HIPAA-konfiguration

Åtkomstkontroll

Implementera tekniska policyer och procedurer för elektroniska informationssystem som hanterar elektronisk skyddad hälsoinformation för att endast tillåta åtkomst för de personer eller programvaror som har beviljats åtkomsträttigheter.

Notions SAML SSO är byggd på SAML 2.0-standarden och kopplar samman din identitetsleverantör (IdP) och arbetsyta/arbetsytor för en enklare och säkrare inloggningsupplevelse. Notion stöder officiella konfigurationer för SAML SSO med: Azure, Google, Gusto, Okta, OneLogin och Rippling.

För att komma igång med SAML SSO i Notion behöver du slutföra följande steg:

• Verifiera domän(er):För att använda avancerade säkerhetsfunktioner måste du verifiera ägarskapet för din e-postdomän. Detta är en automatiserad process som innebär att du lägger till en TXT-post i din domäns DNS för att verifiera att du äger den.

• Aktivera SAML SSO:Detta aktiverar funktionen och slutför konfigurationen. Läs mer om hur du slutför konfigurationen av SAML SSO i den här artikeln.

• Ändra standardmetod för inloggning:När du aktiverar SAML SSO för första gången ställs standardmetoden för inloggning in på Valfri metod. Användarna kan då logga in med SAML eller sin vanliga metod. Om du väljer Endast SAML SSO måste hanterade användare med verifierade e-postadresser på företagets domän logga in med SAML för att få åtkomst till arbetsytan.

• Länka ytterligare arbetsytor:Om du har mer än en arbetsyta som du vill konfigurera med SSO kan du göra det genom att kontakta [email protected].

När allt är korrekt konfigurerat måste alla medlemmar som loggar in på din arbetsyta/dina arbetsytor använda den verifierade domänen och autentiseras via din identitetsleverantör. Ägare av Enterprise-arbetsytor kan kringgå detta genom att använda en alternativ inloggningsmetod om ett IdP/SAML SSO-fel skulle uppstå.

Unik användaridentifiering

Tilldela ett unikt namn och/eller nummer för att identifiera och spåra användaridentitet.

Notion har ett SCIM-API som kan användas för att lägga till, hantera och ta bort medlemmar och grupper. Arbetsytans ägare hittar API-nyckeln under Inställningar → Säkerhet och identitet → SCIM-konfiguration genom att klicka för att visa token.

Läs vår SCIM-dokumentation för aktuell information om hur du använder Notions SCIM-API. Notion stöder officiella SCIM-integrationer med Google, Gusto, Okta, OneLogin och Rippling.

Procedur för nödtillgång

Upprätta (och implementera vid behov) rutiner för att erhålla nödvändig elektronisk skyddad hälsoinformation under en nödsituation.

Innehållssökning ger ägare av Enterprise-arbetsytor insyn i arbetsytans innehåll för att förbättra styrningen av arbetsytan och lösa problem med sidåtkomst. Innehållssökning gör att du kan:

• Se vem som har åtkomst till en sida
• Ändra behörigheter för en sida
• Upptäcka och tilldela om övergivna sidor från tidigare anställda

Du kan exportera en Notion-sida, databas eller hela arbetsytan när som helst.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Automatisk utloggning

Implementera elektroniska rutiner som avslutar en elektronisk session efter en förutbestämd tid av inaktivitet.

Ställa in anpassad sessionslängd: För hanterade användare med Enterprise-abonnemanget är sessionslängden i Notion som standard 180 dagar. Arbetsytans ägare kan ändra den till mellan 1 timme och 180 dagar.

Tvinga utloggning av hanterade användare: Tvinga utloggning för enskilda användare eller för alla användare i arbetsytan samtidigt.

Tvinga lösenordsåterställning: Tvinga lösenordsåterställning för enskilda användare eller för alla användare i arbetsytan samtidigt.

Om du avetablerar en användare via SCIM tas användaren bort från arbetsytan och användarens session avslutas.

Granskningskontroller

Implementera hårdvaru-, mjukvaru- och/eller procedurmekanismer som registrerar och granskar aktivitet i informationssystem som innehåller eller använder elektroniska skyddade hälsouppgifter.

Enterprise-arbetsytors ägare har åtkomst till en granskningslogg via Inställningar. Detta ger en översikt över ett stort antal händelser som har inträffat i arbetsytan.

Detta kan vara särskilt användbart för att identifiera potentiella säkerhetsproblem, undersöka misstänkt beteende och felsöka åtkomst. Arbetsytans granskningslogg kan exporteras i CSV-format.

Enterprise-kunder kan även använda våra Data Loss Prevention (DLP) partneranslutningar för att upptäcka, klassificera och skydda känslig data i Notion.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Integritetskontroller

Implementera policyer och rutiner för att skydda elektroniska skyddade hälsouppgifter från otillbörlig ändring eller förstörelse.

Implementera elektroniska mekanismer för att säkerställa att elektroniska skyddade hälsouppgifter inte har ändrats eller förstörts på ett obehörigt sätt.

Implementera säkerhetsåtgärder för att säkerställa att elektroniskt överförda skyddade hälsouppgifter inte ändras otillbörligt utan upptäckt fram till dess att de raderas.

Inaktivera offentlig delning av sidor: Detta inaktiverar alternativet Dela på webben i menyn Dela på alla sidor i arbetsytan.

Inaktivera gäster: Det hindrar andra från att bjuda in personer utanför arbetsytan till sidor. Du behöver inte använda inställningen om du vill kunna bjuda in gäster vid behov. Tänk dock på att Notion inte får användas för att kommunicera med patienter, personer som omfattas av sjukförsäkringar eller deras familjer och arbetsgivare. Om du behöver tillåta gäster rekommenderar vi att du aktiverar gästförfrågningar. Då kan du godkänna gäster innan de får åtkomst till arbetsytan och samtidigt följa HIPAA.

Inaktivera flytt eller kopiering av sidor till andra arbetsytor: Detta förhindrar att någon flyttar eller kopierar sidor till andra arbetsytor via åtgärderna Flytta till eller Kopiera.

Inaktivera export: Detta förhindrar att någon exporterar som Markdown, CSV eller PDF.

Inaktivera skapande av arbetsyta: Detta förhindrar att någon skapar nya arbetsytor utan godkännande.

Inaktivera eller tillåtlista tredjepartstillägg: Detta förhindrar att någon lägger till icke-godkända tredjepartstillägg till din Notion-arbetsyta.

Inaktivera åtkomst till externa arbetsytor: Detta förhindrar att hanterade användare går med i eller får åtkomst till externa arbetsytor utanför din organisation.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Autentisering av person eller entitet

Implementera rutiner för att verifiera att den person eller entitet som söker åtkomst till elektroniska skyddade hälsouppgifter verkligen är den som påstås.

Inaktivera profiländringar: Det hindrar hanterade användare från att ändra sina profiluppgifter, så att andra inte kan utge sig för att vara dem.

Hantera domäner: Här avser domän den del av e-postadressen som följer efter @ och är kopplad till ett Notion-konto. Genom domänverifiering kan arbetsytans ägare bekräfta att de äger en domän och få tillgång till inställningar för domänhantering.

Inaktivera gäster: Det hindrar andra från att bjuda in personer utanför arbetsytan till sidor. Du behöver inte använda inställningen om du vill kunna bjuda in gäster vid behov. Tänk dock på att Notion inte får användas för att kommunicera med patienter, personer som omfattas av sjukförsäkringar eller deras familjer och arbetsgivare. Om du behöver tillåta gäster rekommenderar vi att du aktiverar gästförfrågningar. Då kan du godkänna gäster innan de får åtkomst till arbetsytan och samtidigt följa HIPAA.

Stänga av eller ta bort ett konto för en hanterad användare: Stäng av eller ta bort konton för hanterade användare via kontrollpanelen för användarhantering.

Inaktivera borttagning av hanterat användarkonto: Förhindra att hanterade användare tar bort sina konton på egen hand.

Datalagring och bortskaffande

Implementera policyer och rutiner för att hantera den slutgiltiga dispositionen av elektroniska skyddade hälsouppgifter och/eller den hårdvara eller elektroniska media på vilken de lagras.

Anpassade inställningar för datalagring gör att ägare av Enterprise-arbetsytor kan ha kontroll över när användares sidor raderas från Papperskorgen och hur länge de kan behållas efteråt.

Vi sparar säkerhetskopior av vår databas, så vi kan återställa en ögonblicksbild av ditt innehåll från de senaste 30 dagarna om du behöver det.

För Notion Mail och Notion Calendar, aktivera HIPAA-efterlevnad med Google Workspace.

Överföringssäkerhet

Implementera tekniska säkerhetsåtgärder för att skydda mot obehörig
åtkomst till elektroniska skyddade hälsouppgifter som överförs via ett elektroniskt kommunikationsnätverk.

Implementera en mekanism för att kryptera elektroniska skyddade hälsouppgifter närhelst det anses lämpligt.

Kryptering vid lagring: Kunddata krypteras vid lagring med AES-256. Kunddata krypteras när den finns på Notions interna nätverk, vid lagring i molnlagring, databastabeller och säkerhetskopior.

Kryptering under överföring: Data som skickas under överföring krypteras med TLS 1.2 eller högre.