Configuración de HIPAA

Control del acceso

Adopta políticas y procedimientos técnicos para los sistemas de información electrónica que recopilan información médica electrónica protegida; de esta manera, solo podrán acceder las personas o programas de software que cuenten con derechos de acceso.

El inicio de sesión único de SAML de Notion utiliza el estándar SAML 2.0. De esta forma, conecta un proveedor de identidad (IdP) y tus espacios de trabajo para que el proceso de inicio de sesión sea más fácil y seguro. Notion es compatible con configuraciones oficiales de inicio de sesión único de SAML con Azure, Google, Gusto, Okta, OneLogin y Rippling.

Para comenzar a utilizar el inicio de sesión único de SAML con Notion, debes completar los siguientes pasos:

• Verificar el (los) dominio(s):Para utilizar funciones de seguridad avanzadas, debes verificar la propiedad de tu dominio de correo electrónico. Se trata de un proceso automatizado que consiste en agregar un registro TXT en el DNS de tu dominio para verificar tu propiedad del mismo.

• Activar el inicio de sesión único de SAML:Esto activará la función y completará la configuración. Para obtener más información sobre cómo completar la configuración del inicio de sesión único de SAML, consulta este artículo.

• Cambiar el método de inicio de sesión predeterminado:Una vez que el inicio de sesión único de SAML esté habilitado por primera vez, el método de inicio de sesión predeterminado se establecerá en Cualquier método, lo que significa que los usuarios tienen la opción de iniciar sesión a través de SAML o su método de inicio de sesión normal. Al establecer esto en Solo el inicio de sesión único de SAML, se aplicará SAML como el método de inicio de sesión para tu espacio de trabajo para los usuarios administrados con correos electrónicos de empresa verificados.

• Vincular espacios de trabajo adicionales:Si tienes más de un espacio de trabajo que te gustaría configurar con SSO, puedes hacerlo comunicándote a [email protected].

Después de completar la configuración como corresponde, todos los miembros que inicien sesión en tus espacios de trabajo deberán usar el dominio verificado y autenticarse a través de tu proveedor de identidad. Los propietarios de espacios de trabajo del plan Enterprise pueden omitir este paso y usar un método de inicio de sesión alternativo en caso de que haya un error con el inicio de sesión único de SAML/IdP.

Identificación de usuario única

Asigna un nombre o número únicos para identificar y hacer un seguimiento de la identidad del usuario.

Notion tiene una API de SCIM que se puede utilizar para aprovisionar, gestionar y eliminar miembros y grupos. El Propietario del espacio de trabajo puede encontrar la clave de API necesaria yendo a Configuración → Seguridad e identidad → Configuración de SCIM y haciendo clic para ver el token.

Consulta nuestra documentación de SCIM para obtener la información más reciente sobre cómo puedes interactuar con la API de SCIM de Notion. Notion admite aplicaciones oficiales de SCIM con Google, Gusto, Okta, OneLogin y Rippling.

Procedimiento de acceso de emergencia

Establece (y, cuando corresponda, implementa) procedimientos para obtener la información médica electrónica protegida necesaria durante una emergencia.

La Búsqueda de contenido proporciona a los Propietarios del espacio de trabajo del plan Enterprise visibilidad sobre el contenido del espacio de trabajo para mejorar la gobernanza y resolver problemas de acceso a las páginas. La Búsqueda de contenido te permite:

• Ver quién tiene acceso a una página
• Modificar los permisos de una página
• Identificar y reasignar páginas abandonadas de exempleados

Puedes exportar una página, base de datos o el espacio de trabajo completo de Notion en cualquier momento.

Para Notion Mail y Notion Calendar, habilita el cumplimiento de la ley HIPAA con Google Workspace.

Cierre de sesión automático

Implementa procedimientos electrónicos que finalizan una sesión después de un tiempo de inactividad predeterminado.

Establecer una duración de sesión personalizada: para los usuarios administrados en el plan Enterprise, Notion tiene una duración de sesión predeterminada de 180 días. Sin embargo, los propietarios del espacio de trabajo pueden personalizar la duración de su sesión de 1 hora a 180 días.

Forzar el cierre de sesión de los usuarios administrados: fuerza el cierre de sesión de usuarios individuales o de todos los usuarios del espacio de trabajo a la vez.

Forzar el restablecimiento de contraseña: fuerza el restablecimiento de la contraseña de usuarios individuales o de todos los usuarios del espacio de trabajo a la vez.

Si eliminas a un usuario a través de SCIM, se le eliminará del espacio de trabajo y se finalizará su sesión.

Controles de auditoría

Implementa mecanismos de hardware, software o procedimentales que registren y examinen la actividad en sistemas de información que contengan o usen información médica electrónica protegida.

Los propietarios de espacios de trabajo del plan Enterprise pueden acceder a un registro de auditoría desde Configuración. Este registro te brinda una descripción general de una amplio abanico de eventos que sucedieron en el espacio de trabajo.

Esto puede ser muy útil para identificar posibles problemas de seguridad, investigar comportamientos sospechosos y solucionar inconvenientes de acceso. El registro de auditoría del espacio de trabajo se puede exportar en formato CSV.

Los clientes del plan Enterprise también pueden utilizar nuestras conexiones de socios de prevención de la pérdida de datos (DLP) para descubrir, clasificar y proteger datos confidenciales en Notion.

Para Notion Mail y Notion Calendar, habilita el cumplimiento de la ley HIPAA con Google Workspace.

Controles de integridad

Implementa políticas y procedimientos para proteger la información de salud protegida en formato electrónico contra alteraciones o destrucciones indebidas.

Implementa mecanismos electrónicos para corroborar que la información de salud protegida en formato electrónico no se haya alterado o destruido sin autorización.

Implementa medidas de seguridad para garantizar que la información de salud protegida transmitida en formato electrónico no se modifique de forma indebida sin ser detectada hasta su eliminación.

Desactivar el uso compartido de páginas públicas: esto desactivará la opción “Compartir en la Web” del menú “Compartir” en todas las páginas de este espacio de trabajo.

Desactivar invitados: esto impide que cualquier persona invite a personas ajenas al espacio de trabajo a cualquier página. No necesitas usar este control si deseas invitar invitados según sea necesario, pero ten en cuenta que Notion no debe utilizarse para comunicarse con pacientes, miembros de planes ni con sus familias y empleadores. Si necesitas habilitar invitados, recomendamos activar solicitudes de invitados. Esto implementa un proceso de aprobación para que puedas tener invitados en tu espacio de trabajo mientras garantizas el cumplimiento de HIPAA.

Desactivar la función de mover o duplicar páginas a otros espacios de trabajo: esto impide que cualquier persona mueva o duplique páginas a otros espacios de trabajo mediante la acción “Mover a” o “Duplicar”.

Desactivar exportación: esto impide que cualquier persona exporte en formato Markdown, CSV o PDF.

Desactivar la creación de espacios de trabajo: esto impide que cualquier persona cree nuevos espacios de trabajo sin aprobación.

Desactivar o incluir en la lista de aprobación extensiones de terceros: esto impide que cualquier persona agregue extensiones de terceros no aprobadas a tu espacio de trabajo de Notion.

Desactivar el acceso a espacios de trabajo externos: esto impide que los usuarios administrados se unan o accedan a espacios de trabajo externos fuera de tu organización.

Para Notion Mail y Notion Calendar, habilita el cumplimiento de la ley HIPAA con Google Workspace.

Autenticación de personas o entidades

Implementa procedimientos para verificar que una persona o entidad que pretende acceder a información médica electrónica protegida sea quien dice ser.

Desactivar cambios de perfil: esto impide que los usuarios administrados cambien su propia información de perfil para evitar suplantaciones de identidad.

Gestión de dominios: el dominio hace referencia al dominio de la dirección de correo electrónico asociado a una cuenta de Notion. La verificación del dominio permite a los Propietarios del espacio de trabajo reclamar la propiedad de un dominio, lo cual desbloquea los ajustes de gestión de dominios.

Desactivar invitados: esto impide que cualquier persona invite a personas ajenas al espacio de trabajo a cualquier página. No necesitas usar este control si deseas invitar invitados según sea necesario, pero ten en cuenta que Notion no debe utilizarse para comunicarse con pacientes, miembros de planes ni con sus familias y empleadores. Si necesitas habilitar invitados, recomendamos activar solicitudes de invitados. Esto implementa un proceso de aprobación para que puedas tener invitados en tu espacio de trabajo mientras garantizas el cumplimiento de HIPAA.

Suspender o eliminar cuentas de usuarios administrados: suspende o elimina cuentas de usuarios administrados desde el panel de control de Gestión de usuarios.

Desactivar eliminación de cuentas de usuarios administrados: impide que los usuarios administrados eliminen sus cuentas por sí solos.

Retención y eliminación de datos

Implementa políticas y procedimientos para abordar la eliminación definitiva de la PHI electrónica, así como el hardware o los medios de soporte electrónicos en los que se almacena.

La posibilidad de configurar la retención de datos permite a los propietarios de espacios de trabajo del plan Enterprise determinar cuándo se eliminan las páginas de los usuarios de la Papelera y cuánto tiempo más se pueden conservarlas después.

Guardamos copias de seguridad de nuestra base de datos, lo que nos permite restaurar tu contenido de los últimos 30 días en caso de que lo necesites.

Para Notion Mail y Notion Calendar, habilita el cumplimiento de la ley HIPAA con Google Workspace.

Seguridad de las transmisiones

Implementar medidas técnicas de seguridad frente al
acceso no autorizado a la información médica electrónica protegida que se transmite a través de una red de comunicaciones electrónicas.

Implementar un mecanismo para cifrar la información médica electrónica protegida cuando se considere apropiado.

Cifrado en reposo: los datos de los clientes se cifran en reposo mediante el algoritmo AES-256. Se cifran los datos de los clientes que están en las redes internas de Notion, en reposo en el almacenamiento en la nube, en las tablas de bases de datos y en las copias de seguridad.

Cifrado en tránsito: los datos que se envían en tránsito se cifran mediante el protocolo TLS 1.2 o superior.