1996 年健康保險流通與責任法案 （HIPAA） 是美國發布的一項法律，旨在保護患者醫療記錄和患者提供/提供給患者的健康相關信息（也稱為 PHI（個人健康信息））的隱私。HIPAA 合規性旨在通過定義記錄電子傳輸中的標準來降低醫療保健的管理成本。HIPAA 旨在幫助打擊保險和醫療保健服務中的濫用、浪費和欺詐行為。在云中管理 HIPAA 合規性更具挑戰性，但 AWS 提供服務來設計和實施高負載系統，以使用 HIPAA 處理大量 ePHI。

簽署 AWS 商業伙伴協議 （BAA）

根據 HIPAA 合規性指南，每個涵蓋的實體都必須遵守 HIPAA 安全規則。AWS 服務經過認證，可確保符合 HIPAA。AWS 與客戶簽署 BAA 協議，包括法律責任，并在物理基礎設施出現任何違規時通知他們。

HIPAA 合規性責任由“涵蓋實體”承擔，而不是在 AWS 上

AWS 應對物理基礎設施的破壞負責，這意味著應用程序級安全性是開發應用程序的涵蓋實體的責任。AWS 以共同責任運營。AWS 負責某些安全性和合規性，以保護 AWS 上的基礎設施，例如計算、存儲、數據庫、網絡、區域和可用區以及邊緣位置。
AWS 客戶負責他們用于創建解決方案的服務，例如平臺、操作系統、應用程序、客戶端-服務器端加密、IAM、網絡流量保護、客戶數據。

ePHI 的加密和保護

HIPAA 安全規則解決了云中傳輸（傳輸中）和存儲（靜態）中 PHI 的數據保護和加密問題。AWS 提供了一組功能和服務，可提供 PHI 的密鑰管理和加密。

審核、備份和災難恢復

審計和監控是云架構中必須解決的技術保障。這意味著 ePHI 信息的任何存儲、處理或傳輸都應記錄在系統中，以跟蹤數據的使用情況。該架構應提供有關 ePHI 上任何未經授權的訪問和威脅的通知。

該解決方案必須有一個應急計劃，以便在發生災難時保護 ePHI 信息，以避免患者信息丟失。它應該使用恢復過程計劃對收集、存儲和使用 ePHI 信息的備份，以便在任何信息丟失時恢復信息。

身份驗證和授權

符合 HIPAA 條件的系統必須在系統安全計劃中記錄身份驗證和授權機制，其中包含所有角色和職責，以及所有更改請求的配置控制流程、審批和流程。

以下是使用 AWS 進行架構時需要考慮的幾點

提供對特定服務的訪問權限的 IAM 服務

啟用 MFA 以訪問 AWS 賬戶

授予最低權限

定期輪換憑據

架構策略

默認情況下，不應假設所有符合 HIPAA 條件的 AWS 服務都是安全的，但它需要多個設置才能使解決方案 HIPAA 符合條件。以下是應用于 HIPAA 應用程序的一些策略

分離訪問/處理受保護 PHI 數據的基礎架構、數據庫和應用程序，這可以通過以下途徑實現：

關閉所有公有訪問，避免使用訪問密鑰，并將 IAM 與自定義角色和策略一起使用，并附加身份以訪問服務

為存儲服務啟用加密

跟蹤數據流并設置自動監視和警報

保持受保護工作流和常規工作流之間的界限。隔離網絡，創建具有多可用區架構的外部 VPC，將不同應用層的子網和后端應用和數據庫層的私有子網分開

HIPAA 的示例體系結構

上圖適用于符合 HIPAA 要求的 3 層醫療保健應用程序：

Route53 通過內部負載均衡器連接到 WAF（Web 應用程序防火墻），避免使用此公共網絡，ACM（私有安全機構）用于使用 HTTPS 加密 REST 中的數據

VPC（虛擬私有云）是在 Web、后端和數據庫層的不同可用區中使用六個私有子網創建的

2 個內部 ELB（彈性負載均衡 - 1 個用于 Web，1 個用于后端），具有自動擴展組，用于在多個實例之間處理和分配流量，并指示在負載較高時啟動新實例

MySQL和ElasticCache使用HSM（硬件安全模塊）在多個可用區中啟動，以加密數據

云觀察配置為監控、設置警報和應用程序日志

CloudTrail、Config 和 Trusted Advisor 用于審計 AWS 資源。IAM 用于限制對 AWS 資源和管理控制臺的訪問

清單用于獲取 EC2 實例的可見性

使用 AWS 平臺，任何組織都可以設計安全、強大、可靠且高效的符合 HIPAA 條件的解決方案。它可以幫助驗證現有解決方案，以識別系統中的風險、安全措施和漏洞，以滿足任何醫療保健解決方案的 HIPAA 合規性要求。