HIPAA 合规性云服务器设置 [关闭]答案

【问题标题】：HIPAA compliance cloud server setups [closed]HIPAA 合规性云服务器设置 [关闭]
【发布时间】：2014-05-15 19:59:05
【问题描述】：

YC 最近有一家名为 Truevault.com 的初创公司似乎很有趣，它允许您通过 API 将 JSON 文档存储在他们的数据库中，并且符合 HIPAA。

我正在开发一款医疗保健应用，想知道在 HIPAA 合规性方面哪种策略更好：

1) Heroku + Truevault - 最初部署更容易，但 Heroku 不会签署商业伙伴协议，因此即使我不将 PHI 存储在 heroku 服务器上或临时存储在那里，也不确定这是否真的符合 HIPAA。

2) 在 Amazon EC2 上运行所有内容 - 亚马逊将签署 BAA，所以这里没有问题，但必须自己进行服务器维护（而不是）

3) Heroku + Amazon S3 数据库 - 在 Heroku 上运行服务器，但将所有内容存储在 S3 上，Amazon 签署 BAA

任何有经验的人最合规又实用？提前致谢。

【问题讨论】：

本文讨论了部署 HIPAA 兼容软件的几种不同方法：innolitics.com/articles/deploying-hipaa-compliant-software。关于 (1) 和 (3)，如果 Heroku 可以访问未加密的 PHI，您需要一个 BAA。您可以通过让您的网络应用程序直接与 Truevalut 对话来解决此问题。请参阅链接中的第六项。我认为（2）可能是你最好的选择。

【解决方案1】：

Aptible 正在开发一个平台来做到这一点，即尽可能自动化 HIPAA 合规性，培训您自己需要做的事情，并让您在标准数据库和生态系统上构建系统。他们目前处于私人测试阶段。

免责声明：我与他们无关，但我今天确实遇到了创始人，他们是一群平易近人、聪明的人。

【讨论】：

【解决方案2】：

在不了解您的应用程序如何工作的细节的情况下，您很可能必须在 EC2 和其他亚马逊网络服务上运行您的所有应用程序。

Heroku 节点基本上是 EC2 实例，顶部有一点自动化，使其更像是一个平台而不是基础设施。但是，如果您所在的领域要求您的数据处理方式符合法律规定，那么无法完全控制可能是一件坏事。您可以使用 Chef 和 Puppet 等工具完成 heroku 的大部分自动化操作。

此外，如果您确实使用 EC2，请确保您的基础设施在 VPC 中配置是可行的方法。广告有点额外的工作，但让您可以更好地控制对不同实例的网络访问。

S3 并不是一个真正的数据库，它是一个对象存储。它基本上是一个键/值存储，其键看起来像文件路径。它可以存储一些非常非常大的值。

【讨论】：

谢谢 - 这是我的怀疑，但我很想找到一个需要较少服务器维护的解决方案。所以我想使用 Truevault 之类的 API，我的主应用程序需要在本地服务器上运行
@DaveTsay 即使您使用 Truevault 来存储更敏感的数据，您也可能需要为应用程序的其他部分在本地运行一个数据库。
@DaveTsay，查看 www.atlashealth.com，特别是托管云产品（我是管理团队和创始人）。您将获得我们设置和维护的完全托管的 AWS 环境，因此您只需担心部署。该服务的费用为每月 199 美元（加上 AWS 使用费，不包括我们承担的 2 美元专用附加费）。我们也签了 BAA。
我们还提供用于存储和其他数据需求的 API，但它更适合特定用例，例如移动应用程序。对于 Web 应用程序，PHI 可能会流经整个堆栈。因此，即使您将数据传递给 API，根据最近的“综合”规则，处理回发的服务（例如 Heroku）也将被视为 HIPAA 分包商，并且需要签署 BAA。