Apigee Edge-এর সাথে HIPAA কমপ্লায়েন্স ও কনফিগারেশন

আপনি Apigee Edge ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশন দেখুন। তথ্য

Apigee Edge-এর মাধ্যমে HIPAA মেনে চলা

আমাদের গ্রাহকদের ডেটা নিরাপদ, সুরক্ষিত এবং সবসময় তাদের কাছে উপলভ্য আছে কিনা তা নিশ্চিত করা আমাদের সর্বোচ্চ অগ্রাধিকারগুলির মধ্যে একটি। ইন্ডাস্ট্রিতে নিরাপত্তা সংক্রান্ত স্ট্যান্ডার্ড মেনে চলার প্রমাণ হিসেবে, Google নিম্নলিখিত নিরাপত্তা সার্টিফিকেশন পেয়েছে: ISO 27001 সার্টিফিকেশন এবং SOC 2 এবং SOC 3 টাইপ II অডিট। যেসব গ্রাহক হেল্থ ইন্স্যুরেন্স পোর্টেবিলিটি অ্যান্ড অ্যাকাউন্টেবিলিটি অ্যাক্ট (HIPAA)-এর প্রয়োজনীয়তা সাপেক্ষে কাজ করেন, Apigee Edge HIPAA মেনে চলার ক্ষেত্রেও সহায়তা করতে পারে।

HIPAA-এর অধীনে, কোনও ব্যক্তির স্বাস্থ্য বা স্বাস্থ্যসেবা পরিষেবা সম্পর্কিত নির্দিষ্ট তথ্যকে সুরক্ষিত স্বাস্থ্য সংক্রান্ত তথ্য (PHI) হিসেবে শ্রেণীবদ্ধ করা হয়। যেসব Apigee Edge গ্রাহকদের HIPAA মেনে চলতে হয় এবং যারা PHI-এর সাথে Apigee Edge ব্যবহার করতে চান, তাদের Google-এর সাথে বিজনেস অ্যাসোসিয়েট এগ্রিমেন্ট (BAA) স্বাক্ষর করতে হবে।

Apigee Edge গ্রাহকদের দায়িত্ব হল তারা HIPAA প্রয়োজনীয়তা মেনে চলতে বাধ্য কিনা এবং তারা PHI-এর সাথে সম্পর্কিত Google পরিষেবা ব্যবহার করে বা করতে চায় কিনা তা নির্ধারণ করা। যেসব গ্রাহক Google-এর সাথে BAA স্বাক্ষর করেননি, তারা PHI-এর সাথে কানেক্ট করে Google পরিষেবা ব্যবহার করতে পারবেন না।

PHI-এর সাথে Google পরিষেবা ব্যবহার করার আগে অ্যাডমিনিস্ট্রেটরকে অবশ্যই BAA পর্যালোচনা করে সম্মতি দিতে হবে।

PHI ম্যানেজ করার সময় Google পরিষেবায় কীভাবে ডেটা সাজানো যায় তা গ্রাহকদের বুঝতে সাহায্য করতে, আমরা এই বিষয়ে Apigee HIPAA কনফিগারেশন গাইড প্রকাশ করেছি। এই নির্দেশিকা সেইসব সংস্থার কর্মীদের জন্য তৈরি করা হয়েছে যারা HIPAA প্রয়োগ ও Apigee Edge-এর সাথে মেনে চলার জন্য দায়ী।

Edge পাবলিক ক্লাউডের জন্য HIPAA কনফিগারেশন গাইড

এই নির্দেশিকা শুধুমাত্র তথ্যমূলক উদ্দেশ্যে ব্যবহার করা হয়। Apigee এই নির্দেশিকায় দেওয়া তথ্য বা সাজেশনকে আইনি পরামর্শ হিসেবে বিবেচনা করে না। প্রত্যেক গ্রাহক নিজের আইনি বাধ্যবাধকতা পূরণের জন্য উপযুক্ত হিসেবে পরিষেবাটির নিজস্ব নির্দিষ্ট ব্যবহার স্বাধীনভাবে মূল্যায়ন করার জন্য দায়ী।

যেসব গ্রাহক HIPAA কমপ্লায়েন্স প্যাক কিনেছেন তাদের হেল্থ ইন্স্যুরেন্স পোর্টেবিলিটি অ্যান্ড অ্যাকাউন্টেবিলিটি অ্যাক্ট (HIPAA নামে পরিচিত, এর মধ্যে হেল্থ ইনফরমেশন টেকনোলজি ফর ইকোনমিক অ্যান্ড ক্লিনিক্যাল হেল্থ — HITECH অ্যাক্ট সহ) অনুযায়ী নিম্নলিখিত আইটেম পর্যালোচনা করতে হবে। এইসব আইটেম Edge-এর মধ্যে সেল্ফ-সার্ভিস এবং HIPAA মেনে চলার বাধ্যবাধকতা পূরণে গ্রাহক প্রতিষ্ঠান (org)-কে সাহায্য করতে পারে। মূল ধারণা হল, "Google প্ল্যাটফর্ম সুরক্ষিত করে, গ্রাহক তার ডেটা সুরক্ষিত করেন।"

HIPAA সংক্রান্ত প্রয়োজনীয়তা	বিভাগ
HIPAA মেনে চলা: নিরাপত্তা - অ্যাক্সেস কন্ট্রোল	ব্যবহার/অনুমোদন
HIPAA সম্মতি: নিরাপত্তা ম্যানেজমেন্ট প্রসেস -তথ্য সিস্টেম অ্যাক্টিভিটি পর্যালোচনা	অডিট ট্রেল
HIPAA মেনে চলা: নিরাপত্তা পাসওয়ার্ড ম্যানেজমেন্ট	জটিল পাসওয়ার্ড সংক্রান্ত প্রয়োজনীয়তা বা SAML
HIPAA মেনে চলা: নিরাপত্তা - নিরাপত্তা ম্যানেজমেন্ট প্রসেস	এন্ডপয়েন্ট স্ক্যানিং
HIPAA মেনে চলা: নিরাপত্তা - ট্রান্সমিশন	TLS কনফিগারেশন

ট্রেস / ডিবাগ

Trace/Debug হল একটি সমস্যা সমাধানকারী টুল যা ব্যবহারকারীকে Apigee মেসেজ প্রসেসরের মাধ্যমে প্রসেস করার সময় API কলের স্ট্যাটাস এবং কন্টেন্ট দেখতে দেয়। Trace ও Debug হল একই পরিষেবার দুটি নাম, তবে এগুলি আলাদা আলাদা মেকানিজমের মাধ্যমে অ্যাক্সেস করা হয়। Edge UI-এর মধ্যে এই পরিষেবার নাম হল Trace। API কলের মাধ্যমে ব্যবহার করা হলে একই পরিষেবার নাম হল 'ডিবাগ'। এই ডকুমেন্টে Trace শব্দটি ব্যবহার করা Trace ও Debug, দু'টির ক্ষেত্রেই প্রযোজ্য।

ট্রেস সেশনের সময়, গ্রাহক চালু ও কনফিগার করলে "ডেটা মাস্কিং" প্রয়োগ করা হয়। ট্রেস চলাকালীন এই টুল ডেটা দেখানো ব্লক করতে পারে। নিচে দেওয়া ডেটা মাস্কিং বিভাগটি দেখুন।

যেসব গ্রাহকদের HIPAA মেনে চলতে হয় তাদের জন্য এনক্রিপ্টেড কী ভ্যালু ম্যাপ (KVM) ব্যবহার করা হয়। এনক্রিপ্ট করা KVM ব্যবহার করা হলে, Trace এখনও ব্যবহার করা যেতে পারে, তবে কিছু ভেরিয়েবল Trace ডিসপ্লে স্ক্রিনে দেখা যাবে না। Trace চলাকালীন এইসব ভেরিয়েবল দেখানোর জন্য অতিরিক্ত পদক্ষেপ নেওয়া সম্ভব।

Trace-এর ব্যবহার সংক্রান্ত বিস্তারিত নির্দেশাবলী Trace টুল ব্যবহার করা লিঙ্কে উপলভ্য।

এনক্রিপ্ট করা KVM সহ KVM-এর বিবরণ কী-ভ্যালু ম্যাপের সাথে কাজ করা লিঙ্কে উপলভ্য।

ব্যবহার/অনুমোদন

Edge-এর মধ্যে ব্যবহারকারীর অ্যাকাউন্টের জন্য RBAC (ভূমিকা-ভিত্তিক অ্যাক্সেস কন্ট্রোল) সিস্টেমের মাধ্যমে Trace-এ অ্যাক্সেস ম্যানেজ করা হয় (HIPAA সম্মতি: নিরাপত্তা - অ্যাক্সেস কন্ট্রোল)। Trace সংক্রান্ত বিশেষ সুবিধা দিতে ও প্রত্যাহার করতে RBAC সিস্টেম ব্যবহার করার বিষয়ে বিস্তারিত নির্দেশাবলী ভূমিকা অ্যাসাইন করা ও UI-তে কাস্টম ভূমিকা তৈরি করালিঙ্কে উপলভ্য। ট্রেস অনুমতি ব্যবহারকারীকে ট্রেস চালু করতে, ট্রেস বন্ধ করতে এবং ট্রেস সেশন থেকে আউটপুট অ্যাক্সেস করতে দেয়।

Trace-এর যেহেতু API কলের পেলোড (আগে "মেসেজ বডি" বলা হত) অ্যাক্সেস করার সুবিধা আছে, তাই Trace কে রান করতে দিতে হবে তা বিবেচনা করা গুরুত্বপূর্ণ। যেহেতু ব্যবহারকারী ম্যানেজমেন্ট হল গ্রাহকের দায়িত্ব, তাই Trace-এর অনুমতি দেওয়াও গ্রাহকের দায়িত্ব। প্ল্যাটফর্মের মালিক হিসেবে Apigee-র গ্রাহক সংস্থার সাথে ব্যবহারকারীকে যোগ করার এবং বিশেষ সুবিধা অ্যাসাইন করার ক্ষমতা আছে। এই ক্ষমতা শুধুমাত্র গ্রাহকের অনুরোধে ব্যবহার করা হয়। এমন পরিস্থিতিতে, যেখানে মনে হয় যে গ্রাহক পরিষেবা ব্যর্থ হচ্ছে এবং একটি ট্রেস সেশন পর্যালোচনা করলে মূল কারণ সম্পর্কে সেরা তথ্য পাওয়া যাবে বলে বিশ্বাস করা হয়।

ডেটা মাস্কিং

ডেটা মাস্কিং শুধুমাত্র Trace/Debug সেশনের সময় সংবেদনশীল ডেটা দেখাতে বাধা দেয়, Trace (Edge UI) এবং Debug (Edge API) উভয় ক্ষেত্রেই। কীভাবে মাস্কিং সেট-আপ করতে হয় তার বিবরণ এখানে উপলভ্য: ডেটা মাস্কিং ও লুকানো।

ডেটা মাস্কিং লগ ফাইল, ক্যাশে, অ্যানালিটিক্স ইত্যাদি থেকে ডেটা দেখা যাওয়া আটকাতে পারে না। লগ ফাইলে ডেটা মাস্কিং সংক্রান্ত সাহায্যের জন্য, logback.xml ফাইলে রেজেক্স প্যাটার্ন যোগ করার কথা বিবেচনা করুন। সংবেদনশীল ডেটা সাধারণত ক্যাশে বা অ্যানালিটিক্সে শক্তিশালী ব্যবসায়িক যুক্তি এবং আপনার নিরাপত্তা ও আইনি টিমের পর্যালোচনা ছাড়া লেখা উচিত নয়।

L1 ও L2 ক্যাশে

L1 ক্যাশে ব্যবহার করলে, L2 ক্যাশেও অটোমেটিক ব্যবহার করা হবে। L1 ক্যাশে হল "শুধুমাত্র মেমরি" অন্যদিকে, একাধিক L1 ক্যাশে জুড়ে সিঙ্ক্রোনাইজ করার জন্য L2 ক্যাশে ডিস্কে ডেটা লেখে। L2 ক্যাশে হল এমন একটি জিনিস যা কোনও অঞ্চল ও বিশ্বজুড়ে একাধিক মেসেজ প্রসেসরকে সিঙ্ক করে রাখে। L2 ক্যাশে না থাকলে L1 ক্যাশে চালু করা বর্তমানে সম্ভব নয়। L2 ক্যাশে ডিস্কে ডেটা লেখে যাতে গ্রাহকের সংস্থার জন্য অন্যান্য মেসেজ প্রসেসরের সাথে সিঙ্ক করা যায়। ক্যাশে ব্যবহার করার বিষয়ে বিস্তারিত নির্দেশাবলী ক্যাশিং ও পারসিস্টেন্স যোগ করা লিঙ্কে উপলভ্য।

অডিট ট্রেল

গ্রাহক, Trace (HIPAA কমপ্লায়েন্স: নিরাপত্তা ম্যানেজমেন্ট প্রসেস - তথ্য সিস্টেম অ্যাক্টিভিটি পর্যালোচনা) ব্যবহার করা সহ গ্রাহকের সংস্থার মধ্যে সম্পন্ন সমস্ত প্রশাসনিক অ্যাক্টিভিটির অডিট ট্রেল পর্যালোচনা করতে পারেন। বিস্তারিত নির্দেশাবলী এখানে উপলভ্য এবং ট্রেস টুল ব্যবহার করা লিঙ্কে দেওয়া আছে।

জটিল পাসওয়ার্ড সংক্রান্ত প্রয়োজনীয়তা বা SAML

HIPAA গ্রাহকদের জন্য, ব্যবহারকারীর পাসওয়ার্ড এমনভাবে কনফিগার করা হয় যাতে তা দৈর্ঘ্য, জটিলতা ও মেয়াদকালের মতো উন্নত প্রয়োজনীয়তা পূরণ করতে পারে। (HIPAA কমপ্লায়েন্স: নিরাপত্তা পাসওয়ার্ড ম্যানেজমেন্ট)

এছাড়াও, Edge বহু-স্তরীয় যাচাইকরণ অফার করে, যা আপনার Apigee অ্যাকাউন্টের জন্য দুই-ধাপে যাচাইকরণ চালু করুন লিঙ্কে বর্ণনা করা হয়েছে এবং SAML, যা Edge-এর জন্য SAML যাচাইকরণ চালু করা লিঙ্কে বর্ণনা করা হয়েছে, এগুলি যাচাইকরণ কন্ট্রোলের বিকল্প হিসেবে কাজ করে।

এন্ডপয়েন্ট নিরাপত্তা

এন্ডপয়েন্ট স্ক্যানিং

Edge Cloud গ্রাহকরা তাদের API এন্ডপয়েন্ট স্ক্যান ও পরীক্ষা করার জন্য দায়ী (কখনও কখনও "রানটাইম কম্পোনেন্ট" বলা হয়) Edge-এ ( HIPAA মেনে চলা: নিরাপত্তা - নিরাপত্তা ম্যানেজমেন্ট প্রসেস)। গ্রাহকের টেস্টিংয়ে এগুলি অন্তর্ভুক্ত থাকতে হবে: Edge-এ হোস্ট করা আসল API প্রক্সি পরিষেবা যেখানে API ট্রাফিক প্রসেস করার আগে Edge-এ পাঠানো হয় এবং তারপর গ্রাহকের ডেটা সেন্টারে ডেলিভার করা হয়। শেয়ার করা রিসোর্সের টেস্টিং, যেমন ম্যানেজমেন্ট পোর্টাল UI, স্বতন্ত্র গ্রাহকদের জন্য অনুমোদিত নয় (শেয়ার করা পরিষেবার টেস্টিং কভার করে এমন একটি থার্ড-পার্টি রিপোর্ট গ্রাহকদের কাছে একটি গোপনীয়তা চুক্তি এবং অনুরোধের ভিত্তিতে উপলভ্য)।

গ্রাহকদের API এন্ডপয়েন্ট পরীক্ষা করা উচিত এবং এটি করার জন্য তাদের উৎসাহিত করা হয়। আপনার সম্মতি Apigee আপনার API এন্ডপয়েন্ট পরীক্ষা করতে বাধা দেয় না, তবে শেয়ার করা ম্যানেজমেন্ট UI পরীক্ষা না করার অনুরোধ করে। তবে, আরও স্পষ্টীকরণের প্রয়োজন হলে, আপনার পরিকল্পিত পরীক্ষার রেফারেন্স সহ একটি সহায়তা টিকিট খুলুন। Apigee-কে আগে থেকে বিজ্ঞপ্তি দিলে ভাল হয়, যাতে আমরা পরীক্ষার ট্রাফিক সম্পর্কে সচেতন থাকতে পারি।

যেসব গ্রাহক তাদের এন্ডপয়েন্ট পরীক্ষা করছেন, তাদের API-নির্দিষ্ট সমস্যা, Apigee পরিষেবা সম্পর্কিত সমস্যা এবং TLS ও অন্যান্য কনফিগার করা যায় এমন আইটেম চেক করে দেখতে হবে। Apigee পরিষেবা সম্পর্কিত কোনও আইটেম খুঁজে পেলে, সহায়তা টিকিটের মাধ্যমে Apigee-কে জানাতে হবে।

এন্ডপয়েন্ট সম্পর্কিত বেশিরভাগ আইটেম হল গ্রাহকের সেল্ফ-সার্ভিস আইটেম এবং Edge ডকুমেন্টেশন পর্যালোচনা করে এগুলি ঠিক করা যেতে পারে। যদি এমন আইটেম থাকে যেগুলি কীভাবে ঠিক করতে হবে তা স্পষ্ট নয়, তাহলে সহায়তা অনুরোধ খুলুন।

TLS কনফিগারেশন

API প্রক্সির জন্য নিজস্ব TLS এন্ডপয়েন্ট নির্ধারণ ও কনফিগার করার দায়িত্ব গ্রাহকের। এটি Edge-এর একটি সেল্ফ-সার্ভিস ফিচার। এনক্রিপশন, প্রোটোকল ও অ্যালগরিদম বেছে নেওয়া সংক্রান্ত গ্রাহকের প্রয়োজনীয়তা ব্যাপকভাবে পরিবর্তনশীল এবং স্বতন্ত্র ব্যবহারের ক্ষেত্রে নির্দিষ্ট। Apigee প্রতিটি গ্রাহকের API ডিজাইন ও ডেটা পেলোডের বিবরণ জানে না বলে, ট্রানজিট ডেটার জন্য উপযুক্ত এনক্রিপশন নির্ধারণ করার দায়িত্ব গ্রাহকদের ( HIPAA মেনে চলা: সুরক্ষা - ট্রান্সমিশন)।

TLS কনফিগারেশন সংক্রান্ত বিস্তারিত নির্দেশাবলী এখানে উপলভ্য: TLS/SSL.

ডেটা স্টোরেজ

Edge-এর সঠিকভাবে কাজ করার জন্য Edge-এর মধ্যে ডেটা স্টোরেজ প্রয়োজন হয় না। তবে, Edge-এ ডেটা স্টোরেজের জন্য পরিষেবা উপলভ্য আছে। গ্রাহকরা ডেটা স্টোরেজের জন্য ক্যাশে বা অ্যানালিটিক্স ব্যবহার করার বিকল্প বেছে নিতে পারেন। কনফিগারেশন, নীতি ও ডেপ্লয়মেন্টের রিভিউ গ্রাহক অ্যাডমিনিস্ট্রেটরদের দ্বারা করা হলে, তা Edge-এ ডেটা স্টোরেজ পরিষেবার ভুলবশত বা ক্ষতিকর ব্যবহার এড়াতে সাহায্য করে।

পেলোডের ডেটা এনক্রিপশন

Edge-এর মধ্যে ব্যবহারের জন্য গ্রাহকদের ডেটা এনক্রিপশন টুল অফার করা হয় না। তবে, Edge-এ পাঠানোর আগে গ্রাহকরা ডেটা এনক্রিপ্ট করতে পারেন। পে-লোডে এনক্রিপ্ট করা ডেটা (বা মেসেজ বডি) Edge-এর কাজ করতে বাধা দেয় না। গ্রাহকের থেকে এনক্রিপ্ট করা ডেটা পেলে, কয়েকটি Edge নীতি সেটির সাথে ইন্টার‍্যাক্ট করতে পারবে না। যেমন, Edge-এর কাছে পরিবর্তন করার জন্য ডেটা উপলভ্য না থাকলে, কোনও ট্রান্সফর্মেশন সম্ভব নয়। কিন্তু ডেটা পেলোড এনক্রিপ্ট করা থাকলেও অন্যান্য নীতি এবং গ্রাহক-নির্মিত নীতি ও বান্ডেল কাজ করবে।

URI-তে PII

Apigee-এর ইউনিফায়েড অ্যানালিটিক্স প্ল্যাটফর্ম (UAP), Apigee Edge-এ API কলের ইউনিফর্ম রিসোর্স আইডেন্টিফায়ার (URI)-এ অন্তর্ভুক্ত যেকোনও PHI বা অন্যান্য সংবেদনশীল ডেটা সহ অ্যানালিটিক্স ডেটা ক্যাপচার করে এবং ১৩ মাস ধরে এটি রেখে দেয়। URI-তে PHI, Fast Healthcare Interoperability Resources (FHIR) স্ট্যান্ডার্ডের সাথে কাজ করে এবং তাই এটি Apigee-তে কাজ করে। UAP-তে Analytics ডেটা ডিফল্ট হিসেবে রেস্ট পিরিয়ডে এনক্রিপ্ট করা থাকে।

Apigee বর্তমানে এগুলির সাথে কাজ করে না:

• UAP-তে ডেটা মাস্কিং
• ডেটা রেখে দেওয়ার চক্র পরিবর্তন করা
• UAP থেকে বেরিয়ে আসা
• UAP ডেটা সংগ্রহ থেকে URI বাদ দেওয়া