การกำหนดค่า HIPAA

การควบคุมการเข้าถึง

ใช้นโยบายและขั้นตอนทางเทคนิคสำหรับระบบข้อมูลอิเล็กทรอนิกส์ที่ดูแลรักษาข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครอง เพื่ออนุญาตให้เข้าถึงได้เฉพาะบุคคลหรือโปรแกรมซอฟต์แวร์ที่ได้รับสิทธิ์การเข้าถึงเท่านั้น

SAML SSO ของ Notion สร้างขึ้นบนมาตรฐาน SAML 2.0 ซึ่งเชื่อมต่อ Identity Provider (IdP) และพื้นที่ทำงานของคุณเพื่อประสบการณ์การเข้าสู่ระบบที่ง่ายและปลอดภัยยิ่งขึ้น Notion รองรับการกำหนดค่าอย่างเป็นทางการสำหรับ SAML SSO กับ: Azure, Google, Gusto, Okta, OneLogin และ Rippling

เริ่มใช้ SAML SSO กับ Notion โดยทำตามขั้นตอนต่อไปนี้:

• ยืนยันโดเมน:หากต้องการใช้ฟีเจอร์ความปลอดภัยขั้นสูง คุณต้องยืนยันความเป็นเจ้าของโดเมนอีเมลของคุณ กระบวนการนี้เป็นแบบอัตโนมัติ โดยเพิ่มระเบียน TXT ใน DNS ของโดเมนเพื่อยืนยันความเป็นเจ้าของ

• เปิดใช้งาน SAML SSO:ขั้นตอนนี้จะเปิดฟีเจอร์และตั้งค่าให้เสร็จ ดูวิธีตั้งค่า SAML SSO เพิ่มเติมได้ใน บทความนี้

• เปลี่ยนวิธีเข้าสู่ระบบเริ่มต้น:เมื่อเปิดใช้งาน SAML SSO ครั้งแรก ระบบจะตั้งวิธีเข้าสู่ระบบเริ่มต้นเป็น วิธีใดก็ได้ ผู้ใช้จึงเลือกเข้าสู่ระบบผ่าน SAML หรือวิธีปกติได้ หากเปลี่ยนเป็น เฉพาะ SAML SSO ผู้ใช้ที่ได้รับการจัดการและมีอีเมลบริษัทที่ยืนยันแล้วจะต้องใช้ SAML เพื่อเข้าสู่ระบบในพื้นที่ทำงานนี้

• เชื่อมโยงพื้นที่ทำงานเพิ่มเติม:หากคุณมีพื้นที่ทำงานมากกว่าหนึ่งแห่งที่ต้องการกำหนดค่าให้ใช้ SSO คุณสามารถติดต่อฝ่ายสนับสนุนของ Notion→

เมื่อกำหนดค่าอย่างถูกต้องแล้ว สมาชิกทุกคนที่เข้าสู่ระบบพื้นที่ทำงานของคุณจะต้องใช้โดเมนที่ได้รับการยืนยันและจะต้องได้รับการยืนยันตัวตนผ่านผู้ให้บริการข้อมูลประจำตัวของคุณ เจ้าของพื้นที่ทำงาน Enterprise สามารถข้ามขั้นตอนได้โดยใช้วิธีเข้าสู่ระบบทางเลือกในกรณีที่เกิดความไม่สำเร็จของ IdP/SAML SSO

การระบุตัวตนผู้ใช้ที่ไม่ซ้ำกัน

กำหนดชื่อและ/หรือหมายเลขที่ไม่ซ้ำกันสำหรับการระบุและติดตามตัวตนของผู้ใช้

Notion มี SCIM API สำหรับเพิ่ม จัดการ และนำสมาชิกกับกลุ่มออก เจ้าของพื้นที่ทำงานดูคีย์ API ที่ต้องใช้ได้ที่ การตั้งค่า → ความปลอดภัยและข้อมูลประจำตัว → การกำหนดค่า SCIM แล้วคลิกเพื่อดูโทเค็น

ดูวิธีใช้งาน SCIM API ของ Notion ล่าสุดได้ใน เอกสาร SCIM ของเรา Notion รองรับแอพพลิเคชัน SCIM อย่างเป็นทางการของ Google, Gusto, Okta, OneLogin และ Rippling

ขั้นตอนการเข้าถึงฉุกเฉิน

กำหนด (และดำเนินการตามความจำเป็น) ขั้นตอนสำหรับการเข้าถึงข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองที่จำเป็นในระหว่างเหตุฉุกเฉิน

การค้นหาเนื้อหาช่วยให้เจ้าของพื้นที่ทำงานระดับ Enterprise สามารถมองเห็นเนื้อหาในพื้นที่ทำงานเพื่อปรับปรุงการกำกับดูแลและแก้ไขปัญหาการเข้าถึงหน้า การค้นหาเนื้อหาช่วยให้คุณสามารถ:

• ดูว่าใครมีสิทธิ์เข้าถึงหน้า
• แก้ไขสิทธิ์ของหน้า
• ค้นพบและกำหนดหน้าที่ถูกทิ้งร้างจากอดีตพนักงาน

คุณสามารถส่งออกหน้า Notion, ฐานข้อมูล หรือทั้งพื้นที่ทำงานได้ตลอดเวลา

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การออกจากระบบอัตโนมัติ

ดำเนินการตามขั้นตอนทางอิเล็กทรอนิกส์ที่ยุติเซสชันอิเล็กทรอนิกส์หลังจากไม่มีการใช้งานตามเวลาที่กำหนดไว้ล่วงหน้า

ตั้งระยะเวลาเซสชันเอง: เซสชันของผู้ใช้ที่ได้รับการจัดการในแพ็คเกจ Enterprise มีระยะเวลาเริ่มต้น 180 วัน แต่เจ้าของพื้นที่ทำงานปรับระยะเวลาได้ตั้งแต่ 1 ชั่วโมงถึง 180 วัน

บังคับออกจากระบบผู้ใช้ที่ได้รับการจัดการ: บังคับออกจากระบบสำหรับผู้ใช้แต่ละรายหรือสำหรับผู้ใช้ทุกคนในพื้นที่ทำงานพร้อมกัน

บังคับรีเซ็ตรหัสผ่าน: บังคับรีเซ็ตรหัสผ่านสำหรับผู้ใช้แต่ละรายหรือสำหรับผู้ใช้ทุกคนในพื้นที่ทำงานพร้อมกัน

หากคุณเพิกถอนสิทธิ์ผู้ใช้ผ่าน SCIM ผู้ใช้รายนั้นจะถูกลบออกจากพื้นที่ทำงานและเซสชันของผู้ใช้จะสิ้นสุดลง

การควบคุมการตรวจสอบ

ดำเนินการตามกลไกฮาร์ดแวร์ ซอฟต์แวร์ และ/หรือขั้นตอนที่บันทึกและตรวจสอบกิจกรรมในระบบสารสนเทศที่มีหรือใช้ข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครอง

เจ้าของพื้นที่ทำงานระดับองค์กรสามารถเข้าถึงบันทึกการตรวจสอบผ่าน การตั้งค่า สิ่งนี้จะให้ภาพรวมของเหตุการณ์ต่างๆ มากมายที่เกิดขึ้นในพื้นที่ทำงาน

สิ่งนี้มีประโยชน์อย่างยิ่งสำหรับการระบุปัญหาด้านความปลอดภัยที่อาจเกิดขึ้น การตรวจสอบพฤติกรรมที่น่าสงสัย และการแก้ไขปัญหาการเข้าถึง บันทึกการตรวจสอบของพื้นที่ทำงานสามารถส่งออกในรูปแบบ CSV ได้

ลูกค้าองค์กรยังสามารถใช้ การเชื่อมต่อกับพันธมิตรด้านการป้องกันการสูญหายของข้อมูล (DLP) ของเราเพื่อค้นหา จัดประเภท และปกป้องข้อมูลที่ละเอียดอ่อนใน Notion ได้

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การควบคุมความสมบูรณ์ของข้อมูล

ดำเนินการตามนโยบายและขั้นตอนเพื่อปกป้องข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองจากการเปลี่ยนแปลงหรือการทำลายที่ไม่เหมาะสม

ดำเนินการตามกลไกอิเล็กทรอนิกส์เพื่อยืนยันว่าข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองนั้นไม่ได้รับการเปลี่ยนแปลงหรือทำลายในลักษณะที่ไม่ได้รับอนุญาต

ดำเนินการตามมาตรการรักษาความปลอดภัยเพื่อให้แน่ใจว่าข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองซึ่งส่งผ่านทางอิเล็กทรอนิกส์จะไม่ถูกแก้ไขอย่างไม่เหมาะสมโดยไม่ถูกตรวจพบจนกว่าจะถูกกำจัดทิ้ง

ปิดการแชร์หน้าสู่สาธารณะ: ตัวเลือก แชร์ไปยังเว็บ ในเมนูแชร์จะใช้ไม่ได้กับทุกหน้าในพื้นที่ทำงานนี้

ไม่อนุญาตให้เชิญผู้ใช้ชั่วคราว: การตั้งค่านี้จะไม่ให้ใครเชิญคนภายนอกพื้นที่ทำงานเข้ามาในหน้า หากต้องการเชิญผู้ใช้ชั่วคราวตามความจำเป็น ก็ไม่ต้องเปิดการตั้งค่านี้ แต่ห้ามใช้ Notion สื่อสารกับผู้ป่วย สมาชิกแผนประกันสุขภาพ หรือครอบครัวและนายจ้างของบุคคลเหล่านั้น หากต้องการอนุญาตให้เชิญผู้ใช้ชั่วคราว เราแนะนำให้เปิด คำขอเชิญผู้ใช้ชั่วคราว เพื่อให้คำเชิญผ่านขั้นตอนการอนุมัติ และยังคงปฏิบัติตามข้อกำหนด HIPAA

ไม่อนุญาตให้ย้ายหรือทำซ้ำหน้าไปที่พื้นที่ทำงานอื่น: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามย้ายหรือทำซ้ำหน้าไปยังพื้นที่ทำงานอื่นผ่านการดำเนินการ ย้ายไปที่ หรือ ทำซ้ำ

ไม่อนุญาตให้ส่งออก: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามส่งออกเป็น Markdown, CSV หรือ PDF

ไม่อนุญาตให้สร้างพื้นที่ทำงาน: การตั้งค่านี้จะไม่ให้ใครสร้างพื้นที่ทำงานใหม่โดยไม่ได้รับอนุมัติ

ปิดใช้งานหรือกำหนดรายการส่วนขยายของบุคคลที่สามที่อนุญาต: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามเพิ่มส่วนขยายของบุคคลที่สามที่ไม่ได้รับการอนุมัติไปยังพื้นที่ทำงาน Notion ของคุณ

ปิดการเข้าถึงพื้นที่ทำงานภายนอก: การตั้งค่านี้จะไม่ให้ผู้ใช้ที่ได้รับการจัดการเข้าร่วมหรือเข้าถึงพื้นที่ทำงานนอกองค์กร

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การตรวจสอบความถูกต้องของบุคคลหรือนิติบุคคล

ดำเนินการตามขั้นตอนเพื่อตรวจสอบว่าบุคคลหรือนิติบุคคลที่ต้องการเข้าถึงข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองนั้นเป็นบุคคลหรือนิติบุคคลตามที่อ้างจริง

ปิดใช้งานการเปลี่ยนแปลงโพรไฟล์: การดำเนินการนี้จะป้องกันไม่ให้ผู้ใช้ที่ได้รับการจัดการเปลี่ยนข้อมูลโพรไฟล์ของตนเองเพื่อหลีกเลี่ยงการแอบอ้างบุคคลอื่น

การจัดการโดเมน: โดเมนในที่นี้คือโดเมนอีเมลที่เชื่อมโยงกับบัญชี Notion เจ้าของพื้นที่ทำงานยืนยันความเป็นเจ้าของโดเมนเพื่อเข้าถึงการตั้งค่าการจัดการโดเมนได้

ไม่อนุญาตให้เชิญผู้ใช้ชั่วคราว: การตั้งค่านี้จะไม่ให้ใครเชิญคนภายนอกพื้นที่ทำงานเข้ามาในหน้า หากต้องการเชิญผู้ใช้ชั่วคราวตามความจำเป็น ก็ไม่ต้องเปิดการตั้งค่านี้ แต่ห้ามใช้ Notion สื่อสารกับผู้ป่วย สมาชิกแผนประกันสุขภาพ หรือครอบครัวและนายจ้างของบุคคลเหล่านั้น หากต้องการอนุญาตให้เชิญผู้ใช้ชั่วคราว เราแนะนำให้เปิด คำขอเชิญผู้ใช้ชั่วคราว เพื่อให้คำเชิญผ่านขั้นตอนการอนุมัติ และยังคงปฏิบัติตามข้อกำหนด HIPAA

ระงับหรือลบบัญชีผู้ใช้ที่ได้รับการจัดการ: ระงับหรือลบบัญชีผู้ใช้ที่ได้รับการจัดการจากแดชบอร์ดการจัดการผู้ใช้

ปิดการลบบัญชีผู้ใช้ที่ได้รับการจัดการ: ไม่ให้ผู้ใช้ที่ได้รับการจัดการลบบัญชีของตนเอง

การเก็บรักษาและการกำจัดข้อมูล

ดำเนินการตามนโยบายและขั้นตอนเพื่อจัดการกับการกำจัดขั้นสุดท้ายของ PHI อิเล็กทรอนิกส์ และ/หรือฮาร์ดแวร์หรือสื่ออิเล็กทรอนิกส์ที่จัดเก็บข้อมูลดังกล่าว

การตั้งค่าการเก็บรักษาข้อมูลแบบกำหนดเอง ช่วยให้เจ้าของพื้นที่ทำงาน Enterprise สามารถควบคุมได้ว่าหน้าของผู้ใช้จะถูกลบออกจาก ถังขยะ เมื่อใด และสามารถเก็บรักษาไว้ได้นานเท่าใดหลังจากนั้น

เรามีการสำรองฐานข้อมูลไว้ ซึ่งจะช่วยให้คืนค่าเนื้อหาของคุณในช่วง 30 วันที่ผ่านมาได้หากคุณต้องการ

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

ความปลอดภัยในการส่งข้อมูล

ใช้มาตรการรักษาความปลอดภัยทางเทคนิคเพื่อป้องกันการเข้าถึง
ข้อมูลสุขภาพส่วนบุคคลทางอิเล็กทรอนิกส์ที่มีการคุ้มครอง ซึ่งกำลังถูกส่งผ่านเครือข่ายการสื่อสารทางอิเล็กทรอนิกส์โดยไม่ได้รับอนุญาต

ใช้กลไกในการเข้ารหัสข้อมูลสุขภาพส่วนบุคคลทางอิเล็กทรอนิกส์ที่มีการคุ้มครองเมื่อเห็นว่าเหมาะสม

การเข้ารหัสข้อมูลที่จัดเก็บ: ข้อมูลลูกค้าจะถูกเข้ารหัสในขณะจัดเก็บโดยใช้ AES-256 ข้อมูลลูกค้าจะถูกเข้ารหัสเมื่ออยู่บนเครือข่ายภายในของ Notion ในขณะจัดเก็บในระบบคลาวด์ ตารางฐานข้อมูล และการสำรองข้อมูล

การเข้ารหัสข้อมูลระหว่างรับส่ง: ข้อมูลที่ส่งระหว่างรับส่งจะถูกเข้ารหัสโดยใช้ TLS 1.2 หรือสูงกว่า