HIPAA-konfiguration

Adgangskontrol

Implementér tekniske politikker og procedurer for elektroniske informationssystemer, der vedligeholder elektroniske beskyttede helbredsoplysninger, for kun at give adgang til de personer eller softwareprogrammer, der har fået tildelt adgangsrettigheder.

Notions SAML SSO er bygget på SAML 2.0-standarden, som forbinder din identitetsudbyder (IdP) og dit/dine arbejdsområde(r) for at give en nemmere og mere sikker loginoplevelse. Notion understøtter officielle konfigurationer til SAML SSO med: Azure, Google, Gusto, Okta, OneLogin og Rippling.

For at komme i gang med SAML SSO i Notion skal du gennemføre disse trin:

• Bekræft domæner:For at bruge avancerede sikkerhedsfunktioner skal du bekræfte, at du ejer dit e-maildomæne. Det sker automatisk, når du tilføjer en TXT-post til domænets DNS.

• Aktivér SAML SSO:Dette aktiverer funktionen og fuldfører konfigurationen. Du kan læse mere om, hvordan du fuldfører konfigurationen af SAML SSO, i denne artikel.

• Skift standardloginmetode:Når SAML SSO aktiveres første gang, indstilles standardloginmetoden til Enhver metode, hvilket betyder, at brugerne kan logge ind via SAML eller deres normale loginmetode. Hvis du indstiller den til Kun SAML SSO, gennemtvinges SAML som loginmetode i dit arbejdsområde for administrerede brugere med bekræftede firma-e-mailadresser.

• Forbind flere arbejdsområder:Hvis du vil konfigurere SSO for flere arbejdsområder, kan du kontakte [email protected].

Når det er korrekt konfigureret, skal alle medlemmer, der logger ind på dit/dine arbejdsområde(r), bruge det bekræftede domæne og skal godkendes gennem din identitetsudbyder. Ejere af Enterprise-arbejdsområder kan omgå dette ved at bruge en alternativ loginmetode, hvis der opstår en fejl i IdP/SAML SSO.

Unik brugeridentifikation

Tildel et unikt navn og/eller nummer til identifikation og sporing af brugeridentitet.

Notion har en SCIM-API, som kan bruges til at oprette, administrere og fjerne medlemmer og grupper. Ejere af arbejdsområder kan finde den nødvendige API-nøgle ved at gå til Indstillinger → Sikkerhed og identitet → SCIM-konfiguration og klikke for at få vist tokenet.

Se vores SCIM-dokumentation for den nyeste vejledning i, hvordan du bruger Notions SCIM-API. Notion understøtter officielle SCIM-applikationer fra Google, Gusto, Okta, OneLogin og Rippling.

Procedure for nødadgang

Etabler (og implementer efter behov) procedurer for at indhente nødvendige elektroniske beskyttede helbredsoplysninger under en nødsituation.

Indholdssøgning giver ejere af Enterprise-arbejdsområder synlighed i arbejdsområdets indhold for at forbedre styringen af arbejdsområdet og løse problemer med sideadgang. Indholdssøgning giver dig mulighed for at:

• Se, hvem der har adgang til en side
• Ændre tilladelserne for en side
• Opdage og gen-tildele forladte sider fra tidligere medarbejdere

Du kan til enhver tid eksportere en Notion-side, database eller et helt arbejdsområde.

For Notion Mail og Notion Calendar skal du aktivere HIPAA-overholdelse med Google Workspace.

Automatisk logaf

Implementer elektroniske procedurer, der afslutter en elektronisk session efter et forudbestemt tidsrum med inaktivitet.

Indstil sessionsvarighed: For administrerede brugere på Enterprise-abonnementet er Notions standardsessionsvarighed 180 dage. Ejere af arbejdsområder kan dog indstille sessionsvarigheden til mellem 1 time og 180 dage.

Log administrerede brugere ud: Log enkelte brugere eller alle brugere i arbejdsområdet ud på én gang.

Kræv nulstilling af adgangskode: Kræv, at enkelte brugere eller alle brugere i arbejdsområdet nulstiller deres adgangskode.

Hvis du fjerner en bruger via SCIM, bliver vedkommende fjernet fra arbejdsområdet, og brugerens session afsluttes.

Revisionskontroller

Implementer hardware-, software- og/eller proceduremæssige mekanismer, der registrerer og undersøger aktivitet i informationssystemer, der indeholder eller bruger elektroniske beskyttede helbredsoplysninger.

Ejere af Enterprise arbejdsområder har adgang til en revisionslog via Indstillinger. Dette giver et overblik over en lang række begivenheder, der er sket i arbejdsområdet.

Dette kan være særligt nyttigt til at identificere potentielle sikkerhedsproblemer, undersøge mistænkelig adfærd og fejlfinde adgang. Arbejdsområdets revisionslog kan eksporteres som CSV.

Enterprise kunder kan også benytte vores Data Loss Prevention (DLP) partnerforbindelser til at opdage, klassificere og beskytte følsomme data i Notion.

For Notion Mail og Notion Calendar skal du aktivere HIPAA-overholdelse med Google Workspace.

Integritetskontroller

Implementer politikker og procedurer for at beskytte elektroniske beskyttede helbredsoplysninger mod ukorrekt ændring eller destruktion.

Implementer elektroniske mekanismer til at bekræfte, at elektroniske beskyttede helbredsoplysninger ikke er blevet ændret eller destrueret på en uautoriseret måde.

Implementer sikkerhedsforanstaltninger for at sikre, at elektronisk transmitterede elektroniske beskyttede helbredsoplysninger ikke ændres ukorrekt uden opdagelse, indtil de bortskaffes.

Deaktiver offentlig deling af sider: Dette deaktiverer muligheden Del på nettet i menuen Del på alle sider i dette arbejdsområde.

Deaktiver gæster: Dette forhindrer alle i at invitere personer uden for arbejdsområdet til en side. Du behøver ikke at bruge denne kontrol, hvis du gerne vil invitere gæster efter behov, men bemærk, at Notion ikke må bruges til at kommunikere med patienter, medlemmer af sundhedsordninger eller deres familier og arbejdsgivere. Hvis du har brug for at aktivere gæster, anbefaler vi, at du slår gæsteanmodninger til. Dette indfører en godkendelsesproces, så du kan have gæster i dit arbejdsområde og samtidig overholde HIPAA.

Deaktiver flytning eller duplikering af sider til andre arbejdsområder: Dette forhindrer alle i at flytte eller duplikere sider til andre arbejdsområder via handlingen Flyt til eller Dupliker.

Deaktiver eksport: Dette forhindrer alle i at eksportere som Markdown, CSV eller PDF.

Deaktiver oprettelse af arbejdsområder: Dette forhindrer alle i at oprette nye arbejdsområder uden godkendelse.

Deaktiver tredjepartsudvidelser, eller tillad kun godkendte udvidelser: Dette forhindrer alle i at tilføje ikke-godkendte tredjepartsudvidelser til dit Notion-arbejdsområde.

Deaktiver adgang til eksterne arbejdsområder: Dette forhindrer administrerede brugere i at tilslutte sig eller få adgang til arbejdsområder uden for din organisation.

For Notion Mail og Notion Calendar skal du aktivere HIPAA-overholdelse med Google Workspace.

Person- eller enhedsautentificering

Implementer procedurer til at verificere, at en person eller enhed, der søger adgang til elektroniske beskyttede helbredsoplysninger (Protected Health Information, PHI), er den, de udgiver sig for at være.

Deaktiver profilændringer: Dette forhindrer administrerede brugere i at ændre deres egne profiloplysninger, så de ikke kan udgive sig for at være andre.

Domænehåndtering: Domæne refererer til det e-mail-domæne, der er knyttet til en Notion-konto. Domænebekræftelse giver ejere af arbejdsområdet mulighed for at gøre krav på ejerskab over et domæne, hvilket låser op for domænehåndteringsindstillinger.

Deaktiver gæster: Dette forhindrer alle i at invitere personer uden for arbejdsområdet til en side. Du behøver ikke at bruge denne indstilling, hvis du vil invitere gæster efter behov. Bemærk dog, at Notion ikke må bruges til at kommunikere med patienter, medlemmer af sundhedsordninger eller deres familier og arbejdsgivere. Hvis du har brug for at invitere gæster, anbefaler vi, at du slår gæsteanmodninger til. Så skal gæster godkendes, før de får adgang til dit arbejdsområde, så du fortsat overholder HIPAA.

Suspender eller slet en administreret brugerkonto: Suspender eller slet administrerede brugerkonti fra oversigten over brugeradministration.

Deaktiver sletning af administreret brugerkonto: Forhindr administrerede brugere i selv at slette deres konti.

Dataopbevaring og bortskaffelse

Implementer politikker og procedurer til at håndtere den endelige bortskaffelse af elektroniske beskyttede helbredsoplysninger (Protected Health Information, PHI) og/eller den hardware eller de elektroniske medier, som de er gemt på.

Brugerdefinerede indstillinger for dataopbevaring giver ejere af Enterprise-arbejdsområder mulighed for at have kontrol over, hvornår brugeres sider slettes fra Papirkurv, og hvor længe de kan opbevares derefter.

Vi opbevarer backup af vores database, så vi kan gendanne et øjebliksbillede af dit indhold fra de seneste 30 dage, hvis du har brug for det.

For Notion Mail og Notion Calendar skal du aktivere HIPAA-overholdelse med Google Workspace.

Transmissionssikkerhed

Implementer tekniske sikkerhedsforanstaltninger for at beskytte mod uautoriseret
adgang til elektroniske beskyttede helbredsoplysninger (Protected Health Information, PHI), der transmitteres over et elektronisk kommunikationsnetværk.

Implementer en mekanisme til kryptering af elektroniske beskyttede helbredsoplysninger (Protected Health Information, PHI), når det skønnes passende.

Kryptering ved lagring: Kundedata krypteres ved lagring ved hjælp af AES-256. Kundedata krypteres, når de er på Notions interne netværk, ved lagring i cloud-lagring, databasetabeller og sikkerhedskopier.

Kryptering under transport: Data, der sendes under transport, krypteres ved hjælp af TLS 1.2 eller højere.