1996 年健康保險流通與責(zé)任法案 （HIPAA） 是美國發(fā)布的一項法律，旨在保護(hù)患者醫(yī)療記錄和患者提供/提供給患者的健康相關(guān)信息（也稱為 PHI（個人健康信息））的隱私。HIPAA 合規(guī)性旨在通過定義記錄電子傳輸中的標(biāo)準(zhǔn)來降低醫(yī)療保健的管理成本。HIPAA 旨在幫助打擊保險和醫(yī)療保健服務(wù)中的濫用、浪費(fèi)和欺詐行為。HIPAA 適用于“涵蓋實體”和“商業(yè)伙伴”，包括醫(yī)生、醫(yī)院、健康相關(guān)提供商、清算所和健康保險提供商。

云計算正在改變醫(yī)務(wù)人員、護(hù)士和醫(yī)院為患者提供優(yōu)質(zhì)、經(jīng)濟(jì)高效的服務(wù)的方式。它有能力徹底改變醫(yī)療保健，通過分散的方法更有效地提供醫(yī)療保健，并改善患者護(hù)理服務(wù)和體驗。有許多安全的云平臺，如AWS，Azure，Google，IBM等，支持符合HIPAA的醫(yī)療保健解決方案，但本博客將進(jìn)一步關(guān)注AWS。在云中管理 HIPAA 合規(guī)性更具挑戰(zhàn)性，但 AWS 服務(wù)有助于設(shè)計和實施高負(fù)載系統(tǒng)，以使用 HIPAA 處理大量 ePHI。

作為 AWS 精選合作伙伴，讓我們了解 VOLANSYS 如何使用 AWS 服務(wù)構(gòu)建符合 HIPAA 標(biāo)準(zhǔn)的云。

簽署 AWS 商業(yè)伙伴協(xié)議 （BAA）

根據(jù) HIPAA 合規(guī)性指南，每個涵蓋的實體都必須遵守 HIPAA 安全規(guī)則。AWS 服務(wù)經(jīng)過認(rèn)證，可確保符合 HIPAA。AWS 與客戶簽署 BAA 協(xié)議，包括法律責(zé)任，并在物理基礎(chǔ)設(shè)施出現(xiàn)任何違規(guī)時通知他們。

HIPAA 合規(guī)性責(zé)任由“涵蓋實體”承擔(dān)，而不是在 AWS 上

AWS 應(yīng)對物理基礎(chǔ)設(shè)施的破壞負(fù)責(zé)，這意味著應(yīng)用程序級安全性是開發(fā)應(yīng)用程序的涵蓋實體的責(zé)任。AWS 以共同責(zé)任運(yùn)營，即 AWS 負(fù)責(zé)保護(hù) AWS 上的基礎(chǔ)設(shè)施（如計算、存儲、數(shù)據(jù)庫、網(wǎng)絡(luò)、區(qū)域和可用區(qū)、邊緣位置）的某些安全性和合規(guī)性。

AWS 客戶負(fù)責(zé)他們用于創(chuàng)建解決方案的服務(wù)，例如平臺、操作系統(tǒng)、應(yīng)用程序、客戶端-服務(wù)器端加密、IAM、網(wǎng)絡(luò)流量保護(hù)、客戶數(shù)據(jù)。

ePHI 的加密和保護(hù)

使用 AWS 加密服務(wù)，VOLANSYS 負(fù)責(zé)處理 HIPAA 安全規(guī)則，該規(guī)則解決了云中傳輸（傳輸中）和存儲（靜態(tài)）中 PHI 的數(shù)據(jù)保護(hù)和加密問題。AWS 提供了一組功能和服務(wù)，可提供 PHI 的密鑰管理和加密。

適用于加密的 AWS 服務(wù)

亞馬遜域名管理系統(tǒng)KMS 支持控制加密密鑰，該密鑰可以與多個服務(wù)集成，以保護(hù)靜態(tài)和傳輸中的數(shù)據(jù)，如 S3、SQS、EBS、RDS、彈性緩存、lambda、EC2 映像生成器、SNS、SES 等等

AWS 云HSMCloudHSM 是使用 FIPS 140-2 級別 3 驗證的 HSM 提供自定義加密密鑰使用的硬件

審計、備份和災(zāi)難恢復(fù)

審計和監(jiān)控是 VOLANSYS 在架構(gòu)中解決的技術(shù)保障問題。這意味著 ePHI 信息的任何存儲、處理或傳輸都會記錄在系統(tǒng)中，以跟蹤數(shù)據(jù)的使用情況。該架構(gòu)將收到有關(guān) ePHI 上任何未經(jīng)授權(quán)的訪問和威脅的通知。

該解決方案必須有一個應(yīng)急計劃，以便在發(fā)生災(zāi)難時保護(hù) ePHI 信息，以避免患者信息丟失。它應(yīng)該使用恢復(fù)過程計劃對收集、存儲和使用 ePHI 信息的備份，以便在任何信息丟失時恢復(fù)信息。

身份驗證和授權(quán)

符合 HIPAA 條件的系統(tǒng)必須在系統(tǒng)安全計劃中記錄身份驗證和授權(quán)機(jī)制，其中包含所有角色和職責(zé)，以及所有更改請求的配置控制流程、審批和流程。

以下是使用 AWS 進(jìn)行架構(gòu)時需要考慮的幾點(diǎn)：

提供對特定服務(wù)的訪問權(quán)限的 IAM 服務(wù)

啟用 MFA 以訪問 AWS 賬戶

授予最低權(quán)限

定期輪換憑據(jù)

VOLANSYS的架構(gòu)策略

默認(rèn)情況下，不應(yīng)假設(shè)所有符合 HIPAA 條件的 AWS 服務(wù)都是安全的，但它需要多個設(shè)置才能使解決方案 HIPAA 符合條件。以下是應(yīng)應(yīng)用于 HIPAA 應(yīng)用程序的幾種策略：

分離訪問/處理受保護(hù) PHI 數(shù)據(jù)的基礎(chǔ)架構(gòu)、數(shù)據(jù)庫和應(yīng)用程序，這可以通過以下途徑實現(xiàn)：

關(guān)閉所有公有訪問，避免使用訪問密鑰，并將 IAM 與自定義角色和策略一起使用，并附加身份以訪問服務(wù)

為存儲服務(wù)啟用加密

跟蹤數(shù)據(jù)流并設(shè)置自動監(jiān)視和警報

保持受保護(hù)工作流和常規(guī)工作流之間的界限。隔離網(wǎng)絡(luò)，創(chuàng)建具有多可用區(qū)架構(gòu)的外部 VPC，將不同應(yīng)用層的子網(wǎng)和后端應(yīng)用和數(shù)據(jù)庫層的私有子網(wǎng)分開

HIPAA 的示例體系結(jié)構(gòu)

圖 2 – HIPAA 架構(gòu)

上圖適用于符合 HIPAA 要求的 3 層醫(yī)療保健應(yīng)用程序：

Route53 通過內(nèi)部負(fù)載均衡器連接到 WAF（Web 應(yīng)用程序防火墻），避免使用此公共網(wǎng)絡(luò)，ACM（私有安全機(jī)構(gòu)）用于使用 HTTPS 加密 REST 中的數(shù)據(jù)

VPC（虛擬私有云）是在 Web、后端和數(shù)據(jù)庫層的不同可用區(qū)中使用六個私有子網(wǎng)創(chuàng)建的

2 個內(nèi)部 ELB（彈性負(fù)載平衡 – 1 個用于 Web，1 個用于后端），具有自動擴(kuò)展組，用于在多個實例之間處理和分配流量，并指示在負(fù)載較高時啟動新實例

MySQL和ElasticCache使用HSM（硬件安全模塊）在多個可用區(qū)中啟動，以加密數(shù)據(jù)

云觀察配置為監(jiān)控、設(shè)置警報和應(yīng)用程序日志

CloudTrail、Config 和 Trusted Advisor 用于審計 AWS 資源。IAM 用于限制對 AWS 資源和管理控制臺的訪問

清單用于獲取 EC2 實例的可見性

使用 AWS 平臺，VOLANSYS 可以幫助設(shè)計安全、強(qiáng)大、可靠且高效的符合 HIPAA 條件的解決方案。它可以幫助您驗證現(xiàn)有解決方案，以識別系統(tǒng)中的風(fēng)險、安全措施和漏洞，以滿足任何醫(yī)療保健解決方案的 HIPAA 合規(guī)性要求。

審核編輯：郭婷