HIPAA-konfiguration

Åtkomstkontroll

Implementera tekniska policyer och procedurer för elektroniska informationssystem som hanterar elektronisk skyddad hälsoinformation för att endast tillåta åtkomst för de personer eller programvaror som har beviljats åtkomsträttigheter.

Notions SAML SSO är byggd på SAML 2.0-standarden och kopplar samman din identitetsleverantör (IdP) och arbetsyta/arbetsytor för en enklare och säkrare inloggningsupplevelse. Notion stöder officiella konfigurationer för SAML SSO med: Azure, Google, Gusto, Okta, OneLogin och Rippling.

För att komma igång med SAML SSO i Notion behöver du slutföra följande steg:

• Verifiera e-postdomäner:För att använda avancerade säkerhetsfunktioner måste du verifiera att du äger e-postdomänen. Det sker automatiskt när du lägger till en TXT-post i domänens DNS-inställningar.

• Aktivera SAML SSO:Det aktiverar funktionen och slutför konfigurationen. Läs den här artikeln om du vill veta mer om hur du konfigurerar SAML SSO.

• Ändra standardmetod för inloggning:Första gången du aktiverar SAML SSO ställs standardmetoden in på Valfri metod. Användarna kan då logga in med SAML eller sin vanliga metod. Välj Endast SAML SSO för att kräva inloggning med SAML för hanterade användare med verifierade e-postadresser från företaget i arbetsytan.

• Koppla fler arbetsytor:Vill du konfigurera SSO för fler än en arbetsyta? Kontakta [email protected].

När allt är korrekt konfigurerat måste alla medlemmar som loggar in på din arbetsyta/dina arbetsytor använda den verifierade domänen och autentiseras via din identitetsleverantör. Ägare av Enterprise-arbetsytor kan kringgå detta genom att använda en alternativ inloggningsmetod om ett IdP/SAML SSO-fel skulle uppstå.

Unik användaridentifiering

Tilldela ett unikt namn och/eller nummer för att identifiera och spåra användaridentitet.

Notion har ett SCIM-API som du kan använda för att lägga till, hantera och ta bort medlemmar och grupper. Arbetsytans ägare hittar API-nyckeln under Inställningar → Säkerhet och identitet → SCIM-konfiguration. Klicka där för att visa token.

Läs vår SCIM-dokumentation för aktuell information om hur du använder Notions SCIM-API. Notion har stöd för officiella SCIM-appar för Google, Gusto, Okta, OneLogin och Rippling.

Procedur för nödtillgång

Upprätta (och implementera vid behov) rutiner för att erhålla nödvändig elektronisk skyddad hälsoinformation under en nödsituation.

Innehållssökning ger ägare av Enterprise-arbetsytor insyn i arbetsytans innehåll för att förbättra styrningen av arbetsytan och lösa problem med sidåtkomst. Innehållssökning gör att du kan:

• Se vem som har åtkomst till en sida
• Ändra behörigheter för en sida
• Upptäcka och tilldela om övergivna sidor från tidigare anställda

Du kan exportera en Notion-sida, databas eller hela arbetsytan när som helst.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Automatisk utloggning

Implementera elektroniska rutiner som avslutar en elektronisk session efter en förutbestämd tid av inaktivitet.

Anpassa sessionslängden: För hanterade användare med ett Enterprise-abonnemang är sessionslängden i Notion normalt 180 dagar. Arbetsytans ägare kan ändra den till mellan 1 timme och 180 dagar.

Tvinga fram utloggning för hanterade användare: Logga ut enskilda användare eller alla användare i arbetsytan samtidigt.

Tvinga fram lösenordsåterställning: Kräv att enskilda användare eller alla användare i arbetsytan återställer sina lösenord.

Om du tar bort en användare via SCIM tas personen bort från arbetsytan och sessionen avslutas.

Granskningskontroller

Implementera hårdvaru-, mjukvaru- och/eller procedurmekanismer som registrerar och granskar aktivitet i informationssystem som innehåller eller använder elektroniska skyddade hälsouppgifter.

Enterprise-arbetsytors ägare har åtkomst till en granskningslogg via Inställningar. Detta ger en översikt över ett stort antal händelser som har inträffat i arbetsytan.

Detta kan vara särskilt användbart för att identifiera potentiella säkerhetsproblem, undersöka misstänkt beteende och felsöka åtkomst. Arbetsytans granskningslogg kan exporteras i CSV-format.

Enterprise-kunder kan även använda våra Data Loss Prevention (DLP) partneranslutningar för att upptäcka, klassificera och skydda känslig data i Notion.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Integritetskontroller

Implementera policyer och rutiner för att skydda elektroniska skyddade hälsouppgifter från otillbörlig ändring eller förstörelse.

Implementera elektroniska mekanismer för att säkerställa att elektroniska skyddade hälsouppgifter inte har ändrats eller förstörts på ett obehörigt sätt.

Implementera säkerhetsåtgärder för att säkerställa att elektroniskt överförda skyddade hälsouppgifter inte ändras otillbörligt utan upptäckt fram till dess att de raderas.

Inaktivera offentlig delning av sidor: Då försvinner alternativet Dela på webben från menyn Dela på alla sidor i arbetsytan.

Inaktivera gäster: Då kan ingen bjuda in personer utanför arbetsytan till en sida. Du behöver inte använda den här inställningen om du vill kunna bjuda in gäster vid behov. Observera dock att Notion inte får användas för att kommunicera med patienter, personer som omfattas av en vård- eller försäkringsplan eller deras familjer och arbetsgivare. Om du behöver tillåta gäster rekommenderar vi att du aktiverar gästförfrågningar. Då måste inbjudningar godkännas, så att du kan ha gäster i arbetsytan och samtidigt följa HIPAA-kraven.

Inaktivera flytt eller kopiering av sidor till andra arbetsytor: Då kan ingen flytta eller kopiera sidor till andra arbetsytor med åtgärderna Flytta till eller Kopiera.

Inaktivera export: Detta förhindrar att någon exporterar som Markdown, CSV eller PDF.

Inaktivera skapande av arbetsytor: Detta förhindrar att någon skapar nya arbetsytor utan godkännande.

Inaktivera eller begränsa tredjepartstillägg till godkända alternativ: Då kan ingen lägga till tredjepartstillägg som inte har godkänts i Notion-arbetsytan.

Inaktivera åtkomst till externa arbetsytor: Då kan hanterade användare inte ansluta till eller öppna arbetsytor utanför organisationen.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Autentisering av person eller entitet

Implementera rutiner för att verifiera att den person eller entitet som söker åtkomst till elektroniska skyddade hälsouppgifter verkligen är den som påstås.

Inaktivera profiländringar: Då kan hanterade användare inte ändra sina profiluppgifter, vilket minskar risken för att någon utger sig för att vara en annan person.

Hantera domäner: Här avser domän den del av e-postadressen som hör till ett Notion-konto. Genom domänverifiering kan arbetsytans ägare bekräfta att de äger en domän och få tillgång till inställningarna för domänhantering.

Inaktivera gäster: Då kan ingen bjuda in personer utanför arbetsytan till en sida. Du behöver inte använda den här inställningen om du vill kunna bjuda in gäster vid behov. Observera dock att Notion inte får användas för att kommunicera med patienter, personer som omfattas av en vård- eller försäkringsplan eller deras familjer och arbetsgivare. Om du behöver tillåta gäster rekommenderar vi att du aktiverar gästförfrågningar. Då måste inbjudningar godkännas, så att du kan ha gäster i arbetsytan och samtidigt följa HIPAA-kraven.

Stäng av eller ta bort ett hanterat användarkonto: Stäng av eller ta bort hanterade användarkonton från kontrollpanelen för användarhantering.

Förhindra att hanterade användare tar bort sina konton: Då kan de inte själva ta bort kontona.

Datalagring och bortskaffande

Implementera policyer och rutiner för att hantera den slutgiltiga dispositionen av elektroniska skyddade hälsouppgifter och/eller den hårdvara eller elektroniska media på vilken de lagras.

Anpassade inställningar för datalagring gör att ägare av Enterprise-arbetsytor kan ha kontroll över när användares sidor raderas från Papperskorgen och hur länge de kan behållas efteråt.

Vi sparar säkerhetskopior av vår databas, så vi kan återställa en ögonblicksbild av ditt innehåll från de senaste 30 dagarna om du behöver det.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Överföringssäkerhet

Implementera tekniska säkerhetsåtgärder för att skydda mot obehörig
åtkomst till elektroniska skyddade hälsouppgifter som överförs via ett elektroniskt kommunikationsnätverk.

Implementera en mekanism för att kryptera elektroniska skyddade hälsouppgifter närhelst det anses lämpligt.

Kryptering vid lagring: Kunddata krypteras vid lagring med AES-256. Kunddata krypteras när den finns på Notions interna nätverk, vid lagring i molnlagring, databastabeller och säkerhetskopior.

Kryptering under överföring: Data som skickas under överföring krypteras med TLS 1.2 eller högre.