HIPAA-Konfiguration

Zugangskontrolle

Implementiere technische Richtlinien und Verfahren für elektronische Informationssysteme, die elektronisch geschützte Gesundheitsinformationen verwalten. So erhalten nur die Personen oder Softwareprogramme Zugriff, denen auch Zugriffsrechte gewährt wurden.

Die SAML SSO von Notion basiert auf dem SAML-2.0-Standard und verbindet deinen Identitätsanbieter (Identity Provider, IDP) und deine(n) Workspace(s), um die Anmeldung einfacher und sicherer zu gestalten. Notion unterstützt offizielle Konfigurationen für SAML SSO mit Azure, Google, Gusto, Okta, OneLogin und Rippling.

Führe die folgenden Schritte aus, um SAML SSO mit Notion zu verwenden:

• Domain(s) verifizieren:Um erweiterte Sicherheitsfunktionen nutzen zu können, musst du den Besitz deiner E-Mail-Domain verifizieren. Dies ist ein automatisierter Prozess, bei dem ein TXT-Eintrag zum DNS deiner Domain hinzugefügt wird, um deinen Besitz daran zu verifizieren.

• SAML SSO aktivieren:Damit wird die Funktion aktiviert und die Konfiguration abgeschlossen. Weitere Informationen zum Abschluss der SAML SSO-Konfiguration findest du in diesem Artikel.

• Standard-Anmeldemethode ändern:Wenn du SAML SSO zum ersten Mal aktivierst, wird die Standard-Anmeldemethode auf Beliebige Methode gesetzt. So können sich User über SAML oder mit der gewohnten Anmeldemethode anmelden. Mit Nur SAML SSO erzwingst du SAML als Anmeldemethode für verwaltete User mit verifizierten geschäftlichen E-Mail-Adressen in deinem Workspace.

• Zusätzliche Workspaces verknüpfen:Wenn du mehr als einen Workspace hast, den du mit SSO konfigurieren möchtest, kannst du dich an [email protected] wenden.

Nach der ordnungsgemäßen Konfiguration müssen alle Mitglieder, die sich bei deinen Workspaces anmelden, die verifizierte Domain verwenden und über deinen Identitätsanbieter authentifiziert werden. Workspace-Besitzer/-innen im Enterprise Plan können dies mit einer alternativer Anmeldemethode umgehen, falls ein IDP-/SAML-SSO-Fehler auftritt.

Eindeutige Benutzeridentifikation

Weise einen eindeutigen Namen und/oder eine eindeutige Nummer zu, um die Benutzeridentität zu identifizieren und zu tracken.

Notion verfügt über eine SCIM-API, mit der sich Mitglieder und Gruppen bereitstellen, verwalten und wieder entfernen lassen. Workspace-Besitzer/-innen finden den benötigten API-Schlüssel unter Einstellungen → Sicherheit und SAML → SCIM-Konfiguration. Dort können sie das Token mit einem Klick anzeigen.

In unserer SCIM-Dokumentation erfährst du, wie du die SCIM-API von Notion nutzen kannst. Notion unterstützt offizielle SCIM-Anwendungen von Google, Gusto, Okta, OneLogin und Rippling.

Notfallzugangsverfahren

Lege Verfahren fest (und implementiere diese bei Bedarf), um im Notfall die erforderlichen geschützten digitalen Gesundheitsinformationen zu erhalten.

Die Inhaltssuche bietet Workspace-Besitzer/-innen im Enterprise Plan Einblicke in die Workspace-Inhalte, um die Governance des Workspace zu verbessern und Probleme beim Seitenzugriff zu lösen. Mit der Inhaltssuche kannst du:

• Anzeigen lassen, wer Zugriff auf eine Seite hat
• Berechtigungen einer Seite ändern
• Verlassene Seiten von ehemaligen Mitgliedern auffinden und erneut zuweisen

Du kannst eine Notion-Seite, eine Datenbank oder den gesamten Workspace jederzeit exportieren.

Aktiviere für Notion Mail und Notion Calendar die HIPAA-Konformität mit Google Workspace.

Automatische Abmeldung

Implementiere digitale Verfahren, die eine digitale Sitzung nach einer vorher festgelegten Zeit der Inaktivität beenden.

Benutzerdefinierte Sitzungsdauer festlegen: Für verwaltete User im Enterprise Plan beträgt die Standardsitzungsdauer in Notion 180 Tage. Workspace-Besitzer/-innen können die Sitzungsdauer jedoch auf einen Wert zwischen 1 Stunde und 180 Tagen festlegen.

Abmeldung verwalteter User erzwingen: Erzwinge die Abmeldung einzelner User oder aller Workspace-User gleichzeitig.

Zurücksetzen des Passworts erzwingen: Erzwinge das Zurücksetzen des Passworts für einzelne Nutzer/-innen oder für alle Workspace-Nutzer/-innen gleichzeitig.

Wenn du die Bereitstellung für einen verwalteten User über SCIM aufhebst, wird die Person aus dem Workspace entfernt und die Sitzung beendet.

Auditkontrollen

Implementiere Hardware, Software und/oder Verfahrensmechanismen, die Aktivitäten in Informationssystemen aufzeichnen und untersuchen, welche geschützte digitale Gesundheitsinformationen enthalten oder verwenden.

Workspace-Besitzer/-innen haben über Einstellungen Zugriff auf ein Audit-Log. Es bietet einen Überblick über eine Vielzahl von Ereignissen, die im Workspace stattgefunden haben.

Dies kann besonders hilfreich sein, um potenzielle Sicherheitsprobleme zu identifizieren, verdächtiges Verhalten zu untersuchen und Zugriffsprobleme zu beheben. Das Workspace-Auditprotokolle lässt sich bequem im CSV-Format exportieren.

Kunden und Kundinnen mit Enterprise Plan können auch unsere Data Loss Prevention (DLP)-Partnerverbindungen nutzen, um sensible Daten in Notion zu erkennen, zu klassifizieren und zu schützen.

Aktiviere für Notion Mail und Notion Calendar die HIPAA-Konformität mit Google Workspace.

Integritätskontrollen

Setze Richtlinien und Verfahren zum Schutz elektronisch geschützter Gesundheitsinformationen vor unsachgemäßer Änderung oder Vernichtung um.

Setze elektronische Mechanismen ein, um zu bestätigen, dass elektronisch geschützte Gesundheitsinformationen nicht auf unbefugte Weise geändert oder vernichtet wurden.

Setze Sicherheitsmaßnahmen ein, um sicherzustellen, dass elektronisch übertragene elektronisch geschützte Gesundheitsinformationen bis zu ihrer Löschung nicht unentdeckt unsachgemäß verändert werden.

Öffentliches Teilen von Seiten abschalten: Damit wird die Option „Im Web teilen“ im Menü „Teilen“ auf allen Seiten dieses Workspaces abgeschaltet.

Gäste deaktivieren: Dies verhindert, dass jemand Personen außerhalb des Workspaces zu einer Seite einlädt. Du musst diese Einstellung nicht verwenden, wenn du bei Bedarf Gäste einladen möchtest. Beachte jedoch, dass Notion nicht zur Kommunikation mit Patient/-innen, Mitgliedern von Krankenversicherungsplänen oder deren Familien und Arbeitgebern verwendet werden darf. Wenn du Gäste aktivieren musst, empfehlen wir, Gastanfragen zu aktivieren. Dadurch wird ein Genehmigungsprozess eingeführt, sodass du Gäste in deinem Workspace haben und gleichzeitig die HIPAA-Konformität sicherstellen kannst.

Verschieben von Seiten deaktivieren und Duplizieren in andere Workspaces verhindern: Dies verhindert, dass jemand Seiten über die Aktion „Verschieben nach“ oder „Duplizieren“ in andere Workspaces verschieben oder duplizieren kann.

Export deaktivieren: Dies verhindert, dass jemand Seiten als Markdown, CSV oder PDF exportiert.

Workspace-Erstellung abschalten: So kann niemand ohne Genehmigung neue Workspaces erstellen.

Erweiterungen von Drittanbietern abschalten oder auf die Liste genehmigter Erweiterungen setzen: So kann niemand deinem Notion-Workspace nicht genehmigte Erweiterungen von Drittanbietern hinzufügen.

Zugriff auf externe Workspaces abschalten: Dies verhindert, dass verwaltete User externen Workspaces außerhalb deiner Organisation beitreten oder darauf zugreifen.

Aktiviere für Notion Mail und Notion Calendar die HIPAA-Konformität mit Google Workspace.

Authentifizierung von Personen oder Organisationen

Implementiere Verfahren, um zu überprüfen, ob Personen oder Organisationen, die Zugang zu geschützten digitalen Gesundheitsinformationen beantragen, auch wirklich diejenigen sind, für die sich ausgeben.

Profiländerungen abschalten: Dies verhindert, dass verwaltete User ihre eigenen Profilinformationen ändern, um Identitätsfälschungen vorzubeugen.

Domainverwaltung: Eine Domain ist die Domain der E-Mail-Adresse, die mit einem Notion-Konto verknüpft ist. Durch die Domain-Verifizierung können Workspace-Besitzer/-innen den Besitz einer Domain beanspruchen. Dadurch werden die Einstellungen für die Domainverwaltung freigeschaltet.

Gäste deaktivieren: So kann niemand Personen außerhalb des Workspaces zu einer Seite einladen. Wenn du bei Bedarf Gäste einladen möchtest, musst du diese Funktion nicht nutzen. Beachte aber, dass Notion nicht zur Kommunikation mit Patientinnen und Patienten, Mitgliedern von Krankenversicherungsplänen oder deren Familien und Arbeitgebern verwendet werden darf. Wenn du Gäste zulassen musst, empfehlen wir, Gastanfragen zu aktivieren. So kannst du Anfragen genehmigen und Gäste in deinem Workspace zulassen, ohne die HIPAA-Konformität zu gefährden.

Konto eines verwalteten Users sperren oder löschen: Sperre oder lösche Konten verwalteter User über das Dashboard der User-Verwaltung.

Löschen von Konten verwalteter User abschalten: Verhindere, dass verwaltete User ihre Konten selbst löschen.

Datenaufbewahrung und -entsorgung

Implementiere Richtlinien und Verfahren zur Regelung der endgültigen Entsorgung geschützter digitaler Gesundheitsinformationen und/oder der Hardware oder der digitalen Medien, auf denen sie gespeichert sind.

Mit den individuellen Einstellungen zur Datenspeicherung können Besitzer/-innen von Enterprise-Workspaces kontrollieren, wann die Seiten von Benutzer/-innen aus dem Papierkorb gelöscht werden und wie lange sie danach aufbewahrt werden können.

In unserer Datenbank legen wir Sicherheitskopien ab. So können wir bei Bedarf Snapshots deiner Inhalte aus den letzten 30 Tage wiederherstellen.

Aktiviere für Notion Mail und Notion Calendar die HIPAA-Konformität mit Google Workspace.

Übertragungssicherheit

Implementiere technische Sicherheitsmaßnahmen zum Schutz vor unbefugtem
Zugriff auf geschützte digitale Gesundheitsinformationen, die über ein digitales Kommunikationsnetzwerk übertragen werden.

Implementiere einen Mechanismus zur Verschlüsselung geschützter digitaler Gesundheitsinformationen, wann immer dies für angemessen erachtet wird.

Verschlüsselung im Ruhezustand: Kundendaten werden im Ruhezustand mit AES-256 verschlüsselt. Die Kundendaten werden verschlüsselt, wenn sie sich in den internen Netzwerken von Notion befinden, sowie im Ruhezustand in Cloud-Speichern, Datenbanktabellen und Backups.

Verschlüsselung während der Übertragung: Während der Übertragung gesendete Daten werden mit TLS 1.2 oder höher verschlüsselt.