के बीच का समझौता (बीएए) पर हस्ताक्षर करने होंगे.

Apigee Edge के ग्राहकों को यह तय करना होता है कि वे हिपा से जुड़ी शर्तों के तहत आते हैं या नहीं. साथ ही, वे प्रोटेक्टेड हेल्थ इन्फ़ॉर्मेशन (पीएचआई) के साथ Google की सेवाओं का इस्तेमाल करते हैं या नहीं. जिन ग्राहकों ने Google के साथ बीएए पर हस्ताक्षर नहीं किए हैं उन्हें पीएचआई से जुड़ी Google की सेवाओं का इस्तेमाल नहीं करना चाहिए.

प्रोटेक्टेड हेल्थ इन्फ़ॉर्मेशन (पीएचआई) के साथ Google की सेवाओं का इस्तेमाल करने से पहले, एडमिन को बिज़नेस असोसिएट समझौते (बीएए) की समीक्षा करनी होगी और उसे स्वीकार करना होगा.

हमने इस विषय में, Apigee की HIPAA कॉन्फ़िगरेशन गाइड पब्लिश की है. इससे ग्राहकों को यह समझने में मदद मिलेगी कि पीएचआई को मैनेज करते समय, Google की सेवाओं पर डेटा को कैसे व्यवस्थित किया जाए. यह गाइड, संगठनों के उन कर्मचारियों के लिए है जो Apigee Edge के साथ हिपा को लागू करने और उसका पालन करने के लिए ज़िम्मेदार हैं.

Edge Public Cloud के लिए हिपा कॉन्फ़िगरेशन गाइड

यह गाइड सिर्फ़ जानकारी के लिए है. Apigee इस गाइड में दी गई जानकारी या सुझावों के आधार पर कानूनी सलाह नहीं देता है. हर ग्राहक, सेवाओं के इस्तेमाल से जुड़े कानूनों के अनुपालन के लिए खुद ज़िम्मेदार है. ग्राहक को खुद इस बात का आकलन करना चाहिए कि सेवाओं का इस्तेमाल करते समय, वह इन कानूनों का पालन कर रहा है या नहीं.

हेल्थ इंश्योरेंस पोर्टेबिलिटी ऐंड अकाउंटेबिलिटी ऐक्ट (जिसे हिपा के नाम से जाना जाता है. इसमें हेल्थ इन्फ़ॉर्मेशन टेक्नोलॉजी फ़ॉर इकनॉमिक ऐंड क्लिनिकल हेल्थ — एचआईटीईसीएच ऐक्ट के तहत किए गए संशोधन भी शामिल हैं) के तहत आने वाले उन खरीदारों को यहां दी गई जानकारी देखनी चाहिए जिन्होंने हिपा के मुताबिक काम करने वाला कंप्लायंस पैक खरीदा है. ये आइटम, Edge में सेल्फ़-सर्विस के तौर पर उपलब्ध हैं. इनसे ग्राहक संगठन (संगठन) को हिपा से जुड़ी शर्तों का पालन करने में मदद मिल सकती है. इसका मुख्य सिद्धांत यह है कि "Google प्लैटफ़ॉर्म को सुरक्षित करता है और ग्राहक अपने डेटा को सुरक्षित करता है."

हिपा से जुड़ी ज़रूरी शर्तें	सेक्शन
हिपा का अनुपालन: सुरक्षा - ऐक्सेस कंट्रोल	इस्तेमाल/अनुमतियां
हिपा का पालन करना: सुरक्षा मैनेजमेंट प्रोसेस - सूचना सिस्टम की गतिविधि की समीक्षा	ऑडिट ट्रेल
हिपा के नियमों का पालन: पासवर्ड मैनेजमेंट की सुरक्षा	ज़्यादा मुश्किल पासवर्ड की ज़रूरी शर्तें या एसएएमएल
हिपा का अनुपालन: सुरक्षा - सुरक्षा मैनेजमेंट की प्रोसेस	एंडपॉइंट स्कैनिंग
हिपा का पालन करना: सुरक्षा - ट्रांसमिशन	टीएलएस कॉन्फ़िगरेशन

ट्रेस / डीबग

ट्रेस/डीबग, समस्या हल करने वाला एक टूल है. इसकी मदद से उपयोगकर्ता, Apigee Message Processor के ज़रिए प्रोसेस किए जा रहे एपीआई कॉल की स्थिति और कॉन्टेंट देख सकता है. ट्रेस और डीबग, एक ही सेवा के दो नाम हैं. हालांकि, इन्हें अलग-अलग तरीकों से ऐक्सेस किया जाता है. Edge UI में, इस सेवा का नाम Trace है. एपीआई कॉल के ज़रिए इस्तेमाल करने पर, इस सेवा का नाम Debug होता है. इस दस्तावेज़ में Trace शब्द का इस्तेमाल, Trace और Debug, दोनों के लिए मान्य है.

ट्रेस सेशन के दौरान, "डेटा मास्किंग" लागू की जाती है. हालांकि, ऐसा तब होता है, जब ग्राहक ने इसे चालू और कॉन्फ़िगर किया हो. इस टूल की मदद से, ट्रेस के दौरान डेटा को दिखने से रोका जा सकता है. नीचे दिया गया डेटा मास्किंग सेक्शन देखें.

एन्क्रिप्ट किए गए कुंजी-वैल्यू मैप (केवीएम) का इस्तेमाल उन ग्राहकों के लिए किया जाता है जिन्हें हिपा का पालन करना होता है. एन्क्रिप्ट (सुरक्षित) किए गए केवीएम का इस्तेमाल करने पर, Trace का इस्तेमाल किया जा सकता है. हालांकि, कुछ वैरिएबल Trace की डिसप्ले स्क्रीन में नहीं दिखेंगे. ट्रेस के दौरान इन वैरिएबल को भी दिखाने के लिए, कुछ और तरीके अपनाए जा सकते हैं.

Trace का इस्तेमाल करने के बारे में ज़्यादा जानकारी के लिए, Trace टूल का इस्तेमाल करना लेख पढ़ें.

एन्क्रिप्ट किए गए केवीएम के साथ-साथ केवीएम के बारे में जानकारी, कुंजी वैल्यू मैप के साथ काम करना लेख में दी गई है.

इस्तेमाल/अनुमतियां

Edge में उपयोगकर्ता खातों के लिए, Trace का ऐक्सेस आरबीएसी (भूमिका के आधार पर ऐक्सेस कंट्रोल) सिस्टम के ज़रिए मैनेज किया जाता है (HIPAA का पालन करना: सुरक्षा - ऐक्सेस कंट्रोल). ट्रेस के खास अधिकार देने और वापस लेने के लिए, RBAC सिस्टम का इस्तेमाल करने के बारे में ज़्यादा जानकारी वाले निर्देश, भूमिकाएं असाइन करना और यूज़र इंटरफ़ेस (यूआई) में कस्टम भूमिकाएं बनाना लेख में उपलब्ध हैं. ट्रेस करने की अनुमतियों की मदद से, उपयोगकर्ता ट्रेस शुरू कर सकता है, ट्रेस करना बंद कर सकता है, और ट्रेस सेशन से मिले आउटपुट को ऐक्सेस कर सकता है.

Trace के पास एपीआई कॉल के पेलोड (जिसे पहले "मैसेज बॉडी" कहा जाता था) का ऐक्सेस होता है. इसलिए, यह जानना ज़रूरी है कि Trace को कौन ऐक्सेस कर सकता है. उपयोगकर्ता को मैनेज करने की ज़िम्मेदारी ग्राहक की होती है. इसलिए, ट्रेस करने की अनुमतियां देने की ज़िम्मेदारी भी ग्राहक की होती है. Apigee, प्लैटफ़ॉर्म का मालिक होने के नाते, किसी उपयोगकर्ता को ग्राहक संगठन में जोड़ सकता है और उसे अधिकार असाइन कर सकता है. इस सुविधा का इस्तेमाल सिर्फ़ ग्राहक के अनुरोध पर किया जाता है. ऐसा तब किया जाता है, जब ग्राहक सेवा काम नहीं कर रही हो और ट्रेस सेशन की समीक्षा करने से, समस्या की असल वजह के बारे में सबसे अच्छी जानकारी मिल सकती हो.

डेटा मास्क करना

डेटा मास्किंग की सुविधा, सिर्फ़ ट्रेस/डीबग सेशन के दौरान संवेदनशील डेटा को दिखने से रोकती है. ऐसा Trace (Edge UI) और Debug (Edge API) के ज़रिए बैकएंड, दोनों में होता है. मास्किंग सेट अप करने के तरीके के बारे में जानकारी, डेटा मास्क करना और छिपाना लेख में दी गई है.

डेटा मास्किंग से, लॉग फ़ाइलों, कैश मेमोरी, आंकड़ों वगैरह में डेटा दिखने से नहीं रोका जा सकता. लॉग में डेटा मास्किंग से जुड़ी मदद पाने के लिए, logback.xml फ़ाइल में कोई रेगुलर एक्सप्रेशन पैटर्न जोड़ें. आम तौर पर, संवेदनशील डेटा को कैश मेमोरी या ऐनलिटिक्स में नहीं लिखा जाना चाहिए. ऐसा तब तक नहीं किया जाना चाहिए, जब तक कि कारोबार के लिए ऐसा करना ज़रूरी न हो और आपकी सुरक्षा और कानूनी टीमों ने इसकी समीक्षा न कर ली हो.

L1 और L2 कैश मेमोरी

L1 कैश मेमोरी का इस्तेमाल करने पर, L2 कैश मेमोरी का इस्तेमाल अपने-आप हो जाएगा. L1 कैश मेमोरी सिर्फ़ "मेमोरी" होती है, जबकि L2 कैश मेमोरी, डिस्क पर डेटा लिखती है, ताकि कई L1 कैश मेमोरी के बीच डेटा को सिंक किया जा सके. L2 कैश मेमोरी किसी क्षेत्र और दुनिया भर में कई मैसेज प्रोसेसर को सिंक में रखती है. फ़िलहाल, L2 कैश मेमोरी के बिना L1 कैश मेमोरी की सुविधा चालू नहीं की जा सकती. L2 कैश मेमोरी डेटा को डिस्क में लिखती है, ताकि इसे ग्राहक के संगठन के अन्य मैसेज प्रोसेसर के साथ सिंक किया जा सके. कैश मेमोरी का इस्तेमाल करने के बारे में पूरी जानकारी यहां दी गई है: कैशिंग और डेटा सेव करने की सुविधा जोड़ना.

ऑडिट ट्रेल

ग्राहकों के पास, उनकी कंपनी में की गई सभी एडमिन गतिविधियों का ऑडिट ट्रेल देखने का विकल्प होता है. इसमें Trace का इस्तेमाल भी शामिल है (HIPAA का पालन करना: सुरक्षा मैनेजमेंट प्रोसेस - सूचना सिस्टम की गतिविधि की समीक्षा). ज़्यादा जानकारी वाले निर्देश यहां और ट्रेस टूल का इस्तेमाल करना लेख में उपलब्ध हैं.

जटिल पासवर्ड की ज़रूरी शर्तें या एसएएमएल

HIPAA के ग्राहकों के लिए, उपयोगकर्ता के पासवर्ड को बेहतर शर्तों के मुताबिक कॉन्फ़िगर किया जाता है. जैसे, पासवर्ड की लंबाई, जटिलता, और समयसीमा. (HIPAA compliance: Security Password Management)

Edge, पुष्टि करने के कंट्रोल के विकल्पों के तौर पर, बहु-स्तरीय पुष्टि करने की सुविधा भी देता है. इसके बारे में अपने Apigee खाते के लिए, दो तरीकों से पुष्टि करने की सुविधा चालू करना लेख में बताया गया है. साथ ही, एसएएमएल के बारे में Edge के लिए एसएएमएल पुष्टि करने की सुविधा चालू करना लेख में बताया गया है.

एंडपॉइंट सुरक्षा

एंडपॉइंट स्कैनिंग

Edge Cloud के ग्राहकों को, Edge में अपने एपीआई एंडपॉइंट (कभी-कभी इन्हें "रनटाइम कॉम्पोनेंट" भी कहा जाता है) की स्कैनिंग और टेस्टिंग करनी होती है ( HIPAA का पालन करना: सुरक्षा - सुरक्षा मैनेजमेंट प्रोसेस). ग्राहक की टेस्टिंग में, Edge पर होस्ट की गई एपीआई प्रॉक्सी सेवाओं को शामिल किया जाना चाहिए. यहां एपीआई ट्रैफ़िक को प्रोसेस करने से पहले, Edge पर भेजा जाता है. इसके बाद, इसे ग्राहक के डेटा सेंटर पर डिलीवर किया जाता है. शेयर किए गए संसाधनों, जैसे कि मैनेजमेंट पोर्टल के यूज़र इंटरफ़ेस (यूआई) की टेस्टिंग को अलग-अलग ग्राहकों के लिए मंज़ूरी नहीं दी गई है. हालांकि, तीसरे पक्ष की एक रिपोर्ट ग्राहकों के लिए उपलब्ध है. इसमें शेयर की गई सेवाओं की टेस्टिंग के बारे में बताया गया है. यह रिपोर्ट, ग्राहकों को गैर-खुलासा समझौते के तहत और अनुरोध करने पर उपलब्ध कराई जाती है.

ग्राहकों को अपने एपीआई एंडपॉइंट की जांच करनी चाहिए. साथ ही, उन्हें ऐसा करने के लिए प्रोत्साहित किया जाता है. Apigee के साथ हुए आपके कानूनी समझौते में, एपीआई एंडपॉइंट की टेस्टिंग पर पाबंदी नहीं है. हालांकि, इसमें आपसे शेयर किए गए मैनेजमेंट यूज़र इंटरफ़ेस (यूआई) की टेस्टिंग न करने का अनुरोध किया गया है. हालांकि, अगर आपको ज़्यादा जानकारी चाहिए, तो कृपया सहायता टिकट खोलें. इसमें अपनी प्लान की गई टेस्टिंग का रेफ़रंस दें. Apigee को पहले से सूचना देने पर हमें खुशी होगी, ताकि हमें टेस्टिंग ट्रैफ़िक के बारे में पता चल सके.

अपने एंडपॉइंट की जांच करने वाले ग्राहकों को, एपीआई से जुड़ी किसी भी समस्या, Apigee की सेवाओं से जुड़ी किसी भी समस्या की जांच करनी चाहिए. साथ ही, टीएलएस और कॉन्फ़िगर किए जा सकने वाले अन्य आइटम की भी जांच करनी चाहिए. Apigee की सेवाओं से जुड़े किसी भी आइटम के बारे में, Apigee को सहायता टिकट के ज़रिए सूचना दी जानी चाहिए.

एंडपॉइंट से जुड़े ज़्यादातर आइटम, ग्राहक की सेल्फ़-सर्विस वाले आइटम होते हैं. इन्हें Edge के दस्तावेज़ देखकर ठीक किया जा सकता है. अगर कुछ ऐसे आइटम हैं जिन्हें ठीक करने का तरीका समझ में नहीं आ रहा है, तो कृपया सहायता का अनुरोध करें.

TLS कॉन्फ़िगरेशन

एपीआई प्रॉक्सी के लिए, टीएलएस एंडपॉइंट तय करने और उन्हें कॉन्फ़िगर करने की ज़िम्मेदारी ग्राहकों की होती है. यह Edge में उपलब्ध एक सेल्फ़-सर्विस सुविधा है. ग्राहक की एन्क्रिप्शन, प्रोटोकॉल, और एल्गोरिदम चुनने से जुड़ी ज़रूरतें अलग-अलग होती हैं. साथ ही, ये इस्तेमाल के अलग-अलग उदाहरणों के हिसाब से तय होती हैं. Apigee को हर ग्राहक के एपीआई डिज़ाइन और डेटा पेलोड की जानकारी नहीं होती है. इसलिए, ग्राहकों की यह ज़िम्मेदारी है कि वे ट्रांज़िट स्थिति वाले डेटा के लिए सही एन्क्रिप्शन तय करें ( HIPAA का पालन करना: सुरक्षा - ट्रांसमिशन).

टीएलएस कॉन्फ़िगरेशन के बारे में ज़्यादा जानकारी, TLS/SSL पर उपलब्ध है.

डेटा स्टोरेज

Edge को सही तरीके से काम करने के लिए, Edge में डेटा सेव करने की ज़रूरत नहीं होती. हालांकि, Edge में डेटा सेव करने के लिए सेवाएं उपलब्ध हैं. ग्राहक, डेटा सेव करने के लिए कैश मेमोरी या आंकड़ों का इस्तेमाल कर सकते हैं. हमारा सुझाव है कि ग्राहक एडमिन, कॉन्फ़िगरेशन, नीतियों, और डिप्लॉयमेंट की समीक्षा करें. इससे, Edge में डेटा स्टोरेज सेवाओं का इस्तेमाल अनजाने में या गलत तरीके से होने से रोका जा सकेगा.

पेलोड का डेटा एन्क्रिप्ट (सुरक्षित) करना

Edge में इस्तेमाल करने के लिए, ग्राहकों को डेटा एन्क्रिप्ट करने वाले टूल नहीं दिए जाते. हालांकि, ग्राहक, Edge को डेटा भेजने से पहले उसे एन्क्रिप्ट (सुरक्षित) कर सकते हैं. Payload (या मैसेज के मुख्य हिस्से) में एन्क्रिप्ट (सुरक्षित) किए गए डेटा की वजह से, Edge के काम करने में कोई रुकावट नहीं आती. अगर ग्राहक से एन्क्रिप्ट (सुरक्षित) किया गया डेटा मिलता है, तो हो सकता है कि Edge की कुछ नीतियां उस डेटा के साथ इंटरैक्ट न कर पाएं. उदाहरण के लिए, अगर डेटा में बदलाव करने के लिए Edge के पास डेटा उपलब्ध नहीं है, तो ट्रांसफ़ॉर्मेशन नहीं किया जा सकता. हालांकि, डेटा पेलोड एन्क्रिप्ट किए जाने पर भी, अन्य नीतियां, ग्राहक की बनाई गई नीतियां, और बंडल काम करेंगे.

यूआरआई में मौजूद व्यक्तिगत पहचान से जुड़ी जानकारी

Apigee का यूनीफ़ाइड ऐनलिटिक्स प्लैटफ़ॉर्म (यूएपी), ऐनलिटिक्स डेटा कैप्चर करता है. इसमें एपीआई कॉल के यूनीफ़ॉर्म रिसोर्स आइडेंटिफ़ायर (यूआरआई) में शामिल कोई भी पीएचआई या अन्य संवेदनशील डेटा शामिल होता है. यह डेटा Apigee Edge में कैप्चर किया जाता है और इसे 13 महीनों तक सेव करके रखा जाता है. यूआरआई में मौजूद पीएचआई, फ़ास्ट हेल्थकेयर इंटरऑपरेबिलिटी रिसोर्स (एफ़एचआईआर) स्टैंडर्ड के साथ काम करता है. इसलिए, यह Apigee के साथ भी काम करता है. UAP में मौजूद Analytics डेटा, डिफ़ॉल्ट रूप से एन्क्रिप्ट (सुरक्षित) किया जाता है.

फ़िलहाल, Apigee इन सुविधाओं के साथ काम नहीं करता:

• UAP के लिए डेटा मास्क करने की सुविधा
• डेटा के रखरखाव की अवधि बदलना
• UAP से ऑप्ट आउट करना
• यूएपी की डेटा कलेक्शन प्रोसेस से यूआरआई को हटाना