根據(jù) HIPAA 合規(guī)性指南，每個(gè)涵蓋的實(shí)體都必須遵守 HIPAA 安全規(guī)則。AWS 服務(wù)經(jīng)過(guò)認(rèn)證，可確保符合 HIPAA 標(biāo)準(zhǔn)。

1996年健康保險(xiǎn)流通與責(zé)任法案（HIPAA）是美國(guó)頒布的一項(xiàng)法律，旨在保護(hù)患者醫(yī)療記錄和患者提供的健康相關(guān)信息（也稱(chēng)為PHI（個(gè)人健康信息））的隱私。HIPAA 合規(guī)性旨在通過(guò)定義電子記錄傳輸中的標(biāo)準(zhǔn)來(lái)降低醫(yī)療保健的管理成本。HIPAA旨在幫助打擊保險(xiǎn)和醫(yī)療保健服務(wù)中的濫用，浪費(fèi)和欺詐行為。在云中管理 HIPAA 合規(guī)性更具挑戰(zhàn)性，但 AWS 提供了設(shè)計(jì)和實(shí)施高負(fù)載系統(tǒng)的服務(wù)，以使用 HIPAA 處理大量 ePHI。

簽署 AWS 業(yè)務(wù)伙伴協(xié)議 （BAA）

根據(jù) HIPAA 合規(guī)性指南，每個(gè)涵蓋的實(shí)體都必須遵守 HIPAA 安全規(guī)則。AWS 服務(wù)經(jīng)過(guò)認(rèn)證，可確保符合 HIPAA 標(biāo)準(zhǔn)。AWS 與客戶(hù)簽署 BAA 協(xié)議，包括法律責(zé)任，并在物理基礎(chǔ)設(shè)施發(fā)生任何違規(guī)行為時(shí)通知他們。

HIPAA 合規(guī)性責(zé)任在于“涵蓋的實(shí)體”，而不是針對(duì) AWS

AWS 負(fù)責(zé)破壞物理基礎(chǔ)設(shè)施，這意味著應(yīng)用程序級(jí)安全性是開(kāi)發(fā)應(yīng)用程序的涵蓋實(shí)體的責(zé)任。AWS 在共同承擔(dān)責(zé)任的情況下運(yùn)營(yíng)。AWS 負(fù)責(zé)某些安全性和合規(guī)性，以保護(hù) AWS 上的基礎(chǔ)設(shè)施，如計(jì)算、存儲(chǔ)、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)、區(qū)域和可用區(qū)以及邊緣站點(diǎn)。
AWS 客戶(hù)負(fù)責(zé)他們用于創(chuàng)建解決方案的服務(wù)，例如平臺(tái)、操作系統(tǒng)、應(yīng)用程序、客戶(hù)端-服務(wù)器端加密、IAM、網(wǎng)絡(luò)流量保護(hù)、客戶(hù)數(shù)據(jù)。

加密和保護(hù)電子應(yīng)用

HIPAA 安全規(guī)則解決了 PHI 在云中的傳輸（傳輸中）和存儲(chǔ)（靜態(tài)）中的數(shù)據(jù)保護(hù)和加密問(wèn)題。AWS 提供了一組功能和服務(wù)，可提供 PHI 的密鑰管理和加密。

審核、備份和災(zāi)難恢復(fù)

審計(jì)和監(jiān)控是必須在云架構(gòu)中解決的技術(shù)保障措施。這意味著ePHI信息的任何存儲(chǔ)，處理或傳輸都應(yīng)記錄在系統(tǒng)中，以跟蹤數(shù)據(jù)的使用情況。該架構(gòu)應(yīng)包含有關(guān) ePHI 上任何未經(jīng)授權(quán)的訪(fǎng)問(wèn)和威脅的通知。

該解決方案必須具有應(yīng)急計(jì)劃，以便在發(fā)生災(zāi)難時(shí)保護(hù) ePHI 信息，以避免丟失患者信息。它應(yīng)該通過(guò)恢復(fù)過(guò)程計(jì)劃收集，存儲(chǔ)和使用的ePHI信息的備份，以便在丟失任何信息時(shí)恢復(fù)信息。

身份驗(yàn)證和授權(quán)

符合 HIPAA 標(biāo)準(zhǔn)的系統(tǒng)必須記錄系統(tǒng)安全計(jì)劃中的身份驗(yàn)證和授權(quán)機(jī)制，以及所有角色和職責(zé)，以及所有更改請(qǐng)求的配置控制過(guò)程、批準(zhǔn)和過(guò)程。

以下是使用 AWS 進(jìn)行架構(gòu)時(shí)需要考慮的幾點(diǎn)

IAM 服務(wù)，用于提供對(duì)特定服務(wù)的訪(fǎng)問(wèn)

啟用 MFA 以訪(fǎng)問(wèn) AWS 賬戶(hù)

授予最小權(quán)限

定期輪換憑據(jù)

架構(gòu)策略

不應(yīng)假定默認(rèn)情況下所有符合 HIPAA 條件的 AWS 服務(wù)都受到保護(hù)，但它需要多個(gè)設(shè)置才能使解決方案 HIPAA 符合條件。以下是一些應(yīng)用于 HIPAA 應(yīng)用程序的策略

分離訪(fǎng)問(wèn)/處理受保護(hù)的PHI數(shù)據(jù)的基礎(chǔ)設(shè)施，數(shù)據(jù)庫(kù)和應(yīng)用程序，這可以通過(guò)以下方式實(shí)現(xiàn)：

關(guān)閉所有公有訪(fǎng)問(wèn)，避免使用訪(fǎng)問(wèn)私有密鑰，并將 IAM 與自定義角色和策略結(jié)合使用，并附加身份以訪(fǎng)問(wèn)服務(wù)

為存儲(chǔ)服務(wù)啟用加密

跟蹤數(shù)據(jù)流并設(shè)置自動(dòng)監(jiān)控和警報(bào)

保持受保護(hù)工作流和常規(guī)工作流之間的界限。隔離網(wǎng)絡(luò)，使用多可用區(qū)架構(gòu)創(chuàng)建外部 VPC，該架構(gòu)將子網(wǎng)分隔為不同的應(yīng)用程序?qū)?，將私有子網(wǎng)與后端應(yīng)用程序和數(shù)據(jù)庫(kù)層分開(kāi)

海帕設(shè)計(jì)示例

圖： 希帕架構(gòu)

上圖是針對(duì)符合 HIPAA 條件的解決方案的 3 層醫(yī)療保健應(yīng)用程序：

Route53使用內(nèi)部負(fù)載均衡器連接到WAF（Web應(yīng)用程序防火墻），通過(guò)避免使用此公共網(wǎng)絡(luò)，使用ACM（私有安全機(jī)構(gòu)）使用HTTPS加密REST中的數(shù)據(jù)

VPC（虛擬私有云）是在 Web、后端和數(shù)據(jù)庫(kù)層的不同可用區(qū)中使用六個(gè)私有子網(wǎng)創(chuàng)建的

2 個(gè)內(nèi)部 ELB（彈性負(fù)載均衡 - 1 個(gè)用于 Web，1 個(gè)用于后端），具有自動(dòng)擴(kuò)展組，用于處理和分配多個(gè)實(shí)例之間的流量，并指示在負(fù)載較高時(shí)啟動(dòng)新實(shí)例

MySQL 和彈性緩存在多個(gè)可用區(qū)中啟動(dòng)，具有 HSM（硬件安全模塊）來(lái)加密數(shù)據(jù)

云監(jiān)控配置為監(jiān)控、設(shè)置警報(bào)和應(yīng)用程序日志

云跟蹤、配置和可信顧問(wèn)用于審核 AWS 資源。IAM 用于限制對(duì) AWS 資源和管理控制臺(tái)的訪(fǎng)問(wèn)

清單用于獲取 EC2 實(shí)例的可見(jiàn)性

使用 AWS 平臺(tái)，任何組織都可以設(shè)計(jì)安全、強(qiáng)大、可靠且高效的 HIPAA 標(biāo)準(zhǔn)解決方案。它可以幫助驗(yàn)證現(xiàn)有解決方案，以識(shí)別系統(tǒng)中的風(fēng)險(xiǎn)、安全措施和漏洞，從而滿(mǎn)足任何醫(yī)療保健解決方案的 HIPAA 合規(guī)性要求。