HITRUST 控制項的 Microsoft Entra 設定建議
本文的指導可協助您瀏覽詳細資料，並提供 Microsoft Entra ID 中的服務和功能建議，以支援與 HITRUST 控制項的一致性。 使用資訊來協助了解健康資訊信任聯盟 (HITRUST) 架構，並支援您確保組織符合 1996 年健康保險流通與責任法案 (HIPAA) 的責任。 評定牽涉到與具備架構相關知識的認證 HITRUST 評估員合作，並且需要協助引導您完成流程並了解需求。
縮略字
下表列出本文中的縮略字及其拼字。
| 縮略字 | 拼字 |
|---|---|
| CE | 涵蓋的實體 |
| CSF | 一般安全性架構 |
| HIPAA | 1996 年的健康保險流通與責任法案 |
| HSR | HIPAA 安全性規則 |
| HITRUST | 健康資訊信任聯盟 |
| IAM | 身分識別和存取管理 |
| IdP | 識別提供者 |
| ISO | 國際標準組織 |
| ISMS | 資訊安全性管理系統 |
| JEA | 足夠的存取權 |
| JML | 加入、移動、離開 |
| MFA | Microsoft Entra 多重要素驗證 |
| NIST | 美國商務部國家標準暨技術研究院 |
| PHI | 受保護的健康資訊 |
| PIM | Privileged Identity Management |
| SSO | 單一登入 |
| TAP | 臨時存取密碼 |
健康資訊信任聯盟
HITRUST 組織已建立 一般安全性架構 (CSF)，以標準化和簡化醫療保健產業中組織的安全性和隱私權需求。 HITRUST CSF 成立於 2007 年，旨在解決組織在處理個人資料和受保護的健康資訊 (PHI) 資料時面臨的複雜法規環境、安全性挑戰和隱私權問題。 CSF 由 14 個控制類別組成，其中包含 49 個控制目標，以及 156 個控制細節。 它以國際標準組織 (ISO) 27001 和 ISO 27002 的主要原則為基礎。
HITRUST MyCSF 工具可在 Azure Marketplace 中取得。 使用它來管理資訊安全風險、資料控管、遵守資訊保護法規，也遵守國家和國際標準與最佳做法。
注意
ISO 27001 是一種管理標準，可指定資訊安全管理系統 (ISMS) 的需求。 ISO 27002 是一組最佳做法，可在 ISO 27001 架構中選取及實作安全性控制。
HIPAA 安全性規則
HIPAA 安全性規則 (HSR) 建立保護由涵蓋實體 (CE) (即健康計劃、醫療保健資訊交換所或醫療人員) 建立、接收、使用或維護之個人電子個人健康資訊的標準。 美國衛生及公共服務部 (HHS) 負責管理 HSR。 HHS 需要系統管理、實體和技術保護，以確保電子 PHI 的機密性、完整性和安全性。
HITRUST 和 HIPAA
HITRUST 已開發 CSF，其中包含支援醫療保健法規的安全性和隱私權標準。 CSF 控制和最佳做法可簡化合併來源的工作，以確保符合聯邦立法、HIPAA 安全性及隱私權規則。 HISTRUST CSF 是可認證的安全性和隱私權架構，具有示範 HIPAA 合規性的控制與需求。 醫療保健組織廣泛採用此架構。 使用下表來了解控制項。
| 控制項類別 | 控制項類別名稱 |
|---|---|
| 0 | 資訊安全管理程式 |
| 1 | 存取控制 |
| 2 | 人力資源安全性 |
| 3 | 風險管理 (Risk Management) |
| 4 | 安全性原則 |
| 5 | 資訊安全性的組織 |
| 6 | 法規遵循 |
| 7 | 資產管理 |
| 8 | 實體和環境安全性 |
| 9 | 通訊和作業管理 |
| 10 | 資訊系統取得、開發與維護 |
| 11 | 資訊安全性事件管理 |
| 12 | 商務持續性管理 |
| 13 | 隱私權做法 |
深入了解 Microsoft Azure 平台經過 HITRUST CSF 認證的詳細資訊，其中包括身分識別和存取權管理：
- Microsoft Entra ID，先前稱為 Azure Active Directory
- 使用 Microsoft Purview 進行版權管理
- Microsoft Entra 多重要素驗證 (MFA)
存取控制類別和建議
下表具有身分識別和存取權管理 (IAM) 的存取控制類別，以及 Microsoft Entra 建議以協助符合控制類別需求。 詳細資料來自 HITRUST MyCSF v11，其指的是 HIPAA 安全性規則，並新增至對應的控制項。
| HITRUST 控制項、目標和 HSR | Microsoft Entra 指導與建議 |
|---|---|
| CSF 控制項 V11 01.b 使用者註冊 控制項類別 存取控制 – 使用者註冊和取消註冊 控制項規格 組織使用正式的使用者註冊和取消註冊流程才可以指派存取權限。 目標名稱 授權的資訊系統存取權 HIPAA 安全性規則 § 164.308(a)(3)(ii)(A) § 164.308(a)(4)(i) § 164.308(a)(3)(ii)(B) § 164.308(a)(4)(ii)(C) § 164.308(a)(4)(ii)(B) § 164.308(a)(5)(ii)(D) § 164.312(a)(2)(i) § 164.312(a)(2)(ii) § 164.312(d) |
Microsoft Entra ID 是身分識別平台，用於在身分識別登入其裝置、應用程式或伺服器時進行驗證、驗證和認證管理。 其為雲端式身分識別和存取權管理服務，具有單一登入 (SSO)、MFA 和條件式存取功能，以防範安全性攻擊。 驗證可確保只有獲得授權的身分識別才能存取資源和資料。 生命週期工作流程可啟用身分識別控管，以自動化加入者、移動者、離開者 (JML) 生命週期。 它透過使用內建範本或您建立自訂工作流程來集中工作流程。 此做法有助於減少或可能移除組織 JML 策略需求的手動工作。 在 Azure 入口網站上，瀏覽至 Microsoft Entra 功能表中 [身分識別治理]，以檢閱或設定組織需求的工作。 Microsoft Entra Connect 將內部部署目錄與 Microsoft Entra ID 整合，支援使用單一身分識別存取內部部署應用程式和雲端服務 (例如 Microsoft 365)。 它會協調 Active Directory (AD) 與 Microsoft Entra ID 之間的同步處理。 若要開始使用 Microsoft Entra Connect，請檢閱必要條件。 請注意伺服器需求，以及如何準備 Microsoft Entra 租用戶以進行管理。 Microsoft Entra Connect Sync 是在雲端上管理的佈建代理程式，可支援從多樹系中斷連線的 AD 環境同步至 Microsoft Entra ID。 使用輕量型代理程式搭配 Microsoft Entra Connect。 建議密碼雜湊同步處理，以協助減少密碼數目，並防止認證偵測外洩。 |
| CSF 控制項 V11 01.c 權限管理 控制項類別 存取控制 – 特殊權限的帳戶 控制項規格 組織可確保授權使用者帳戶已註冊、追蹤及定期驗證，以防止未經授權的資訊系統存取 目標名稱 授權的資訊系統存取權 HIPAA 安全性規則 § 164.308(a)(1)(i) § 164.308(a)(1)(ii)(B) § 164.308(a)(2) § 164.308(a)(3)(ii)(B) § 164.308(a)(3)(ii)(A) § 164.308(a)(4)(i) § 164.308(a)(4)(ii)(B) § 164.308(a)(4)(ii)(C) § 164.310(a)(2)(ii) § 164.310(a)(1) § 164.310(a)(2)(iii) § 164.312(a)(1) |
Privileged Identity Management (PIM) 是 Microsoft Entra ID 中的服務，可管理、控制和監視對組織內重要資源的存取。 其會將可存取安全資訊的人數降到最低，以協助防止惡意執行者取得存取權。 PIM 具有以時間和核准為基礎的存取權，以減輕存取權限過多、不必要或遭到誤用的風險。 其可協助識別及分析特殊權限帳戶，以確保您提供足夠的存取權 (JEA)，讓使用者能夠執行其角色。 監視和產生警示防止可疑活動、列出觸發警示的使用者和角色，同時降低未經授權的存取風險。 自訂組織安全性策略的警示。 存取權檢閱可讓組織有效率地管理角色指派和群組成員資格。 藉由評估哪些帳戶具有存取權，並確保在需要時撤銷存取權，以維護安全性和合規性，從而將過度或過時權限的風險降到最低。 |
| CSF 控制項 V11 0.1d 使用者密碼管理 控制項類別 存取控制 - 程序 控制項規格 確保授權使用者帳戶已註冊、追蹤及定期驗證，以防止未經授權的資訊系統存取。 目標名稱 授權的資訊系統存取權 HIPAA 安全性規則 §164.308(a)(5)(ii)(D) |
密碼管理是安全性基礎結構的重要層面。 與建立強固安全性狀態的最佳做法一致，Microsoft Entra ID 有助於提供全面的策略支援：SSO 和MFA 以及無密碼驗證，例如 FIDO2 安全性金鑰和 Windows Hello 企業版 (WHfB) 可以降低使用者風險並簡化使用者驗證體驗。 Microsoft Entra 密碼保護會偵測並封鎖已知的弱式密碼。 它包含密碼原則，並且具有定義自訂密碼清單和建置密碼管理策略以保護密碼使用的彈性。 HITRUST 密碼長度和強度需求與國家標準暨技術研究院 NIST 800-63B 一致，其中至少包含 8 個字元的密碼，或具有最高特殊權限存取之帳戶的 15 個字元。 複雜度量值至少包含一個數字和/或特殊字元，以及特殊權限帳戶至少一個大寫和小寫字母。 |
| CSF 控制項 V11 01.p 安全登入程序 控制項類別 存取控制 – 安全登入 控制項規格 組織會使用安全登入程序控制資訊資產的存取權。 目標名稱 作業系統存取控制 HIPAA 安全性規則 § 164.308(a)(5)(i) § 164.308(a)(5)(ii)(C) § 164.308(a)(5)(ii)(D) |
安全登入是在嘗試存取系統時安全驗證身分識別的流程。 控制項著重於作業系統，Microsoft Entra 服務可協助加強安全登入。 條件式存取原則可協助組織限制已核准應用程式、資源的存取，並確保裝置安全。 Microsoft Entra ID 會分析來自身分識別、位置或裝置的條件式存取原則的訊號，以自動化決策，並強制執行組織原則來存取資源和資料。 角色型存取控制 (RBAC) 可協助您管理組織中的存取和受控資源。 RBAC 可協助實作最低權限原則，確保使用者擁有執行其工作所需的權限。 此動作可將意外或刻意設定錯誤的風險降到最低。 如控制 0.1d 使用者密碼管理所述，無密碼驗證會使用生物識別技術，因為它們難以偽造，從而提供更安全的驗證。 |
| CSF 控制項 V11 01.q 使用者識別與驗證 控制項類別 N/A 控制項規格 所有使用者只能有個人用途的唯一識別碼 (使用者識別碼)，並實作驗證技術來證明使用者的宣告身分識別。 目標名稱 N/A HIPAA 安全性規則 § 164.308(a)(5)(ii)(D) § 164.310(a)(1) § 164.312(a)(2)(i) § 164.312(d) |
在 Microsoft Entra ID 中使用帳戶佈建來建立、更新和管理使用者帳戶。 皆會指派每個使用者和物件一個稱為物件識別碼的唯一識別碼 (UID)。 UID 是使用者或物件建立時自動產生的全域萬用識別碼。 Microsoft Entra ID 支援系統和應用程式的自動使用者佈建。 當人員加入組織中的小組時，自動化佈建會在正確的系統中建立新帳戶。 自動取消佈建會在人員離開時停用帳戶。 |
| CSF 控制項 V11 01.u 連線時間的限制 控制項類別 存取控制 – 安全登入 控制項規格 組織會使用安全登入程序控制資訊資產的存取權。 目標名稱 作業系統存取控制 HIPAA 安全性規則 § 164.312(a)(2)(iii) |
控制項著重於作業系統，Microsoft Entra 服務可協助加強安全登入。 安全登入是在嘗試存取系統時安全驗證身分識別的流程。 Microsoft Entra 對使用者進行驗證，並具有使用者和資源相關資訊的安全性功能。 此資訊包括存取權杖、重新整理權杖和識別碼權杖。 依照組織對應用程式存取的需求進行設定。 主要針對行動和桌面用戶端使用本指導。 條件式存取原則支援網頁瀏覽器的組態設定限制經過驗證的工作階段。 Microsoft Entra ID 具有跨作業系統的整合，以提供更佳的使用者體驗，並支援列出的無密碼驗證方法： 適用於 macOS 平台 SSO 擴充 macOS 的 SSO 功能。 使用者使用無密碼認證登入 Mac，或經 Microsoft Entra ID 驗證的密碼管理登入 Mac。 Windows 無密碼體驗可在加入 Microsoft Entra 的裝置上提升無需密碼的驗證體驗。 使用無密碼驗證可降低與傳統密碼型驗證相關聯的弱點和風險，例如網路釣魚攻擊、密碼重複使用，以及密碼的鍵盤記錄木馬程式。 適用於 Windows 的網路登入是一種認證提供者，可擴充 Windows 11 中的網路登入功能，涵蓋 Windows Hello 企業版、臨時存取密碼 (TAP) 和同盟身分識別。 Azure 虛擬桌面支援 SSO 和無密碼驗證。 透過 SSO，你可以使用無密碼驗證和與 Microsoft Entra ID 同盟的第三方身分識別提供者 (IdP) 來登入 Azure 虛擬桌面資源。 它在向工作階段主機進行驗證時具有 SSO 體驗。 它會設定工作階段，以提供 SSO 給工作階段中的 Microsoft Entra 資源。 |