1996 年健康保險流通與責任法案 （HIPAA） 是美國發(fā)布的一項法律，旨在保護患者醫(yī)療記錄和患者提供/提供給患者的健康相關信息（也稱為 PHI（個人健康信息））的隱私。HIPAA 合規(guī)性旨在通過定義記錄電子傳輸中的標準來降低醫(yī)療保健的管理成本。HIPAA 旨在幫助打擊保險和醫(yī)療保健服務中的濫用、浪費和欺詐行為。在云中管理 HIPAA 合規(guī)性更具挑戰(zhàn)性，但 AWS 提供服務來設計和實施高負載系統(tǒng)，以使用 HIPAA 處理大量 ePHI。

簽署 AWS 商業(yè)伙伴協(xié)議 （BAA）

根據(jù) HIPAA 合規(guī)性指南，每個涵蓋的實體都必須遵守 HIPAA 安全規(guī)則。AWS 服務經過認證，可確保符合 HIPAA。AWS 與客戶簽署 BAA 協(xié)議，包括法律責任，并在物理基礎設施出現(xiàn)任何違規(guī)時通知他們。

HIPAA 合規(guī)性責任由“涵蓋實體”承擔，而不是在 AWS 上

AWS 應對物理基礎設施的破壞負責，這意味著應用程序級安全性是開發(fā)應用程序的涵蓋實體的責任。AWS 以共同責任運營。AWS 負責某些安全性和合規(guī)性，以保護 AWS 上的基礎設施，例如計算、存儲、數(shù)據(jù)庫、網絡、區(qū)域和可用區(qū)以及邊緣位置。
AWS 客戶負責他們用于創(chuàng)建解決方案的服務，例如平臺、操作系統(tǒng)、應用程序、客戶端-服務器端加密、IAM、網絡流量保護、客戶數(shù)據(jù)。

ePHI 的加密和保護

HIPAA 安全規(guī)則解決了云中傳輸（傳輸中）和存儲（靜態(tài)）中 PHI 的數(shù)據(jù)保護和加密問題。AWS 提供了一組功能和服務，可提供 PHI 的密鑰管理和加密。

審核、備份和災難恢復

審計和監(jiān)控是云架構中必須解決的技術保障。這意味著 ePHI 信息的任何存儲、處理或傳輸都應記錄在系統(tǒng)中，以跟蹤數(shù)據(jù)的使用情況。該架構應提供有關 ePHI 上任何未經授權的訪問和威脅的通知。

該解決方案必須有一個應急計劃，以便在發(fā)生災難時保護 ePHI 信息，以避免患者信息丟失。它應該使用恢復過程計劃對收集、存儲和使用 ePHI 信息的備份，以便在任何信息丟失時恢復信息。

身份驗證和授權

符合 HIPAA 條件的系統(tǒng)必須在系統(tǒng)安全計劃中記錄身份驗證和授權機制，其中包含所有角色和職責，以及所有更改請求的配置控制流程、審批和流程。

以下是使用 AWS 進行架構時需要考慮的幾點

提供對特定服務的訪問權限的 IAM 服務

啟用 MFA 以訪問 AWS 賬戶

授予最低權限

定期輪換憑據(jù)

架構策略

默認情況下，不應假設所有符合 HIPAA 條件的 AWS 服務都是安全的，但它需要多個設置才能使解決方案 HIPAA 符合條件。以下是應用于 HIPAA 應用程序的一些策略

分離訪問/處理受保護 PHI 數(shù)據(jù)的基礎架構、數(shù)據(jù)庫和應用程序，這可以通過以下途徑實現(xiàn)：

關閉所有公有訪問，避免使用訪問密鑰，并將 IAM 與自定義角色和策略一起使用，并附加身份以訪問服務

為存儲服務啟用加密

跟蹤數(shù)據(jù)流并設置自動監(jiān)視和警報

保持受保護工作流和常規(guī)工作流之間的界限。隔離網絡，創(chuàng)建具有多可用區(qū)架構的外部 VPC，將不同應用層的子網和后端應用和數(shù)據(jù)庫層的私有子網分開

HIPAA 的示例體系結構

上圖適用于符合 HIPAA 要求的 3 層醫(yī)療保健應用程序：

Route53 通過內部負載均衡器連接到 WAF（Web 應用程序防火墻），避免使用此公共網絡，ACM（私有安全機構）用于使用 HTTPS 加密 REST 中的數(shù)據(jù)

VPC（虛擬私有云）是在 Web、后端和數(shù)據(jù)庫層的不同可用區(qū)中使用六個私有子網創(chuàng)建的

2 個內部 ELB（彈性負載均衡 - 1 個用于 Web，1 個用于后端），具有自動擴展組，用于在多個實例之間處理和分配流量，并指示在負載較高時啟動新實例

MySQL和ElasticCache使用HSM（硬件安全模塊）在多個可用區(qū)中啟動，以加密數(shù)據(jù)

云觀察配置為監(jiān)控、設置警報和應用程序日志

CloudTrail、Config 和 Trusted Advisor 用于審計 AWS 資源。IAM 用于限制對 AWS 資源和管理控制臺的訪問

清單用于獲取 EC2 實例的可見性

使用 AWS 平臺，任何組織都可以設計安全、強大、可靠且高效的符合 HIPAA 條件的解決方案。它可以幫助驗證現(xiàn)有解決方案，以識別系統(tǒng)中的風險、安全措施和漏洞，以滿足任何醫(yī)療保健解決方案的 HIPAA 合規(guī)性要求。