Configurazione HIPAA

Controllo degli accessi

Implementa politiche e procedure tecniche per i sistemi informativi elettronici che gestiscono informazioni sanitarie protette elettroniche, per consentire l'accesso solo a quelle persone o programmi software a cui sono stati concessi i diritti di accesso.

Il SAML SSO di Notion si basa sullo standard SAML 2.0, collegando il tuo Identity Provider (IdP) e il tuo/i tuoi spazio/i di lavoro per un'esperienza di accesso più semplice e sicura. Notion supporta configurazioni ufficiali per SAML SSO con: Azure, Google, Gusto, Okta, OneLogin e Rippling.

Per iniziare a utilizzare SAML SSO con Notion, dovrai completare i seguenti passaggi:

• Verifica i domini:Per usare le funzionalità di sicurezza avanzate, devi verificare la proprietà del tuo dominio email. La procedura è automatizzata: aggiungi un record TXT al DNS del dominio per dimostrare che ne sei il proprietario.

• Abilita SAML SSO:In questo modo attivi la funzionalità e completi la configurazione. Per i dettagli, consulta questo articolo.

• Modifica il metodo di login predefinito:Quando abiliti SAML SSO per la prima volta, il metodo di login predefinito è `Qualsiasi metodo`: puoi accedere tramite SAML o con il metodo abituale. Se scegli `Solo SAML SSO`, applichi SAML come metodo di login per gli utenti gestiti del tuo spazio di lavoro con email aziendali verificate.

• Collega spazi di lavoro aggiuntivi:Se desideri configurare più di uno spazio di lavoro con SSO, puoi farlo contattando [email protected].

Una volta configurato correttamente, tutti i membri che accedono al tuo/ai tuoi spazio/i di lavoro dovranno utilizzare il dominio verificato e dovranno essere autenticati tramite il tuo identity provider. I proprietari di spazi di lavoro Enterprise possono aggirare il problema utilizzando un metodo di accesso alternativo in caso di errore dell'IdP/SAML SSO.

Identificazione univoca dell'utente

Assegna un nome e/o un numero univoco per identificare e tracciare l'identità dell'utente.

Notion dispone di un'API SCIM che può essere utilizzata per fornire, gestire e revocare l'accesso a membri e gruppi. I proprietari dello spazio di lavoro possono trovare la chiave API obbligatoria andando su Impostazioni → Sicurezza e identità → Configurazione SCIM e facendo clic per visualizzare il token.

Consulta la nostra documentazione SCIM per le informazioni più recenti su come si può interagire con l'API SCIM di Notion. Notion è compatibile con le applicazioni SCIM ufficiali di Google, Gusto, Okta, OneLogin e Rippling.

Procedura di accesso di emergenza

Stabilisci (e implementa, se necessario) procedure per ottenere le informazioni sanitarie protette elettroniche necessarie durante un'emergenza.

La ricerca nei contenuti offre ai proprietari di spazi di lavoro Enterprise visibilità sui contenuti dello spazio di lavoro per migliorare la governance dello spazio di lavoro e risolvere i problemi di accesso alle pagine. La ricerca nei contenuti ti consente di:

• Vedere chi ha accesso a una pagina
• Modificare le autorizzazioni di una pagina
• Scoprire e riassegnare pagine abbandonate da ex dipendenti

Puoi esportare una pagina, un database o l'intero spazio di lavoro Notion in qualsiasi momento.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Disconnessione automatica

Implementa procedure elettroniche che terminano una sessione elettronica dopo un tempo predeterminato di inattività.

Imposta la durata personalizzata della sessione: Per gli utenti gestiti nel piano Enterprise, Notion ha una durata della sessione predefinita di 180 giorni. Tuttavia, i proprietari dello spazio di lavoro possono personalizzare la durata della sessione da 1 ora a 180 giorni.

Forza la disconnessione degli utenti gestiti: Forza la disconnessione per singoli utenti o per tutti gli utenti dello spazio di lavoro contemporaneamente.

Forza la reimpostazione della password: Forza la reimpostazione della password per singoli utenti o per tutti gli utenti dello spazio di lavoro contemporaneamente.

Se rimuovi un utente tramite SCIM, verrà eliminato dallo spazio di lavoro e la sua sessione verrà terminata.

Controlli di audit

Implementa meccanismi hardware, software e/o procedurali che registrano ed esaminano l'attività nei sistemi informativi che contengono o utilizzano informazioni sanitarie protette elettroniche.

I proprietari di spazi di lavoro Enterprise hanno accesso a un registro di controllo tramite Impostazioni. Questo fornisce una panoramica di una vasta gamma di eventi che si sono verificati nello spazio di lavoro.

Questo può essere particolarmente utile per identificare potenziali problemi di sicurezza, indagare su comportamenti sospetti e risolvere problemi di accesso. Il registro di controllo dello spazio di lavoro può essere esportato in formato CSV.

I clienti Enterprise possono anche utilizzare le nostre connessioni con partner per la prevenzione della perdita di dati (DLP) per scoprire, classificare e proteggere i dati sensibili in Notion.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Controlli di integrità

Implementa politiche e procedure per proteggere le informazioni sanitarie protette elettroniche da alterazioni o distruzioni improprie.

Implementa meccanismi elettronici per corroborare che le informazioni sanitarie protette elettroniche non siano state alterate o distrutte in modo non autorizzato.

Implementa misure di sicurezza per garantire che le informazioni sanitarie protette elettroniche trasmesse elettronicamente non vengano modificate in modo improprio senza essere rilevate fino al momento dello smaltimento.

Disattiva la condivisione pubblica delle pagine: l'opzione `Condividi sul web` nel menu `Condividi` non sarà più disponibile nelle pagine di questo spazio di lavoro.

Disattiva ospiti: impedisci di invitare persone esterne allo spazio di lavoro nelle pagine. Puoi lasciare attivi gli ospiti se vuoi invitarli quando serve, ma ricorda che Notion non può essere usato per comunicare con pazienti, membri dei piani sanitari, familiari o datori di lavoro. Se devi abilitare gli ospiti, ti consigliamo di attivare le richieste degli ospiti: potrai approvare gli inviti e mantenere la conformità HIPAA.

Disattiva la funzione di spostare o duplicare pagine in altri spazi di lavoro: impedisci di spostare o duplicare pagine in altri spazi di lavoro tramite le azioni `Sposta a` o `Duplica`.

Disattiva l’export: Questo impedisce a chiunque di esportare in formato markdown, CSV o PDF.

Disattiva la creazione di spazi di lavoro: impedisci di creare nuovi spazi di lavoro senza approvazione.

Disattiva le estensioni di terze parti o usa una lista di autorizzazione: impedisci di aggiungere estensioni di terze parti non approvate al tuo spazio di lavoro Notion.

Disattiva l'accesso agli spazi di lavoro esterni: impedisci agli utenti gestiti di entrare o accedere a spazi di lavoro esterni alla tua organizzazione.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Autenticazione di persona o entità

Implementare procedure per verificare che una persona o un'entità che richiede l'accesso alle informazioni sanitarie protette (PHI) elettroniche sia quella dichiarata.

Disattiva le modifiche al profilo: impedisci agli utenti gestiti di modificare i dati del proprio profilo, per evitare che qualcuno si spacci per loro.

Gestione domini: Il dominio è quello dell'indirizzo email associato a un account Notion. La verifica del dominio consente ai proprietari dello spazio di lavoro di rivendicare la proprietà di un dominio, sbloccando le impostazioni di gestione domini.

Disattiva ospiti: impedisci di invitare persone esterne allo spazio di lavoro nelle pagine. Puoi lasciare attivi gli ospiti se vuoi invitarli quando serve, ma ricorda che Notion non può essere usato per comunicare con pazienti, membri dei piani sanitari, familiari o datori di lavoro. Se devi abilitare gli ospiti, ti consigliamo di attivare le richieste degli ospiti: potrai approvare gli inviti e mantenere la conformità HIPAA.

Sospendi o elimina un account di un utente gestito: Sospendi o elimina gli account degli utenti gestiti dalla dashboard di Gestione degli utenti.

Disattiva l'eliminazione degli account degli utenti gestiti: impedisci agli utenti gestiti di eliminare autonomamente i propri account.

Conservazione e smaltimento dei dati

Implementare politiche e procedure per gestire la disposizione finale delle informazioni sanitarie protette (PHI) elettroniche e/o dell'hardware o dei supporti elettronici su cui sono archiviate.

Le impostazioni personalizzate di conservazione dei dati consentono ai proprietari di spazi di lavoro Enterprise di controllare quando le pagine degli utenti vengono eliminate dal Cestino e per quanto tempo possono essere conservate in seguito.

Manteniamo dei backup del nostro database, il che ci consente di ripristinare un'istantanea dei tuoi contenuti negli ultimi 30 giorni, se necessario.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Sicurezza della trasmissione

Implementare misure di sicurezza tecniche per proteggersi dall'accesso non autorizzato
alle informazioni sanitarie protette (PHI) elettroniche trasmesse su una rete di comunicazione elettronica.

Implementare un meccanismo per crittografare le informazioni sanitarie protette (PHI) elettroniche ogni volta che lo si ritenga opportuno.

Crittografia a riposo: I dati dei clienti sono crittografati a riposo utilizzando AES-256. I dati dei clienti sono crittografati quando si trovano sulle reti interne di Notion, a riposo nel cloud, nelle tabelle del database e nei backup.

Crittografia in transito: I dati inviati in transito sono crittografati utilizzando TLS 1.2 o superiore.