การกำหนดค่า HIPAA

การควบคุมการเข้าถึง

ใช้นโยบายและขั้นตอนทางเทคนิคสำหรับระบบข้อมูลอิเล็กทรอนิกส์ที่ดูแลรักษาข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครอง เพื่ออนุญาตให้เข้าถึงได้เฉพาะบุคคลหรือโปรแกรมซอฟต์แวร์ที่ได้รับสิทธิ์การเข้าถึงเท่านั้น

SAML SSO ของ Notion สร้างขึ้นบนมาตรฐาน SAML 2.0 ซึ่งเชื่อมต่อ Identity Provider (IdP) และพื้นที่ทำงานของคุณเพื่อประสบการณ์การเข้าสู่ระบบที่ง่ายและปลอดภัยยิ่งขึ้น Notion รองรับการกำหนดค่าอย่างเป็นทางการสำหรับ SAML SSO กับ: Azure, Google, Gusto, Okta, OneLogin และ Rippling

ในการเริ่มต้นใช้งาน SAML SSO กับ Notion คุณจะต้องทำตามขั้นตอนต่อไปนี้ให้เสร็จสิ้น:

ยืนยันโดเมน:ในการใช้คุณสมบัติด้านความปลอดภัยขั้นสูง คุณต้องยืนยันความเป็นเจ้าของโดเมนอีเมลของคุณ นี่เป็นกระบวนการอัตโนมัติที่เกี่ยวข้องกับการเพิ่มระเบียน TXT ลงใน DNS ของโดเมนของคุณเพื่อยืนยันความเป็นเจ้าของของคุณ

เปิดใช้งาน SAML SSO:การดำเนินการนี้จะเปิดใช้งานฟีเจอร์ดังกล่าวและเสร็จสิ้นการกำหนดค่า สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการกำหนดค่า SAML SSO ให้เสร็จสมบูรณ์ โปรดดู บทความนี้

เปลี่ยนวิธีเข้าสู่ระบบเริ่มต้น:เมื่อเปิดใช้งาน SAML SSO ครั้งแรก วิธีเข้าสู่ระบบเริ่มต้นจะถูกตั้งเป็น วิธีใดก็ได้ ซึ่งหมายความว่าผู้ใช้สามารถเข้าสู่ระบบผ่าน SAML หรือวิธีเข้าสู่ระบบปกติของตนได้ โดยการตั้งค่าเป็น เฉพาะ SAML SSO จะเป็นการบังคับให้ผู้ใช้ในพื้นที่ทำงานของคุณใช้ SAML สำหรับการเข้าสู่ระบบ สำหรับผู้ใช้ที่ถูกจัดการและมีอีเมลบริษัทที่ได้รับการยืนยัน

เชื่อมโยงพื้นที่ทำงานเพิ่มเติม:หากคุณมีพื้นที่ทำงานมากกว่าหนึ่งแห่งที่คุณต้องการกำหนดค่าด้วย SSO คุณสามารถทำได้โดยติดต่อ [email protected]

เมื่อกำหนดค่าอย่างถูกต้องแล้ว สมาชิกทุกคนที่เข้าสู่ระบบพื้นที่ทำงานของคุณจะต้องใช้โดเมนที่ได้รับการยืนยันและจะต้องได้รับการยืนยันตัวตนผ่านผู้ให้บริการข้อมูลประจำตัวของคุณ เจ้าของพื้นที่ทำงาน Enterprise สามารถข้ามขั้นตอนได้โดยใช้วิธีเข้าสู่ระบบทางเลือกในกรณีที่เกิดความไม่สำเร็จของ IdP/SAML SSO

การระบุตัวตนผู้ใช้ที่ไม่ซ้ำกัน

กำหนดชื่อและ/หรือหมายเลขที่ไม่ซ้ำกันสำหรับการระบุและติดตามตัวตนของผู้ใช้

Notion มี SCIM API ซึ่งสามารถใช้เพื่อจัดเตรียม จัดการ และยกเลิกการจัดเตรียมสมาชิกและกลุ่ม เจ้าของพื้นที่ทำงานสามารถค้นหาคีย์ API ที่จำเป็นได้โดยไปที่ การตั้งค่า → ความปลอดภัยและข้อมูลประจำตัว → การกำหนดค่า SCIM และคลิกเพื่อดูโทเค็น

โปรดดู เอกสารประกอบ SCIM ของเรา สำหรับข้อมูลล่าสุดเกี่ยวกับวิธีที่คุณสามารถโต้ตอบกับ SCIM API ของ Notion Notion รองรับแอปพลิเคชัน SCIM อย่างเป็นทางการกับ Google, Gusto, Okta, OneLogin และ Rippling

ขั้นตอนการเข้าถึงฉุกเฉิน

กำหนด (และดำเนินการตามความจำเป็น) ขั้นตอนสำหรับการเข้าถึงข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองที่จำเป็นในระหว่างเหตุฉุกเฉิน

การค้นหาเนื้อหาช่วยให้เจ้าของพื้นที่ทำงานระดับ Enterprise สามารถมองเห็นเนื้อหาในพื้นที่ทำงานเพื่อปรับปรุงการกำกับดูแลและแก้ไขปัญหาการเข้าถึงหน้า การค้นหาเนื้อหาช่วยให้คุณสามารถ:

• ดูว่าใครมีสิทธิ์เข้าถึงหน้า
• แก้ไขสิทธิ์ของหน้า
• ค้นพบและกำหนดหน้าที่ถูกทิ้งร้างจากอดีตพนักงาน

คุณสามารถส่งออกหน้า Notion, ฐานข้อมูล หรือทั้งพื้นที่ทำงานได้ตลอดเวลา

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การออกจากระบบอัตโนมัติ

ดำเนินการตามขั้นตอนทางอิเล็กทรอนิกส์ที่ยุติเซสชันอิเล็กทรอนิกส์หลังจากไม่มีการใช้งานตามเวลาที่กำหนดไว้ล่วงหน้า

ตั้งค่าระยะเวลาเซสชันแบบกำหนดเอง: สำหรับผู้ใช้ที่ถูกจัดการในแพ็คเกจ Enterprise ของ Notion มีระยะเวลาเซสชันเริ่มต้นที่ 180 วัน อย่างไรก็ตาม เจ้าของพื้นที่ทำงานสามารถปรับแต่งระยะเวลาเซสชันของตนได้ตั้งแต่ 1 ชั่วโมงถึง 180 วัน

บังคับออกจากระบบผู้ใช้ที่ถูกจัดการ: บังคับออกจากระบบสำหรับผู้ใช้แต่ละรายหรือสำหรับผู้ใช้พื้นที่ทำงานทั้งหมดพร้อมกัน

บังคับรีเซ็ตรหัสผ่าน: บังคับรีเซ็ตรหัสผ่านสำหรับผู้ใช้แต่ละรายหรือสำหรับผู้ใช้พื้นที่ทำงานทั้งหมดพร้อมกัน

หากคุณยกเลิกการจัดเตรียมผู้ใช้ผ่าน SCIM พวกเขาจะถูกลบออกจากพื้นที่ทำงานและเซสชันของพวกเขาจะถูกยุติ

การควบคุมการตรวจสอบ

ดำเนินการตามกลไกฮาร์ดแวร์ ซอฟต์แวร์ และ/หรือขั้นตอนที่บันทึกและตรวจสอบกิจกรรมในระบบสารสนเทศที่มีหรือใช้ข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครอง

เจ้าของพื้นที่ทำงานระดับองค์กรสามารถเข้าถึงบันทึกการตรวจสอบผ่าน การตั้งค่า สิ่งนี้จะให้ภาพรวมของเหตุการณ์ต่างๆ มากมายที่เกิดขึ้นในพื้นที่ทำงาน

สิ่งนี้มีประโยชน์อย่างยิ่งสำหรับการระบุปัญหาด้านความปลอดภัยที่อาจเกิดขึ้น การตรวจสอบพฤติกรรมที่น่าสงสัย และการแก้ไขปัญหาการเข้าถึง บันทึกการตรวจสอบของพื้นที่ทำงานสามารถส่งออกในรูปแบบ CSV ได้

ลูกค้าองค์กรยังสามารถใช้ การเชื่อมต่อกับพันธมิตรด้านการป้องกันการสูญหายของข้อมูล (DLP) ของเราเพื่อค้นหา จัดประเภท และปกป้องข้อมูลที่ละเอียดอ่อนใน Notion ได้

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การควบคุมความสมบูรณ์ของข้อมูล

ดำเนินการตามนโยบายและขั้นตอนเพื่อปกป้องข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองจากการเปลี่ยนแปลงหรือการทำลายที่ไม่เหมาะสม

ดำเนินการตามกลไกอิเล็กทรอนิกส์เพื่อยืนยันว่าข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองนั้นไม่ได้รับการเปลี่ยนแปลงหรือทำลายในลักษณะที่ไม่ได้รับอนุญาต

ดำเนินการตามมาตรการรักษาความปลอดภัยเพื่อให้แน่ใจว่าข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองซึ่งส่งผ่านทางอิเล็กทรอนิกส์จะไม่ถูกแก้ไขอย่างไม่เหมาะสมโดยไม่ถูกตรวจพบจนกว่าจะถูกกำจัดทิ้ง

ปิดใช้งานการแชร์หน้าแบบสาธารณะ: การดำเนินการนี้จะปิดใช้งานตัวเลือก "แชร์ไปยังเว็บ" ในเมนูแชร์ บนทุกหน้าในพื้นที่ทำงานนี้

ไม่อนุญาตให้เชิญผู้ใช้ชั่วคราว: การดำเนินการนี้จะป้องกันไม่ให้บุคคลใดเชิญบุคคลภายนอกพื้นที่ทำงานเข้ามายังหน้าใด ๆ คุณไม่จำเป็นต้องใช้การควบคุมนี้หากต้องการเชิญผู้ใช้ชั่วคราวตามความจำเป็น แต่โปรดทราบว่า Notion อาจไม่ถูกใช้เพื่อสื่อสารกับผู้ป่วย สมาชิกแผน หรือครอบครัวและนายจ้างของพวกเขา หากคุณต้องการเปิดใช้งานผู้ใช้ชั่วคราว เราขอแนะนำให้เปิด คำขอผู้ใช้ชั่วคราว ซึ่งจะใช้กระบวนการอนุมัติเพื่อให้คุณสามารถมีผู้ใช้ชั่วคราวในพื้นที่ทำงานของคุณได้ในขณะที่ยังคงรักษามาตรฐาน HIPAA

ไม่อนุญาตให้ย้ายหรือทำซ้ำหน้าไปยังพื้นที่ทำงานอื่น: การดำเนินการนี้จะป้องกันไม่ให้บุคคลใดย้ายหรือทำซ้ำหน้าไปยังพื้นที่ทำงานอื่นผ่านการดำเนินการ "ย้ายไปที่" หรือ "ทำซ้ำ"

ไม่อนุญาตให้ส่งออก: การดำเนินการนี้จะป้องกันไม่ให้บุคคลใดส่งออกข้อมูลเป็น Markdown, CSV หรือ PDF

ไม่อนุญาตให้สร้างพื้นที่ทำงาน: การดำเนินการนี้จะป้องกันไม่ให้บุคคลใดสร้างพื้นที่ทำงานใหม่โดยไม่ได้รับการอนุมัติ

ปิดใช้งานหรืออนุญาตส่วนขยายของบุคคลที่สาม: การดำเนินการนี้จะป้องกันไม่ให้บุคคลใดเพิ่มส่วนขยายของบุคคลที่สามที่ไม่ได้รับการอนุมัติไปยังพื้นที่ทำงาน Notion ของคุณ

ปิดใช้งานการเข้าถึงพื้นที่ทำงานภายนอก: การดำเนินการนี้จะป้องกันไม่ให้ผู้ใช้ที่ได้รับการจัดการเข้าร่วมหรือเข้าถึงพื้นที่ทำงานภายนอกนอกองค์กรของคุณ

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การตรวจสอบความถูกต้องของบุคคลหรือนิติบุคคล

ดำเนินการตามขั้นตอนเพื่อตรวจสอบว่าบุคคลหรือนิติบุคคลที่ต้องการเข้าถึงข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองนั้นเป็นบุคคลหรือนิติบุคคลตามที่อ้างจริง

ปิดใช้งานการเปลี่ยนแปลงโพรไฟล์: การดำเนินการนี้จะป้องกันไม่ให้ผู้ใช้ที่ได้รับการจัดการเปลี่ยนข้อมูลโพรไฟล์ของตนเองเพื่อหลีกเลี่ยงการแอบอ้างบุคคลอื่น

การจัดการโดเมน: โดเมนหมายถึงโดเมนที่อยู่อีเมลที่เชื่อมโยงกับบัญชี Notion การยืนยันโดเมนช่วยให้เจ้าของพื้นที่ทำงานสามารถอ้างสิทธิ์ความเป็นเจ้าของโดเมน ซึ่งจะปลดล็อกการตั้งค่าการจัดการโดเมน

ไม่อนุญาตให้เชิญผู้ใช้ชั่วคราว: การดำเนินการนี้จะป้องกันไม่ให้บุคคลใดเชิญบุคคลภายนอกพื้นที่ทำงานเข้ามายังหน้าใดๆ คุณไม่จำเป็นต้องใช้การควบคุมนี้หากคุณต้องการเชิญผู้ใช้ชั่วคราวตามความจำเป็น แต่โปรดทราบว่า Notion อาจไม่ถูกใช้เพื่อสื่อสารกับผู้ป่วย สมาชิก หรือครอบครัวและนายจ้างของพวกเขา หากคุณจำเป็นต้องเปิดใช้งานผู้ใช้ชั่วคราว เราขอแนะนำให้เปิด คำขอผู้ใช้ชั่วคราว การดำเนินการนี้จะใช้กระบวนการอนุมัติเพื่อให้คุณสามารถมีผู้ใช้ชั่วคราวในพื้นที่ทำงานของคุณได้ในขณะที่ยังคงรักษาความสอดคล้องตามมาตรฐาน HIPAA

ระงับหรือลบบัญชีผู้ใช้ที่ได้รับการจัดการ: ระงับหรือลบบัญชีผู้ใช้ที่ได้รับการจัดการจากแดชบอร์ดการจัดการผู้ใช้

ปิดใช้งานการลบบัญชีผู้ใช้ที่ได้รับการจัดการ: ป้องกันไม่ให้ผู้ใช้ที่ได้รับการจัดการลบบัญชีของตนเอง

การเก็บรักษาและการกำจัดข้อมูล

ดำเนินการตามนโยบายและขั้นตอนเพื่อจัดการกับการกำจัดขั้นสุดท้ายของ PHI อิเล็กทรอนิกส์ และ/หรือฮาร์ดแวร์หรือสื่ออิเล็กทรอนิกส์ที่จัดเก็บข้อมูลดังกล่าว

การตั้งค่าการเก็บรักษาข้อมูลแบบกำหนดเอง ช่วยให้เจ้าของพื้นที่ทำงาน Enterprise สามารถควบคุมได้ว่าหน้าของผู้ใช้จะถูกลบออกจาก ถังขยะ เมื่อใด และสามารถเก็บรักษาไว้ได้นานเท่าใดหลังจากนั้น

เรามีการสำรองฐานข้อมูลไว้ ซึ่งจะช่วยให้คืนค่าเนื้อหาของคุณในช่วง 30 วันที่ผ่านมาได้หากคุณต้องการ

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

ความปลอดภัยในการส่งข้อมูล

ใช้มาตรการรักษาความปลอดภัยทางเทคนิคเพื่อป้องกันการเข้าถึง
ข้อมูลสุขภาพส่วนบุคคลทางอิเล็กทรอนิกส์ที่มีการคุ้มครอง ซึ่งกำลังถูกส่งผ่านเครือข่ายการสื่อสารทางอิเล็กทรอนิกส์โดยไม่ได้รับอนุญาต

ใช้กลไกในการเข้ารหัสข้อมูลสุขภาพส่วนบุคคลทางอิเล็กทรอนิกส์ที่มีการคุ้มครองเมื่อเห็นว่าเหมาะสม

การเข้ารหัสข้อมูลที่จัดเก็บ: ข้อมูลลูกค้าจะถูกเข้ารหัสขณะจัดเก็บโดยใช้ AES-256 ข้อมูลลูกค้าจะถูกเข้ารหัสเมื่ออยู่บนเครือข่ายภายในของ Notion, ขณะจัดเก็บในระบบคลาวด์, ตารางฐานข้อมูล และข้อมูลสำรอง

การเข้ารหัสข้อมูลระหว่างการส่ง: ข้อมูลที่ส่งระหว่างการรับส่งจะถูกเข้ารหัสโดยใช้ TLS 1.2 หรือสูงกว่า