使用AWS在云中构建HIPAA

1996 年健康保险流通和责任法案 （HIPAA） 是美国颁布的一项法律，旨在保护患者的医疗记录和由/提供给患者的健康相关信息的隐私，也称为 PHI（个人健康信息）。HIPAA 合规性旨在通过定义电子记录传输的标准来降低医疗保健的管理成本。HIPAA 旨在帮助打击保险和医疗保健服务中的滥用、浪费和欺诈行为。在云中管理 HIPAA 合规性更具挑战性，但 AWS 提供服务来设计和实施高负载系统，以使用 HIPAA 处理大量 ePHI。

签署 AWS 业务伙伴协议 （BAA）

根据 HIPAA 合规性指南，每个涵盖的实体都必须遵守 HIPAA 安全规则。AWS 服务经过认证以确保 HIPAA 合规性。AWS 与客户签署 BAA 协议，包括法律责任，在物理基础设施出现任何违规行为时通知他们。

HIPAA 合规责任在“涵盖实体”上，而不是在 AWS 上

AWS 对物理基础设施的破坏负责，这意味着应用程序级别的安全性是开发应用程序的涵盖实体的责任。AWS 以共同的责任运作。AWS 负责保护 AWS 上的基础设施（如计算、存储、数据库、网络、区域和可用区以及边缘位置）的某些安全性和合规性。

AWS 客户负责他们用来创建解决方案的服务，例如平台、操作系统、应用程序、客户端-服务器端加密、IAM、网络流量保护、客户数据。

ePHI 的加密和保护

HIPAA 安全规则解决了 PHI 在云中传输（传输中）和存储（静态）中的数据保护和加密。AWS 提供了一组功能和服务，可提供 PHI 的密钥管理和加密。

审计、备份和灾难恢复

审计和监控是云架构中必须解决的技术保障。这意味着任何 ePHI 信息的存储、处理或传输都应记录在系统中，以跟踪数据的使用情况。架构应该有关于 ePHI 上任何未经授权的访问和威胁的通知。

解决方案必须有应急预案，在发生灾难时保护 ePHI 信息，避免患者信息丢失。它应该计划使用恢复过程对收集、存储和使用的 ePHI 信息进行备份，以便在任何信息丢失时能够恢复信息。

身份验证和授权

符合 HIPAA 要求的系统必须在系统安全计划中记录身份验证和授权机制以及所有角色和职责，以及所有变更请求的配置控制流程、批准和流程。

以下是使用 AWS 进行架构时需要考虑的几点

IAM 服务提供对特定服务的访问

启用 MFA 以访问 AWS 账户

授予最小权限

定期轮换凭证

架构策略

不应假定所有符合 HIPAA 要求的 AWS 服务默认都是安全的，但它需要多项设置才能使解决方案符合 HIPAA 要求。以下是一些应与 HIPAA 应用程序一起应用的策略

将访问/处理受保护的 PHI 数据的基础架构、数据库和应用程序解耦，可以通过以下方式实现：

关闭所有公共访问，避免使用访问密钥，将 IAM 与自定义角色和策略一起使用，并附加身份以访问服务

为存储服务启用加密

跟踪数据流并设置自动监控和警报

保持受保护工作流程和一般工作流程之间的界限。隔离网络，创建具有多可用区架构的外部 VPC，为不同的应用程序层分隔子网，为后端应用程序和数据库层分隔私有子网

HIPAA 的示例架构

图： HIPAA 架构

上图适用于符合 HIPAA 要求的 3 层医疗保健应用：

Route53 通过内部负载均衡器连接到 WAF（Web 应用程序防火墙），避免了公共网络，使用 ACM（私有安全机构）使用 HTTPS 加密 REST 中的数据

VPC（虚拟私有云）由位于 Web、后端和数据库层的不同可用区中的六个私有子网创建

2 个内部 ELB（Elastic Load Balancing - 1 个用于 Web 和 1 个用于后端），带有 Auto Scaling 组，用于在多个实例之间处理和分配流量，并在负载高时指示启动新实例

MySQL 和 ElasticCache 使用 HSM（硬件安全模块）在多个可用区启动以加密数据

Cloudwatch 配置用于监控、设置警报和应用程序日志

CloudTrail、Config 和 Trusted Advisor 用于审计 AWS 资源。IAM 用于限制对 AWS 资源和管理控制台的访问

Inventory 用于获取 EC2 实例的可见性

使用 AWS 平台，任何组织都可以设计安全、稳健、可靠和高效的符合 HIPAA 标准的解决方案。它可以帮助验证现有解决方案，以识别系统中的风险、安全措施和漏洞，以满足任何医疗保健解决方案的 HIPAA 合规性要求。

审核编辑：郭婷