1996 年健康保險流通與責任法案 （HIPAA） 是美國發(fā)布的一項法律，旨在保護患者醫(yī)療記錄和患者提供/提供給患者的健康相關信息（也稱為 PHI（個人健康信息））的隱私。HIPAA 合規(guī)性旨在通過定義記錄電子傳輸中的標準來降低醫(yī)療保健的管理成本。HIPAA 旨在幫助打擊保險和醫(yī)療保健服務中的濫用、浪費和欺詐行為。HIPAA 適用于“涵蓋實體”和“商業(yè)伙伴”，包括醫(yī)生、醫(yī)院、健康相關提供商、清算所和健康保險提供商。

云計算正在改變醫(yī)務人員、護士和醫(yī)院為患者提供優(yōu)質、經濟高效的服務的方式。它有能力徹底改變醫(yī)療保健，通過分散的方法更有效地提供醫(yī)療保健，并改善患者護理服務和體驗。有許多安全的云平臺，如AWS，Azure，Google，IBM等，支持符合HIPAA的醫(yī)療保健解決方案，但本博客將進一步關注AWS。在云中管理 HIPAA 合規(guī)性更具挑戰(zhàn)性，但 AWS 服務有助于設計和實施高負載系統(tǒng)，以使用 HIPAA 處理大量 ePHI。

作為 AWS 精選合作伙伴，讓我們了解 VOLANSYS 如何使用 AWS 服務構建符合 HIPAA 標準的云。

簽署 AWS 商業(yè)伙伴協(xié)議 （BAA）

根據 HIPAA 合規(guī)性指南，每個涵蓋的實體都必須遵守 HIPAA 安全規(guī)則。AWS 服務經過認證，可確保符合 HIPAA。AWS 與客戶簽署 BAA 協(xié)議，包括法律責任，并在物理基礎設施出現任何違規(guī)時通知他們。

HIPAA 合規(guī)性責任由“涵蓋實體”承擔，而不是在 AWS 上

AWS 應對物理基礎設施的破壞負責，這意味著應用程序級安全性是開發(fā)應用程序的涵蓋實體的責任。AWS 以共同責任運營，即 AWS 負責保護 AWS 上的基礎設施（如計算、存儲、數據庫、網絡、區(qū)域和可用區(qū)、邊緣位置）的某些安全性和合規(guī)性。

AWS 客戶負責他們用于創(chuàng)建解決方案的服務，例如平臺、操作系統(tǒng)、應用程序、客戶端-服務器端加密、IAM、網絡流量保護、客戶數據。

ePHI 的加密和保護

使用 AWS 加密服務，VOLANSYS 負責處理 HIPAA 安全規(guī)則，該規(guī)則解決了云中傳輸（傳輸中）和存儲（靜態(tài)）中 PHI 的數據保護和加密問題。AWS 提供了一組功能和服務，可提供 PHI 的密鑰管理和加密。

適用于加密的 AWS 服務

亞馬遜域名管理系統(tǒng)KMS 支持控制加密密鑰，該密鑰可以與多個服務集成，以保護靜態(tài)和傳輸中的數據，如 S3、SQS、EBS、RDS、彈性緩存、lambda、EC2 映像生成器、SNS、SES 等等

AWS 云HSMCloudHSM 是使用 FIPS 140-2 級別 3 驗證的 HSM 提供自定義加密密鑰使用的硬件

審計、備份和災難恢復

審計和監(jiān)控是 VOLANSYS 在架構中解決的技術保障問題。這意味著 ePHI 信息的任何存儲、處理或傳輸都會記錄在系統(tǒng)中，以跟蹤數據的使用情況。該架構將收到有關 ePHI 上任何未經授權的訪問和威脅的通知。

該解決方案必須有一個應急計劃，以便在發(fā)生災難時保護 ePHI 信息，以避免患者信息丟失。它應該使用恢復過程計劃對收集、存儲和使用 ePHI 信息的備份，以便在任何信息丟失時恢復信息。

身份驗證和授權

符合 HIPAA 條件的系統(tǒng)必須在系統(tǒng)安全計劃中記錄身份驗證和授權機制，其中包含所有角色和職責，以及所有更改請求的配置控制流程、審批和流程。

以下是使用 AWS 進行架構時需要考慮的幾點：

提供對特定服務的訪問權限的 IAM 服務

啟用 MFA 以訪問 AWS 賬戶

授予最低權限

定期輪換憑據

VOLANSYS的架構策略

默認情況下，不應假設所有符合 HIPAA 條件的 AWS 服務都是安全的，但它需要多個設置才能使解決方案 HIPAA 符合條件。以下是應應用于 HIPAA 應用程序的幾種策略：

分離訪問/處理受保護 PHI 數據的基礎架構、數據庫和應用程序，這可以通過以下途徑實現：

關閉所有公有訪問，避免使用訪問密鑰，并將 IAM 與自定義角色和策略一起使用，并附加身份以訪問服務

為存儲服務啟用加密

跟蹤數據流并設置自動監(jiān)視和警報

保持受保護工作流和常規(guī)工作流之間的界限。隔離網絡，創(chuàng)建具有多可用區(qū)架構的外部 VPC，將不同應用層的子網和后端應用和數據庫層的私有子網分開

HIPAA 的示例體系結構

圖 2 – HIPAA 架構

上圖適用于符合 HIPAA 要求的 3 層醫(yī)療保健應用程序：

Route53 通過內部負載均衡器連接到 WAF（Web 應用程序防火墻），避免使用此公共網絡，ACM（私有安全機構）用于使用 HTTPS 加密 REST 中的數據

VPC（虛擬私有云）是在 Web、后端和數據庫層的不同可用區(qū)中使用六個私有子網創(chuàng)建的

2 個內部 ELB（彈性負載平衡 – 1 個用于 Web，1 個用于后端），具有自動擴展組，用于在多個實例之間處理和分配流量，并指示在負載較高時啟動新實例

MySQL和ElasticCache使用HSM（硬件安全模塊）在多個可用區(qū)中啟動，以加密數據

云觀察配置為監(jiān)控、設置警報和應用程序日志

CloudTrail、Config 和 Trusted Advisor 用于審計 AWS 資源。IAM 用于限制對 AWS 資源和管理控制臺的訪問

清單用于獲取 EC2 實例的可見性

使用 AWS 平臺，VOLANSYS 可以幫助設計安全、強大、可靠且高效的符合 HIPAA 條件的解決方案。它可以幫助您驗證現有解決方案，以識別系統(tǒng)中的風險、安全措施和漏洞，以滿足任何醫(yī)療保健解決方案的 HIPAA 合規(guī)性要求。

審核編輯：郭婷