Configuração da HIPAA

Controle de acesso

Implemente políticas e procedimentos técnicos para sistemas eletrônicos que mantenham informações confidenciais de saúde .Assim, você garante o acesso apenas às pessoas ou aos softwares com direitos de acesso autorizados.

A autenticação SAML do Notion é desenvolvido com base no padrão SAML 2.0, conectando seu provedor de identidade e seus espaços de trabalho com uma experiência de login mais fácil e mais segura. O Notion é compatível com as configurações oficiais de autenticação SAML com: Azure, Google, Gusto, Okta, OneLogin e Rippling.

Para começar a usar o SAML SSO com o Notion, é necessário concluir as seguintes etapas:

• Verificar o(s) seu(s) domínio(s):Para usar recursos avançados de segurança, é preciso confirmar a propriedade do domínio do seu e-mail. Este processo automatizado envolve a adição de um registro TXT no DNS do seu domínio para confirmar a sua propriedade.

• Habilitar SAML SSO:Isso ativará o recurso e concluirá a configuração. Para mais informações sobre a configuração de SAML SSO, consulte este artigo.

• Alterar o método de login padrão:Após habilitar o SAML SSO pela primeira vez, o método de login padrão passará a ser Qualquer método, permitindo que os usuários escolham entre fazer login via SAML ou com seu método normal de login. Ao definir como Apenas SAML SSO, o SAML passa a ser obrigatório como método de login para os usuários gerenciados do seu espaço de trabalho que tiverem e-mails corporativos verificados.

• Vincular outros espaços de trabalho:Caso você queira configurar o SSO para mais de um espaço de trabalho, envie um e-mail para [email protected].

Após a configuração, qualquer membro que entrar nos seus espaços de trabalho precisará utilizar o domínio verificado e fazer a autenticação pelo seu provedor de identidade. Os proprietários de espaços de trabalho com Plano Enterprise podem ignorar a autenticação SAML e usar outro método de login caso haja uma falha do provedor de identidade ou da autenticação SAML.

Identificação única do usuário

Atribua um nome e/ou número exclusivo para identificar e rastrear a identidade do usuário.

O Notion possui uma API SCIM que pode ser usada para provisionar, gerenciar e desaprovisionar membros e grupos. Os proprietários de espaços de trabalho podem encontrar a chave de API necessária acessando Configurações → Segurança e identidade → Configuração SCIM e clicando para visualizar o token.

Consulte nossa documentação SCIM para obter as informações mais recentes sobre como interagir com a API SCIM do Notion. O Notion oferece suporte a aplicativos SCIM oficiais com Google, Gusto, Okta, OneLogin e Rippling.

Procedimento de acesso de emergência

Estabeleça (e implemente conforme o caso) procedimentos para obter informações de saúde protegidas em formato eletrônico durante uma emergência.

A Busca de conteúdo fornece aos proprietários do espaço de trabalho Enterprise visibilidade sobre o conteúdo do espaço de trabalho para melhorar a governança do espaço de trabalho e resolver problemas de acesso à página. A Busca de conteúdo permite que você:

• visualize quem tem acesso a uma página
• Modifique as autorizações de uma página
• Descubra e reatribua páginas abandonadas de ex-funcionários

Você pode exportar uma página do Notion, uma base de dados ou todo o espaço de trabalho a qualquer momento.

Para o Notion Mail e o Notion Calendar, habilite a conformidade da HIPAA com o Google Workspace.

Logoff automático

Implemente procedimentos que encerrem sessões eletrônicas após um tempo pré-determinado de inatividade.

Definir duração personalizada da sessão: Para usuários gerenciados no Plano Enterprise, o Notion tem uma duração de sessão padrão de 180 dias. No entanto, os proprietários de espaços de trabalho podem personalizar a duração das sessões entre 1 hora e 180 dias.

Forçar logout de usuários gerenciados: force o logout de usuários individuais ou de todos os usuários do espaço de trabalho de uma só vez.

Forçar redefinição de senha: force a redefinição de senha de usuários individuais ou de todos os usuários do espaço de trabalho de uma só vez.

Se você desaprovisionar um usuário via SCIM, ele será removido do espaço de trabalho e sua sessão será encerrada.

Controles de auditoria

Implemente mecanismos de hardware, software e/ou procedimentais que registrem e examinem as atividades em sistemas de informações que contenham ou utilizem informações de saúde protegidas em formato eletrônico.

Proprietários do espaço de trabalho Enterprise têm acesso a um log de auditoria em Configurações. Isso fornece uma visão geral de uma grande variedade de eventos que ocorreram no espaço de trabalho.

Esse recurso pode ser especialmente útil para identificar possíveis problemas de segurança, investigar comportamentos suspeitos e resolver problemas de acesso. É possível exportar o registro de auditoria em formato CSV.

Os clientes do Plano Enterprise também podem usar nossas conexões de parceiros para a prevenção da perda de dados (DLP) visando descobrir, classificar e proteger dados confidenciais no Notion.

Para o Notion Mail e o Notion Calendar, habilite a conformidade da HIPAA com o Google Workspace.

Controles de integridade

Implemente políticas e procedimentos para proteger informações de saúde em formato eletrônico contra adulteração ou destruição.

Implemente mecanismos eletrônicos para confirmar que informações de saúde protegidas em formato eletrônico não foram adulteradas nem destruídas sem autorização.

Implemente medidas de segurança para garantir que informações de saúde protegidas em formato eletrônico e transmitidas por meio eletrônico não foram modificadas de forma inadequada e indetectada até serem descartadas.

Desabilitar o compartilhamento público de páginas: isso desabilita a opção Compartilhar na web no menu Compartilhar de todas as páginas deste espaço de trabalho.

Desabilitar convidados: isso impede que qualquer pessoa convide pessoas de fora do espaço de trabalho para qualquer página. Você não precisa usar esse controle se quiser convidar pessoas conforme necessário. Mas lembre-se de que o Notion não pode ser usado para se comunicar com pacientes, beneficiários de planos de saúde ou familiares e empregadores dessas pessoas. Se precisar habilitar convidados, recomendamos ativar solicitações de convidados. Assim, os convites passam por aprovação, e você pode receber convidados no espaço de trabalho sem deixar de cumprir a HIPAA.

Desabilitar movimentação ou duplicação de páginas para outros espaços de trabalho: essa opção impede que qualquer pessoa mova ou duplique páginas para outros espaços de trabalho por meio da ação Mover para ou Duplicar.

Desabilitar exportação: essa opção impede que qualquer pessoa exporte como markdown, CSV ou PDF.

Desabilitar criação de espaço de trabalho: essa opção impede que qualquer pessoa crie novos espaços de trabalho sem aprovação.

Desabilitar extensões de terceiros ou criar uma lista de permissões: isso impede que qualquer pessoa adicione extensões de terceiros não aprovadas ao seu espaço de trabalho do Notion.

Desabilitar o acesso a espaços de trabalho externos: essa opção impede que usuários gerenciados ingressem em espaços de trabalho fora da organização ou os acessem.

Para o Notion Mail e o Notion Calendar, habilite a conformidade da HIPAA com o Google Workspace.

Autenticação de pessoas físicas ou jurídicas

Implemente procedimentos para verificar a identidade de uma pessoa física ou jurídica que esteja tentando acessar informações de saúde protegidas em formato eletrônico.

Desabilitar mudanças no perfil: essa opção impede que usuários gerenciados alterem os dados dos próprios perfis para evitar que se passem por outras pessoas.

Gerenciamento de domínio: o domínio é a parte do endereço de e-mail associada a uma conta do Notion. A verificação de domínio permite que os proprietários de espaços de trabalho reivindiquem a posse de um domínio e acessem as configurações de gerenciamento de domínio.

Desabilitar convidados: isso impede que qualquer pessoa convide pessoas de fora do espaço de trabalho para qualquer página. Você não precisa usar esse controle se quiser convidar pessoas conforme necessário. Mas lembre-se de que o Notion não pode ser usado para se comunicar com pacientes, beneficiários de planos de saúde ou familiares e empregadores dessas pessoas. Se precisar habilitar convidados, recomendamos ativar solicitações de convidados. Assim, os convites passam por aprovação, e você pode receber convidados no espaço de trabalho sem deixar de cumprir a HIPAA.

Suspender ou excluir a conta de um usuário gerenciado: Suspenda ou exclua contas de usuários gerenciados no painel de controle de gerenciamento de usuários.

Desabilitar a exclusão de contas de usuários gerenciados: essa opção impede que os usuários gerenciados excluam suas contas por conta própria.

Retenção e descarte de dados

Implemente políticas e procedimentos que abordem o descarte final de informações confidenciais de saúde em formato eletrônico e/ou hardware ou mídias eletrônicas em que tais informações estão armazenadas.

As configurações personalizadas de retenção de dados permitem que proprietários de espaços de trabalho do Plano Enterprise controlem quando as páginas dos usuários são excluídas da lixeira e por quanto tempo ficarão retidas depois disso.

Nós mantemos backups das nossas bases de dados, então conseguimos restaurar conteúdos de até 30 dias antes da ação de exclusão.

Para o Notion Mail e o Notion Calendar, habilite a conformidade da HIPAA com o Google Workspace.

Segurança nas transmissões

Implemente medidas técnicas de segurança para ter proteção contra
acesso não autorizado a informações de saúde protegidas em formato eletrônico que estejam sendo transmitidas por uma rede eletrônica de comunicações.

Implemente um mecanismo para criptografar informações de saúde protegidas em formato eletrônico sempre que for adequado.

Criptografia em repouso: os dados de clientes são criptografados em repouso usando AES-256.Os dados de clientes são criptografados quando estão nas redes internas do Notion, em repouso no armazenamento em nuvem, tabelas de base de dados e backups.

Criptografia em trânsito: os dados enviados em trânsito são criptografados usando TLS 1.2 ou superior.