Codex için HIPAA yapılandırma kılavuzu

Bu kılavuz kimler için

Bu kılavuz, BT yöneticilerinin ve uyumluluk uzmanlarının Codex'te Korunan Sağlık Bilgilerini (PHI) yönetmeye ilişkin ortak sorumluluğu anlamaları için hazırlanmıştır. Codex; kullanıcılarınızın bilgisayarlarında çalışan ChatGPT masaüstü uygulamasını, Codex IDE uzantısını ve Codex CLI'ı kapsar. Codex'in bulutta kullanılması bu kapsama dahil değildir.

ChatGPT for Healthcare, ChatGPT for Clinicians veya bir Regulated çalışma alanı kullanıyorsanız, geçerli bir OpenAI İş Ortağı Sözleşmesine (BAA) ve gerekli Codex erişimine sahipseniz OpenAI, Codex'ten aldığı PHI'ı BAA'ya uygun biçimde işler. OpenAI, Codex kullanımınız aracılığıyla aldığı istemleri, dosyaları ve diğer girdileri güvenli biçimde işler ve çıktıları size güvenli biçimde döndürür.

OpenAI hizmetlerinin güvenliğini sağlama sorumluluğu OpenAI ile kuruluşunuz arasında paylaşılır. Yerel iş istasyonlarını, kaynak depolarını, yerel saklama ayarlarını, yerel MCP sunucularını, Browser Use ve Computer Use etkinliklerini, masaüstü uygulamalarını ve eklentiler ile uygulamalar gibi üçüncü taraf hizmetlerini güvenli biçimde yapılandırmak sizin sorumluluğunuzdadır.

OpenAI, Codex'i yapılandırmanıza yardımcı olmak amacıyla web sayfamız, belgeler ve Trust Portal'daki Codex Güvenlik Teknik İncelemesi dahil olmak üzere çeşitli kaynaklar sunar. Codex'in PHI ile kullanılmasına izin vermeden önce bu materyali inceleyin. Bu kılavuz, söz konusu araçlardan bazılarının nasıl kullanılabileceğine ilişkin örnekler sunar.

Ortak sorumluluk

Çoğu bulut çözümünde olduğu gibi bulut hizmeti sağlayıcısı ile müşteri, uyumluluk sorumluluğunu paylaşır. ChatGPT Enterprise, girdileri ve çıktıları OpenAI bulutunda saklar. Kullanıcılarınızın iş istasyonları ise Codex'ten gelen girdileri ve çıktıları tutar. Codex, çıkarım yapılması için istemler ve dosyalar gibi girdileri OpenAI'a gönderir; OpenAI da çıktıları geri döndürür. ChatGPT aracılığıyla kimlik doğrulaması yapılan kullanımlarda OpenAI, Compliance API üzerinden alabilmeniz için denetim kayıtlarını 30 güne kadar tutar. OpenAI, ChatGPT Enterprise verileri veya Codex verileri üzerinde eğitim yapmaz.

Yerel iş istasyonu yapılandırmanız, özellikle de TOML politika dosyaları, Codex'in bir kullanıcının makinesinde neler yapabileceğini belirler. Bu yapılandırma; Codex'in dosya okuyup yazabilmesini, komut çalıştırabilmesini, ağ erişimini kullanabilmesini, eklentileri veya bağlayıcıları çağırabilmesini, MCP araçlarını kullanabilmesini, tarayıcı yüzeylerini açabilmesini ve yerel dökümleri tutabilmesini etkiler.

Bu ayarlar OpenAI'ın BAA kapsamındaki yükümlülüklerini değiştirmez ancak HIPAA korumalarınız açısından merkezi öneme sahiptir. Bu ayarları PHI işleme politikalarınıza uygun biçimde yapılandırmak sizin sorumluluğunuzdadır.

OpenAI güvenlik programı

OpenAI, OpenAI hizmetleri tarafından işlenen verileri korumak ve düzenlemeye tabi kuruluşların uyumluluk yükümlülüklerini yerine getirmesini desteklemek üzere tasarlanmış kurumsal bir güvenlik programı yürütür. OpenAI'ın güvenlik programı hakkında daha fazla bilgiye Trust Portal üzerinden ulaşabilirsiniz.

OpenAI, bir Kurumsal Risk Yönetimi programı ve yönetim kurulu komitelerine raporlamayı içeren resmî bir risk yönetişimi yapısı uygular. Ürün güvence faaliyetleri, ürünlerin kullanıma sunulması sırasında HIPAA uyumluluğunu destekleyen şifreleme, asgari ayrıcalıklı erişim ve ayrıntılı günlük kaydı gibi korumaların sürdürülmesine yardımcı olur. Ürün risk değerlendirmeleri, denetim izleme ve uyumluluk incelemeleri; verilerinize yönelik makul ölçüde öngörülebilir risklerin belirlenmesine, korumaların etkinliğinin değerlendirilmesine ve ChatGPT Enterprise, API platformu ile Codex'le ilgili hizmetlerde kullanılan denetimlerin sürekli iyileştirilmesine katkıda bulunur.

Güvenli geliştirme ve CI/CD korumaları, Codex'le ilgili hizmetlerde yapılan değişikliklerin yetkisiz erişim, veri sızıntısı veya bütünlük sorunlarına yol açma riskini azaltmaya yardımcı olur. Bu korumalar; denetimli kaynak erişimini, meslektaş incelemesini, otomatik testleri, derleme ve dağıtım iş akışlarındaki güvenlik kontrollerini, gizli bilgi işleme denetimlerini ve izlenen dağıtım süreçlerini kapsar. Denetimli bir yazılım teslim süreci OpenAI hizmet katmanını desteklerken yerel depo düzeninden, iş istasyonu güvenliğinden ve yerel politika dosyası yapılandırmasının izin verdiği davranışlardan yine siz sorumlusunuzdur.

OpenAI'ın güvenlik açığı yönetimi programı; sürekli taramaları, bağımlılık ve altyapı incelemelerini, önem derecesine dayalı önceliklendirmeyi, düzeltme takibini ve düzeltmelerin doğrulanmasını kapsar. OpenAI ayrıca güvenlik zayıflıklarını verilerinizi etkilemeden önce belirlemek ve gidermek için kurum içi ve haricî red team'lerden, bağımsız güvenlik testlerinden ve sorumlu açıklama kanallarından yararlanır.

Veri koruma denetimleri; verilerinizin aktarım sırasında ve bekleme durumunda şifrelenmesini, kimlik ve erişim denetimlerini, role dayalı yönetimi, günlük kaydını ve geçerli ChatGPT Enterprise veya API kuruluş ayarlarına uyan saklama denetimlerini kapsar.

Codex'te oturum açma

Codex, OpenAI modelleri kullanılırken iki OpenAI oturum açma yöntemini destekler: abonelik erişimi için ChatGPT ile oturum açma ve kullanıma dayalı erişim için API key ile oturum açma. ChatGPT ile oturum açmak için HIPAA'ya uygun bir hesap, geçerli OpenAI BAA ve gerekli Codex erişimi ile çalışma alanı izinleri gerekir. API key ile oturum açmada BAA, OpenAI tarafından işlenen verileri yalnızca Değiştirilmiş Saklama özelliğine sahip API Services'ı Uygun Hizmet olarak içeriyorsa kapsar. Aksi belirtilmediği sürece OpenAI'ın API kuruluşuna Değiştirilmiş Saklama özelliğini de sağlaması gerekir. Daha fazla bilgi için HIPAA'ya Uygun Ürünler ve İşlevler sayfasına bakın. Yüklü herhangi bir eklenti veya uygulama üzerinden PHI'a erişebilecek her üçüncü tarafla BAA imzalamak sizin sorumluluğunuzdadır.

ChatGPT ile oturum açıldığında Codex kullanımı; kullanıcının ChatGPT çalışma alanı izinlerine, role dayalı erişim denetimine (RBAC) ve ChatGPT Enterprise saklama ile veri yerleşimi ayarlarına tabidir. API key ile oturum açıldığında ise Codex kullanımı, ChatGPT çalışma alanı ayarları yerine OpenAI API kuruluşunun saklama, veri paylaşımı ve yönetim ayarlarına tabidir. API key ile oturum açma, güvenilir CI/CD görevleri gibi programatik Codex CLI iş akışlarında yaygın olarak kullanılır; ancak API key'leri herkese açık veya güvenilmeyen yürütme ortamlarında açığa çıkarmamalısınız.

Sorumluluklarınız

Codex'in çalıştığı iş istasyonlarından siz sorumlu olmaya devam edersiniz. İş istasyonu yapılandırması, işletim sistemi güvenliği, disk şifreleme, kötü amaçlı yazılım koruması, cihaz yönetimi, yamalama, kullanıcı erişimi, güvenli kimlik bilgisi saklama ve yerel saklama gibi denetimleri kapsayacak şekilde yerel Codex kullanımı için kendi risk analizinizi tamamlayın.

Hangi kullanıcıların Codex'i kullanabileceğine, hangi oturum açma yöntemlerini kullanabileceklerine, hangi çalışma alanlarına erişebileceklerine, API key ile oturum açıp açamayacaklarına, hangi depoların ve klasörlerin PHI içerebileceğine ve Codex'in haricî hizmetleri kullanıp kullanamayacağına siz karar verirsiniz.

Etkinleştirilmiş üçüncü taraf hizmetlerinden ve hangi kullanıcıların bunlara erişebildiğinden de siz sorumlusunuzdur. Kuruluşunuz PHI bulunan bir ortamda Microsoft SharePoint, Google Drive, GitHub veya başka bir hizmet için tarayıcı hedefi, eklenti, bağlayıcı ya da MCP sunucusu etkinleştirirse kuruluşunuzun söz konusu hizmeti PHI için onayladığını ve uygun bir BAA'ya veya benzer bir sağlık hizmetleri ek sözleşmesine sahip olduğunu doğrulayın. OpenAI'ın BAA'sı, başka bir sağlayıcının hedefini HIPAA uyumlu hâle getirmez.

Aşağıdaki bölümlerde, Codex'in çalışma şeklini denetlemek için requirements.toml politika yapılandırma dosyasını ve ilgili ayarları nasıl kullanabileceğiniz açıklanmaktadır. Diğer ayarlar için OpenAI belgelerini inceleyin ve Codex'in yetenekleri değiştikçe bu incelemeyi düzenli aralıklarla yineleyin.

Codex'i etkinleştirme

Çalışma alanınızda Codex Local'ı etkinleştirmek, kullanıcıların gerekli izinlere sahip olduğunu ve OpenAI ile bir BAA'nız bulunduğunu doğrulamak için Codex Enterprise yönetici kurulumu talimatlarını izleyin.

BAA, Codex cloud'u kapsamaz. Codex cloud'u PHI ile kullanmayın.

Role dayalı erişim denetimini yapılandırma

RBAC kullanarak Codex'e ve yapılandırmasına erişimi özelleştirebilirsiniz. Örneğin PHI ile etkileşim kurmayan kullanıcılara daha izin verici bir yapılandırma sunulabilirken PHI ile etkileşim kuran kullanıcılara bu kılavuzdaki yapılandırma sunulabilir. Kuruluş genelindeki Codex erişimini ChatGPT yönetici izinleri ve rolleri sayfasından denetleyin. Belirli kullanıcıların erişimini denetlemek için gruplar oluşturun ve bu grupların izinlerini düzenleyin.

Eklentileri ve bağlayıcıları inceleme

ChatGPT masaüstü uygulamasındaki Codex ve Codex CLI, bağlayıcılar ile beceriler içerebilen eklentileri destekler. Eklentiler IDE uzantısında kullanılamaz. Bağlayıcılar, üçüncü taraf veri kaynaklarıyla veri alışverişi yapmanızı sağlar. Bağlayıcı içeren bir eklentiyi etkinleştirmeden önce bağlayıcı üzerinden veri alan herhangi bir üçüncü tarafla BAA yapmanız gerekip gerekmediğini belirleyin. Beceriler, politika yapılandırması kapsamında çalışan talimatlardır. Diğer betiklerde yaptığınız gibi becerilerin amaca uygunluğunu inceleyin.

Kullanıcıların bir eklentiyi kullanabilmesi için çalışma alanı yöneticilerinin eklentiyi eklenti denetimleri aracılığıyla kullanılabilir hâle getirmesi ve bağlayıcılarını ayrıca etkinleştirmesi gerekir. Bağlayıcı erişimini bağlayıcı ayarlarından yapılandırın.

Yönetilen gereksinimleri ve varsayılanları yapılandırma

TOML yapılandırma dosyalarındaki gereksinimler ve yönetilen varsayılanlar, Codex davranışını yönetir. Kullanıcıların geçersiz kılamayacağı, yönetici tarafından uygulanan kısıtlamalar belirlemek için requirements.toml içindeki yönetilen gereksinimleri kullanın. OpenAI, PHI veri işleme gereksinimlerinizi uygulamak için yönetilen yapılandırmayı kullanmanızı önerir.

Yöneticiler, requirements.toml ile uyumlu söz dizimini kullanarak Codex yönetilen yapılandırma sayfasında buluttan yönetilen gereksinimleri yapılandırabilir. Gereksinimleri macOS MDM gibi cihaz yönetimi araçlarıyla da dağıtabilirler. Codex gereksinimleri düşükten yükseğe şu öncelik sırasıyla uygular: sistem requirements.toml, buluttan yönetilen gereksinimler, eski managed_config.toml gereksinimleri ve macOS MDM gereksinimleri. Daha yüksek öncelikli katmanlar sıradan skaler ve liste değerlerini geçersiz kılar; bazı gereksinimlerde alana özgü birleştirme davranışı bulunur.

PHI iş akışlarını onaylı bir ChatGPT çalışma alanıyla sınırlamak için hem allowed_login_methods = ["chatgpt"] hem de allowed_chatgpt_workspaces = ["<workspace-id>"] ayarını sistem requirements.toml veya MDM üzerinden dağıtın. Buluttan yönetilen gereksinimler bu iki ayarı da yok sayar ve yalnızca çalışma alanı kısıtlamaları API key ile oturum açmayı engellemez. API key iş akışları, çalışma alanının buluttan yönetilen gereksinimlerini almadığından sistem veya MDM gereksinimlerine de ihtiyaç duyar.

Yönetilen varsayılanlar, gereksinimlerden ayrıdır. Codex'in başlangıçta kullandığı yapılandırmayı belirlerler ancak kullanıcılar oturum sırasında bu ayarları değiştirebilir. Codex, bir sonraki başlatılışında varsayılanları yeniden uygular. Yönetilen varsayılanları katı uyumluluk uygulaması için değil, standartlaştırma amacıyla kullanın. Örneğin varsayılan bir model, izin profili veya tercih edilen başka bir yerel davranış belirleyebilirsiniz. Bir ayarın PHI iş akışlarında atlanamaz olması gerekiyorsa bunu varsayılanlar yerine gereksinimlere ekleyin. Yönetilen varsayılanlarda en yüksek önceliğe macOS MDM yönetilen tercihleri sahiptir; bunları sırasıyla sistem managed_config.toml ve kullanıcının yerel config.toml ayarı izler.

Aşağıdaki tablo, Codex'i yapılandırmak için kullanılabilen bazı ayarları özetler. Codex'i uyumluluk ihtiyaçlarınıza uygun biçimde yapılandırmak için bu ayarları ve Kaynaklar bölümündeki kaynakları inceleyin.

1. "granular" değeri, yöneticilerin ayrıntılı onay politikalarına izin vermesini sağlar. allowed_approval_policies içinde bunu, her onay kategorisini tanımlayan bir satır içi tablo olarak kodlayın:

   allowed_approval_policies = [
     "on-request",
     "untrusted",
     "never",
     { granular = { sandbox_approval = true, rules = true, mcp_elicitations = true, request_permissions = true, skill_approval = true } },
   ]

config.toml içinde ayrıntılı bir politika seçmek için approval_policy ayarını aynı satır içi tablo yapısıyla yapılandırın. Bir kategori false olduğunda Codex onay istemek yerine bu istekleri reddeder.

2. İzin profili izin listeleri için Codex 0.138.0 veya üzeri gerekir. Tablodaki kısıtlamayı uygulamak için eksiksiz izin listesini requirements.toml içine ekleyin:

   default_permissions = ":workspace"

   [allowed_permission_profiles]
   ":read-only" = true
   ":workspace" = true

[allowed_permission_profiles] mevcut olduğunda belirtilmeyen profiller reddedilir. Dolayısıyla :danger-full-access değerinin belirtilmemesi, kullanıcıların tam erişimi seçmesini engeller.

untrusted değerini allowed_approval_policies içinde tutarak Codex’in daha katı onay ilkesini koruyun; Codex bu ilkeyi trust_level = "untrusted" ayarına sahip projeler için türetir. approval_policy = "untrusted" ayarını doğrudan yapmayın; Codex ve ChatGPT Work artık bu ayarı desteklemiyor. Kullanımdan kaldırılan untrusted onay ilkesinden geçiş bölümüne bakın.

Örnek 1: Google Drive eklentisini etkinleştirme

Google Drive'ı yalnızca veri akışını, OAuth kapsamlarını, erişim denetimlerini ve üçüncü taraf BAA durumunu doğruladıktan sonra onaylı bir grup için etkinleştirin. OpenAI'ın BAA'sı, OpenAI'ın PHI'ı işlemesini düzenler; PHI alıcısı veya saklayıcısı olarak Google'ı otomatik biçimde kapsamaz.

Çalışma alanından yönetilen bu bağlayıcı, ChatGPT ile oturum açılmasını gerektirir ve API key ile kimlik doğrulamasında kullanılamaz.

Codex, bağlayıcı ayarları için apps yapılandırma anahtarını kullanır. Bu örnek, Google Drive bağlayıcısının yerel varsayılanlarını belirler. <approved-google-drive-app-id> değerini onaylı kurulumunuzdaki tam uygulama kimliğiyle değiştirin; görünen ad veya tahminî bir kimlik yapılandırmayı uygulamaz.

# Example config.toml change for a group approved to use
# the Google Drive connector with PHI, after legal and security review.
[features]
apps = true
[apps."<approved-google-drive-app-id>"]
enabled = true
destructive_enabled = false
default_tools_approval_mode = "prompt"

Kullanıcıların yapılandırabildiği bu varsayılanlar, yıkıcı olarak işaretlenen bağlayıcı araçlarını engeller ve uygulama düzeyindeki ya da araç başına ayarlar bunları geçersiz kılmadığı sürece onay ister. Bunlar, atlanamaz yönetici denetimleri değildir. Erişimi kısıtlamak için çalışma alanı ve RBAC denetimlerini; bir uygulamayı devre dışı bırakmak veya belirli onaylı araçlar için onay gerektirmek üzere yönetilen gereksinimleri kullanın. Kullanılabildiği durumlarda bağlayıcı etkinliğini Google Workspace denetim günlüklerinden inceleyin.

Örnek 2: GitHub'ı yerel olarak kullanma

Birçok ekip yerel geliştirme için geliştiricinin iş istasyonundaki Git veya GitHub CLI'ı kullanır. Bu, Codex cloud'dan farklıdır. Depolar, sorunlar, pull request'ler veya yorumlar PHI içerebiliyorsa bu yolu etkinleştirmeden önce kuruluşunuzun GitHub ortamını söz konusu veriler için onayladığını doğrulayın.

# Example requirements.toml addition for local GitHub use.
# This doesn't enable Codex cloud. It keeps repository actions reviewable.
[rules]
prefix_rules = [
  { pattern = [{ token = "git" }, { any_of = ["push", "commit"] }], decision = "prompt", justification = "Require review before changing repository history." },
  { pattern = [{ token = "gh" }], decision = "prompt", justification = "Require review before using GitHub CLI." },
]

Bu politika GitHub kullanımını engellemez. Codex depo geçmişini değiştirmeden veya GitHub CLI komutlarını kullanmadan önce bir inceleme noktası oluşturur.

İsteğe bağlı: İncelenmiş bir GitHub MCP sunucusu kullanma

Ekibiniz yalnızca yerel Git komutları yerine bir GitHub MCP sunucusu kullanıyorsa tam olarak onaylanan sunucu kimliğini izin listesine alın ve araçları onaylanan en küçük kümeyle sınırlayın.

# Optional: allow a vetted GitHub MCP server.
# Use the exact approved server identity for your environment.
# requirements.toml
[mcp_servers.github]
identity = { url = "https://github-mcp.example.com/mcp" }
# config.toml
[mcp_servers.github]
url = "https://github-mcp.example.com/mcp"
enabled = true
default_tools_approval_mode = "prompt"
enabled_tools = ["<approved-read-tools>", "<approved-pr-tools>"]

Uygulamaya yönelik kullanıma sunma adımları

1. Onaylı oturum açma yolunu seçin. Kullanıcıların Codex Local'da kimlik doğrulaması için ChatGPT'yi mi, API key'leri mi yoksa ayrı iş akışları için her ikisini mi kullanacağına karar verin.
2. OpenAI ile BAA'yı doğrulayın. BAA'nızın onaylı oturum açma yollarınızı kapsadığını doğrulayın. API key iş akışlarında sözleşmenin Değiştirilmiş Saklama özelliğine sahip API Services'ı Uygun Hizmet olarak içerdiğini ve OpenAI'ın API kuruluşuna Değiştirilmiş Saklama özelliğini sağladığını doğrulayın. Bir ChatGPT çalışma alanında Codex HIPAA desteğini etkinleştirmek için OpenAI Hesap Direktörünüzle iletişime geçin.
3. Codex Local'ı etkinleştirin ve RBAC gruplarını tanımlayın. Codex Local'ı etkinleştirmek, küçük bir Codex Admin grubu oluşturmak ve Codex Users ile Codex PHI Users gibi RBAC grupları üzerinden Codex erişimi atamak için Codex Enterprise yönetici kurulumunu kullanın.
4. Yönetici tarafından uygulanan requirements.toml ayarını ve yönetilen varsayılanları dağıtın. Desteklenen başlangıç politikası ayarları için buluttan yönetilen gereksinimleri, MDM'yi veya sistem yapılandırmasını kullanın. Oturum açma kısıtlamaları, çalışma alanı sabitleme ve API key iş akışları için sistem yapılandırmasını veya MDM'yi kullanın. İzin profillerini, onay politikalarını, web araması modlarını, özellik sabitlemelerini, ağ gereksinimlerini, komut kurallarını ve MCP izin listelerini yapılandırın.
5. Kullanıcıları onaylar ve korumalı alan sınırları konusunda eğitin. Codex'in korumalı alan içinde ne zaman işlem yapabileceğini, ne zaman onay istediğini ve kullanıcıların ağ, dosya aktarımı, depoya yazma ve üçüncü taraf bağlayıcı eylemlerini neden incelemesi gerektiğini açıklamak için Ajan onayları ve güvenlik bölümünü kullanın.
6. PHI kullanımından önce üçüncü taraf eklentilerini inceleyin. Google Drive ve GitHub gibi bağlayıcılar içeren eklentileri, tarayıcı hedeflerini veya MCP sunucularını etkinleştirmeden önce kuruluşunuzun PHI alan tüm üçüncü tarafları onayladığını ve bu taraflarla uygun bir BAA'ya sahip olduğunu doğrulayın.
7. Dağıtımı izleyin, inceleyin ve yenileyin. Dağıtılan güvenlik duruşunun kurum içi politikalarınızla uyumlu kalmasını doğrulamak için Compliance API dışa aktarımlarını, çalışma alanı analizlerini, uç nokta günlüklerini, eklenti ve bağlı hizmet denetim günlüklerini ve depo denetim günlüklerini kullanın.

Kaynaklar

• Codex kimlik doğrulaması
• Codex yapılandırmasının temelleri
• Codex Enterprise yönetici kurulumu
• Codex yönetilen yapılandırması
• Ajan onayları ve güvenlik
• Codex Model Context Protocol
• Codex yönetişimi
• Codex izinleri
• ChatGPT Healthcare ve Regulated Workspace işlevleri sayfasına bakın.
• ChatGPT for Clinicians sayfasına bakın.
• OpenAI API hizmetlerine yönelik İş Ortağı Sözleşmesi makalesine bakın.
• Codex Güvenlik Teknik İncelemesine bakın.