Fabric: hoe voer je HIPAA-normen uit?

Samenvatting

Fabric laat in HIPAA-audits een gat zien: de audittrail registreert activiteit op itemniveau, niet op recordniveau.

Fabric en HIPAA: wat er gebeurt

Een gebruiker op Reddit onderzoekt hoe Fabric onder HIPAA verdedigbaar kan worden ingericht. De aanleiding is een audit waarbij moet worden vastgesteld welke PHI is bekeken en door wie.

Fabric schrijft activiteiten naar het Purview- en Microsoft 365-auditlog. Volgens de beschreven productervaring blijft de audittrail echter op itemniveau steken. Daardoor is niet rechtstreeks vast te stellen welk afzonderlijk record met PHI is geraadpleegd en welke gebruiker dat deed.

De discussie komt uit r/MicrosoftFabric en vormt geen officiële Microsoft-richtlijn. Wel legt de bijdrage een concreet controleprobleem bloot: beschikbare logging is niet automatisch hetzelfde als bewijs op het niveau dat een auditor vraagt.

Waarom Fabric en HIPAA belangrijk zijn

Voor BI-teams in een HIPAA-context gaat rapportagecontrole verder dan toegang tot een workspace of een dataset. Een auditor kan ook vragen om herleidbaarheid van toegang tot beschermde gezondheidsinformatie. Daarvoor moet de logging aansluiten op de granulariteit van de controle.

Het onderscheid tussen itemniveau en recordniveau bepaalt hoeveel bewijs een team werkelijk kan leveren. Een logregel over activiteit rond een Fabric-item vertelt niet vanzelf welk PHI-record is geraakt. Purview en het Microsoft 365-auditlog bieden in deze situatie dus niet zonder meer het volledige antwoord op de auditvraag uit de bron.

De kern is geen rapportfunctie, maar bewijsvoering. Teams moeten daarom de vereiste auditvragen naast de feitelijke Fabric-logs leggen, zonder aan te nemen dat een aanwezige audittrail iedere HIPAA-vraag afdekt.

Concrete takeaway voor Fabric en HIPAA

Test met representatieve PHI-gegevens of je per toegang zowel de gebruiker als het afzonderlijke record kunt reconstrueren. Leg elke ontbrekende schakel vast en bespreek die vóór de audit met compliance en de eigenaar van Fabric; baseer de controle niet alleen op aanwezigheid van Purview- of Microsoft 365-logregels.