HIPAA-konfigurasjon

Tilgangskontroll

Implementer tekniske retningslinjer og prosedyrer for elektroniske informasjonssystemer som håndterer elektronisk beskyttet helseinformasjon, slik at kun de personene eller programvarene med tildelt tilgang får adgang.

Notions SAML SSO er bygget på SAML 2.0-standarden, som kobler identitetsleverandøren (IdP) din og arbeidsområdet/-ene dine for en enklere og sikrere påloggingsopplevelse. Notion støtter offisielle konfigurasjoner for SAML SSO med: Azure, Google, Gusto, Okta, OneLogin og Rippling.

For å komme i gang med SAML SSO i Notion, må du fullføre følgende trinn:

• Verifisere domener:For å bruke avanserte sikkerhetsfunksjoner må du verifisere at du eier e-postdomenet ditt. Dette gjøres automatisk når du legger til en TXT-post i domenets DNS.

• Aktivere SAML SSO:Dette slår på funksjonen og fullfører oppsettet. Les denne artikkelen for å finne ut mer om hvordan du setter opp SAML SSO.

• Endre standard innloggingsmåte:Når SAML SSO aktiveres for første gang, settes standard innloggingsmåte til Alle metoder, noe som betyr at brukerne kan logge inn via SAML eller med sin vanlige innloggingsmåte. Hvis du setter den til Kun SAML SSO, blir SAML påkrevd som innloggingsmåte for administrerte brukere med verifiserte e-postadresser fra bedriften i arbeidsområdet ditt.

• Koble til flere arbeidsområder:Hvis du har mer enn ett arbeidsområde du vil konfigurere med SSO, kan du gjøre dette ved å kontakte [email protected].

Når alt er riktig konfigurert, må alle medlemmer som logger seg på arbeidsområdet/-ene dine, bruke det bekreftede domenet og autentiseres gjennom identitetsleverandøren din. Eiere av Enterprise-arbeidsområder kan omgå dette ved å bruke en alternativ påloggingsmetode i tilfelle feil med IdP/SAML SSO.

Unik brukeridentifikasjon

Tildel et unikt navn og/eller nummer for å identifisere og spore brukeridentitet.

Notion har et SCIM-API som kan brukes til å opprette, administrere og fjerne medlemmer og grupper. Eiere av arbeidsområder finner API-nøkkelen ved å gå til Innstillinger → Sikkerhet og identitet → SCIM-konfigurasjon og klikke for å vise tokenet.

Se SCIM-dokumentasjonen vår for oppdatert informasjon om hvordan du bruker SCIM-API-et til Notion. Notion støtter offisielle SCIM-applikasjoner fra Google, Gusto, Okta, OneLogin og Rippling.

Prosedyre for nødtilgang

Etabler (og implementer ved behov) prosedyrer for å innhente nødvendig elektronisk beskyttet helseinformasjon under en nødsituasjon.

Innholdssøk gir eiere av Enterprise-arbeidsområder innsyn i innhold i arbeidsområdet for å forbedre styringen av arbeidsområdet og løse problemer med sidetilgang. Innholdssøk lar deg:

• Se hvem som har tilgang til en side
• Endre tillatelsene til en side
• Oppdage og tildele forlatte sider fra tidligere ansatte på nytt

Du kan eksportere en Notion-side, database eller et helt arbeidsområde når som helst.

For Notion Mail og Notion Calendar, aktiver HIPAA-samsvar med Google Workspace.

Automatisk utlogging

Implementer elektroniske prosedyrer som avslutter en elektronisk økt etter en forhåndsbestemt tid med inaktivitet.

Angi egendefinert sesjonslengde: Standard sesjonslengde for administrerte brukere med Enterprise-abonnement er 180 dager. Eiere av arbeidsområder kan endre den til alt fra 1 time til 180 dager.

Tvinge administrerte brukere til å logge ut: Logg ut enkeltbrukere eller alle brukere i arbeidsområdet samtidig.

Kreve tilbakestilling av passord: Krev at enkeltbrukere eller alle brukere i arbeidsområdet tilbakestiller passordet sitt.

Hvis du fjerner tilgangen til en bruker via SCIM, blir vedkommende fjernet fra arbeidsområdet, og sesjonen avsluttes.

Revisjonskontroller

Implementer maskinvare-, programvare- og/eller prosedyremekanismer som registrerer og undersøker aktivitet i informasjonssystemer som inneholder eller bruker elektronisk beskyttet helseinformasjon.

Eiere av Enterprise-arbeidsområder har tilgang til en revisjonslogg via Innstillinger. Dette gir en oversikt over et bredt spekter av hendelser som har funnet sted i arbeidsområdet.

Dette kan være spesielt nyttig for å identifisere potensielle sikkerhetsproblemer, undersøke mistenkelig aktivitet og feilsøke tilgang. Revisjonsloggen for arbeidsområdet kan eksporteres i CSV-format.

Enterprise-kunder kan også benytte våre Data Loss Prevention (DLP) partner-tilkoblinger for å oppdage, klassifisere og beskytte sensitiv data i Notion.

For Notion Mail og Notion Calendar, aktiver HIPAA-samsvar med Google Workspace.

Integritetskontroller

Implementer retningslinjer og prosedyrer for å beskytte elektronisk beskyttet helseinformasjon mot utilbørlig endring eller ødeleggelse.

Implementer elektroniske mekanismer for å bekrefte at elektronisk beskyttet helseinformasjon ikke har blitt endret eller ødelagt på en uautorisert måte.

Implementer sikkerhetstiltak for å sikre at elektronisk overført elektronisk beskyttet helseinformasjon ikke blir utilbørlig endret uten oppdagelse før den slettes.

Deaktivere offentlig deling av sider: Dette deaktiverer alternativet Del på web i Del-menyen på alle sider i dette arbeidsområdet.

Deaktivere gjester: Dette hindrer alle i å invitere personer utenfor arbeidsområdet til sider. Du trenger ikke å bruke denne innstillingen hvis du vil invitere gjester ved behov, men merk at Notion ikke må brukes til å kommunisere med pasienter, medlemmer av helseforsikringsordninger eller familiene og arbeidsgiverne deres. Hvis du trenger å aktivere gjester, anbefaler vi at du slår på forespørsler om gjestetilgang. Da kan du ha gjester i arbeidsområdet etter godkjenning og samtidig overholde HIPAA.

Deaktivere flytting eller duplisering av sider til andre arbeidsområder: Dette hindrer alle i å flytte eller duplisere sider til andre arbeidsområder med handlingene Flytt til og Dupliser.

Deaktivere eksport: Dette hindrer alle i å eksportere til Markdown, CSV eller PDF.

Deaktivere opprettelse av arbeidsområder: Dette hindrer alle i å opprette nye arbeidsområder uten godkjenning.

Deaktivere tredjepartsutvidelser eller bruke en tillatelsesliste: Dette hindrer alle i å legge til tredjepartsutvidelser som ikke er godkjent, i Notion-arbeidsområdet ditt.

Deaktivere tilgang til eksterne arbeidsområder: Dette hindrer administrerte brukere i å bli medlem av eller få tilgang til arbeidsområder utenfor organisasjonen din.

For Notion Mail og Notion Calendar, aktiver HIPAA-samsvar med Google Workspace.

Autentisering av person eller enhet

Implementer prosedyrer for å verifisere at en person eller enhet som søker tilgang til elektronisk beskyttet helseinformasjon, er den de utgir seg for å være.

Deaktivere profilendringer: Dette hindrer administrerte brukere i å endre sin egen profilinformasjon og forebygger at noen utgir seg for å være dem.

Administrere domener: Et domene er delen av e-postadressen etter @ som er knyttet til en Notion-konto. Ved å verifisere eierskapet til et domene får eiere av arbeidsområder tilgang til innstillingene for domeneadministrasjon.

Deaktivere gjester: Dette hindrer alle i å invitere personer utenfor arbeidsområdet til sider. Du trenger ikke å bruke denne innstillingen hvis du vil invitere gjester ved behov, men merk at Notion ikke må brukes til å kommunisere med pasienter, medlemmer av helseforsikringsordninger eller familiene og arbeidsgiverne deres. Hvis du trenger å aktivere gjester, anbefaler vi at du slår på forespørsler om gjestetilgang. Da kan du ha gjester i arbeidsområdet etter godkjenning og samtidig overholde HIPAA.

Suspendere eller slette en administrert brukerkonto: Suspender eller slett administrerte brukerkontoer via dashbordet for brukeradministrasjon.

Deaktivere sletting av administrerte brukerkontoer: Dette hindrer administrerte brukere i å slette sine egne kontoer.

Oppbevaring og sletting av data

Implementer retningslinjer og prosedyrer for å håndtere den endelige disposisjonen av elektronisk PHI og/eller maskinvaren eller elektroniske medier som den er lagret på.

Egendefinerte innstillinger for dataoppbevaring lar eiere av Enterprise-arbeidsområde ha kontroll over når brukernes sider slettes fra Søppel, og hvor lenge de kan oppbevares etterpå.

Vi tar sikkerhetskopier av databasen vår, slik at vi kan gjenopprette et øyeblikksbilde av innholdet ditt de siste 30 dagene hvis du trenger det.

For Notion Mail og Notion Calendar, aktiver HIPAA-samsvar med Google Workspace.

Overføringssikkerhet

Implementer tekniske sikkerhetstiltak for å beskytte mot uautorisert
tilgang til elektronisk beskyttet helseinformasjon som overføres over et elektronisk kommunikasjonsnettverk.

Implementer en mekanisme for å kryptere elektronisk beskyttet helseinformasjon når det anses som hensiktsmessig.

Kryptering ved lagring: Kundedata krypteres ved lagring ved bruk av AES-256. Kundedata krypteres når de er på Notions interne nettverk, ved lagring i skylagring, database, og sikkerhetskopier.

Kryptering under overføring: Data som sendes under overføring, krypteres ved bruk av TLS 1.2 eller nyere.