Configurazione HIPAA

Controllo degli accessi

Implementa politiche e procedure tecniche per i sistemi informativi elettronici che gestiscono informazioni sanitarie protette elettroniche, per consentire l'accesso solo a quelle persone o programmi software a cui sono stati concessi i diritti di accesso.

Il SAML SSO di Notion si basa sullo standard SAML 2.0, collegando il tuo Identity Provider (IdP) e il tuo/i tuoi spazio/i di lavoro per un'esperienza di accesso più semplice e sicura. Notion supporta configurazioni ufficiali per SAML SSO con: Azure, Google, Gusto, Okta, OneLogin e Rippling.

Per iniziare a usare SAML SSO con Notion, segui questi passaggi:

• Verifica i domini:Per usare le funzionalità di sicurezza avanzate, devi verificare la proprietà del tuo dominio email. Il processo è automatico: aggiungi un record TXT al DNS del dominio per dimostrare che ne sei proprietario.

• Abilita SAML SSO:In questo modo attivi la funzionalità e completi la configurazione. Per i dettagli, consulta questo articolo.

• Modifica il metodo di login predefinito:Quando abiliti SAML SSO per la prima volta, il metodo di login predefinito è Qualsiasi metodo: puoi accedere tramite SAML o con il metodo abituale. Seleziona Solo SAML SSO per rendere SAML obbligatorio per gli utenti gestiti con email aziendali verificate nel tuo spazio di lavoro.

• Collega spazi di lavoro aggiuntivi:Se desideri configurare più di uno spazio di lavoro con SSO, puoi farlo contattando [email protected].

Una volta configurato correttamente, tutti i membri che accedono al tuo/ai tuoi spazio/i di lavoro dovranno utilizzare il dominio verificato e dovranno essere autenticati tramite il tuo identity provider. I proprietari di spazi di lavoro Enterprise possono aggirare il problema utilizzando un metodo di accesso alternativo in caso di errore dell'IdP/SAML SSO.

Identificazione univoca dell'utente

Assegna un nome e/o un numero univoco per identificare e tracciare l'identità dell'utente.

Notion dispone di un’API SCIM per aggiungere, gestire e rimuovere membri e gruppi. Chi possiede lo spazio di lavoro può trovare la chiave API necessaria in Impostazioni → Sicurezza e identità → Configurazione SCIM, facendo clic per visualizzare il token.

Consulta la nostra documentazione SCIM per le informazioni più recenti su come interagire con l'API SCIM di Notion. Notion supporta applicazioni SCIM ufficiali con Google, Gusto, Okta, OneLogin e Rippling.

Procedura di accesso di emergenza

Stabilisci (e implementa, se necessario) procedure per ottenere le informazioni sanitarie protette elettroniche necessarie durante un'emergenza.

La ricerca nei contenuti offre ai proprietari di spazi di lavoro Enterprise visibilità sui contenuti dello spazio di lavoro per migliorare la governance dello spazio di lavoro e risolvere i problemi di accesso alle pagine. La ricerca nei contenuti ti consente di:

• Vedere chi ha accesso a una pagina
• Modificare le autorizzazioni di una pagina
• Scoprire e riassegnare pagine abbandonate da ex dipendenti

Puoi esportare una pagina, un database o l'intero spazio di lavoro Notion in qualsiasi momento.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Disconnessione automatica

Implementa procedure elettroniche che terminano una sessione elettronica dopo un tempo predeterminato di inattività.

Imposta una durata della sessione personalizzata: Nel piano Enterprise, la durata predefinita della sessione degli utenti gestiti è di 180 giorni. Chi possiede lo spazio di lavoro può impostarla da 1 ora a 180 giorni.

Disconnetti gli utenti gestiti: Puoi disconnettere un singolo utente o tutti gli utenti dello spazio di lavoro contemporaneamente.

Richiedi la reimpostazione della password: Puoi richiederla per un singolo utente o per tutti gli utenti dello spazio di lavoro contemporaneamente.

Se rimuovi un utente tramite SCIM, perderà l’accesso allo spazio di lavoro e la sua sessione verrà terminata.

Controlli di audit

Implementa meccanismi hardware, software e/o procedurali che registrano ed esaminano l'attività nei sistemi informativi che contengono o utilizzano informazioni sanitarie protette elettroniche.

I proprietari di spazi di lavoro Enterprise hanno accesso a un registro di controllo tramite Impostazioni. Questo fornisce una panoramica di una vasta gamma di eventi che si sono verificati nello spazio di lavoro.

Questo può essere particolarmente utile per identificare potenziali problemi di sicurezza, indagare su comportamenti sospetti e risolvere problemi di accesso. Il registro di controllo dello spazio di lavoro può essere esportato in formato CSV.

I clienti Enterprise possono anche utilizzare le nostre connessioni con partner per la prevenzione della perdita di dati (DLP) per scoprire, classificare e proteggere i dati sensibili in Notion.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Controlli di integrità

Implementa politiche e procedure per proteggere le informazioni sanitarie protette elettroniche da alterazioni o distruzioni improprie.

Implementa meccanismi elettronici per corroborare che le informazioni sanitarie protette elettroniche non siano state alterate o distrutte in modo non autorizzato.

Implementa misure di sicurezza per garantire che le informazioni sanitarie protette elettroniche trasmesse elettronicamente non vengano modificate in modo improprio senza essere rilevate fino al momento dello smaltimento.

Disattiva la condivisione pubblica delle pagine: L’opzione `Condividi sul web` non sarà più disponibile nel menu `Condividi` delle pagine di questo spazio di lavoro.

Disattiva ospiti: Nessuno potrà invitare persone esterne allo spazio di lavoro nelle sue pagine. Puoi lasciare attivi gli inviti se ti servono, ma ricorda che Notion non può essere usato per comunicare con pazienti, persone iscritte a piani sanitari, familiari o datori di lavoro. Se vuoi invitare ospiti, ti consigliamo di attivare le richieste per gli ospiti. Ogni richiesta dovrà essere approvata, così potrai avere ospiti nello spazio di lavoro nel rispetto della normativa HIPAA.

Disattiva lo spostamento o la duplicazione delle pagine in altri spazi di lavoro: Nessuno potrà spostare o duplicare pagine in altri spazi di lavoro con le azioni `Sposta in` o `Duplica`.

Disattiva l’export: Nessuno potrà esportare contenuti in formato markdown, CSV o PDF.

Disattiva la creazione di spazi di lavoro: Nessuno potrà creare nuovi spazi di lavoro senza approvazione.

Disattiva le estensioni di terze parti o usa una lista di autorizzazione: Nessuno potrà aggiungere allo spazio di lavoro Notion estensioni di terze parti non approvate.

Disattiva l’accesso agli spazi di lavoro esterni: Gli utenti gestiti non potranno unirsi a spazi di lavoro esterni alla tua organizzazione né accedervi.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Autenticazione di persona o entità

Implementare procedure per verificare che una persona o un'entità che richiede l'accesso alle informazioni sanitarie protette (PHI) elettroniche sia quella dichiarata.

Disattiva le modifiche al profilo: Gli utenti gestiti non potranno modificare le informazioni del proprio profilo per spacciarsi per altre persone.

Gestione domini: Il dominio è quello degli indirizzi email associati agli account Notion. La verifica del dominio consente a chi possiede lo spazio di lavoro di dimostrarne la proprietà e accedere alle impostazioni di gestione domini.

Disattiva ospiti: Nessuno potrà invitare persone esterne allo spazio di lavoro nelle sue pagine. Puoi lasciare attivi gli inviti se ti servono, ma ricorda che Notion non può essere usato per comunicare con pazienti, persone iscritte a piani sanitari, familiari o datori di lavoro. Se vuoi invitare ospiti, ti consigliamo di attivare le richieste per gli ospiti. Ogni richiesta dovrà essere approvata, così potrai avere ospiti nello spazio di lavoro nel rispetto della normativa HIPAA.

Sospendi o elimina l’account di un utente gestito: Puoi farlo dalla dashboard di Gestione degli utenti.

Disattiva l’eliminazione degli account degli utenti gestiti: Gli utenti gestiti non potranno eliminare autonomamente il proprio account.

Conservazione e smaltimento dei dati

Implementare politiche e procedure per gestire la disposizione finale delle informazioni sanitarie protette (PHI) elettroniche e/o dell'hardware o dei supporti elettronici su cui sono archiviate.

Le impostazioni personalizzate di conservazione dei dati consentono ai proprietari di spazi di lavoro Enterprise di controllare quando le pagine degli utenti vengono eliminate dal Cestino e per quanto tempo possono essere conservate in seguito.

Manteniamo dei backup del nostro database, il che ci consente di ripristinare un'istantanea dei tuoi contenuti negli ultimi 30 giorni, se necessario.

Per Notion Mail e Notion Calendar, abilita la conformità HIPAA con Google Workspace.

Sicurezza della trasmissione

Implementare misure di sicurezza tecniche per proteggersi dall'accesso non autorizzato
alle informazioni sanitarie protette (PHI) elettroniche trasmesse su una rete di comunicazione elettronica.

Implementare un meccanismo per crittografare le informazioni sanitarie protette (PHI) elettroniche ogni volta che lo si ritenga opportuno.

Crittografia a riposo: I dati dei clienti sono crittografati a riposo utilizzando AES-256. I dati dei clienti sono crittografati quando si trovano sulle reti interne di Notion, a riposo nel cloud, nelle tabelle del database e nei backup.

Crittografia in transito: I dati inviati in transito sono crittografati utilizzando TLS 1.2 o superiore.