醫療組織和 Microsoft 商務雲端服務

Microsoft Antimalware 等最新反垃圾郵件技術層可協助識別和移除已知和未知的垃圾郵件、病毒和其他惡意軟體。我們監控伺服器、網路和應用程式，以偵測入侵並防範攻擊，而我們會持續強化這些防禦功能。而在攻擊事件中，系統已準備就緒以便防禦網路並快速復原。

深入了解

無論您的資料位在本機伺服器、公用雲端或是可攜式裝置，我們可協助您確保存取您網路的人員是他們聲稱的身分、他們的資料存取權受到控制，以及只有經授權能檢視 PHI 的人員可以這麼做。

深入了解

資料加密可讓任何沒有解密金鑰的人員無法讀取資料。Microsoft 使用產業標準安全傳輸通訊協定來加密在裝置與 Microsoft 資料中心之間傳輸的資料，或在資料中心內移動的資料。為保護待用資料，Microsoft 提供各式各樣的內建加密功能。

深入了解

Microsoft 商務產品和雲端服務由獨立外部稽核員根據 ISO/IEC 27001 和 ISO/IEC 27018 等產業標準進行稽核。此外，我們也支援 HIPAA 和 HITECH 法案，以及交換的最低可接受風險標準 (MARS-E)。

HIPAA 和 HITECH 法案是美國醫療法規，是針對使用、揭露和保護個人可識別醫療資訊所建立的要求。這些法規要求醫療組織與 Microsoft 這類服務提供者簽訂合約，這類服務提供者可存取和處理病患的 PHI。這些合約或商業夥伴合約 (BAA) 釐清並限制雲端服務如何處理 PHI，並闡明各方遵守這些法律中的安全性和隱私條款。

Microsoft 已實作 HIPAA 要求的實體、技術和系統管理保護措施，以支援我們做為商務相關、符合 HITECH 法案的角色，要求在 PHI 外洩發生時通知個人和政府。儘管目前尚未有遵守這些法律的官方認證，但 BAA 涵蓋的 Microsoft 服務已接受經認可的獨立協力廠商稽核。例如，我們的 ISO/IEC 27001 稽核範圍包括處理 HIPAA 安全性措施的控制。

在 Microsoft HIPAA BAA 之下，我們提供比其他雲端提供者涵蓋更多的服務。透過 Microsoft Azure、Microsoft Dynamics 365、Microsoft Intune、Microsoft Office 365 和 Microsoft Power BI，我們提供全方位整合解決方案，包含生產力和共同作業、病患關係管理、分析、應用程式託管、資料儲存，以及應用程式和裝置管理。

儘管貴組織有責任確保您對 Microsoft 服務的特定使用符合 HIPAA 和 HITECH 法案，但 Microsoft 在提供 BAA 方面將協助您符合 HIPAA 合規性。為此我們提供適用於 Azure 的 HIPAA/HITECH 法規實作指導方針和適用於 Dynamics 365 和 Office 365 的 HIPAA 實作指導方針，以及使用 Microsoft Azure 設計安全醫療解決方案的實用指南。

醫療照護與醫療補助服務中心 (CMS) 已發佈交換的最低可接受風險標準 (MARS-E)，其中包括架構以處理受保護資料的醫療交換機密性、完整性和可用性。MARS-E 2.0 架構提供目標在於保護這些受保護資料的資訊，並適用於所有美國平價醫療法案管理實體 (包括交換或市場)。

儘管目前沒有針對 MARS-E 的正式授權和資格鑑定程序，Azure 平台服務已經過獨立 FedRAMP 稽核且已根據其標準進行驗證。儘管這些標準未特別專注於 MARS-E，但 MARS-E 控制要求和目標十分接近，且提供保證 Azure 足夠協助保護資料的機密性、完整性和可用性。

我們採取的隱私權方法歷經時間考驗，並以 Microsoft 隱私權標準和 Microsoft 安全性開發生命週期為基礎。第三方稽核和認證驗證了我們嚴格的技術開發標準，並協助確保有系統地實作隱私權和資料保護。例如，Microsoft 是第一家採用首創的雲端隱私權國際碼實務規範 ISO/IEC 27018 的主要雲端提供者。我們也透過強力的合約承諾支持這些保護措施。

最終，我們將提供您控制收集、使用和發佈您的資料：

• 我們只會將您的客戶資料用於提供我們同意的服務。我們不會針對行銷目的掃描資料，或將資料視為產品銷售給其他人。
• 您知道我們將您的客戶資料儲存在我們全球的資料中心中。您知道誰可以存取資料、在哪些情況下存取，以及資料如何有責任地受到保護、移轉和刪除。
• 當來自許多客戶的資料儲存在共用實體位置時，我們使用邏輯隔離來隔離每個客戶彼此的雲端服務資料。