Configurazioni del server cloud di conformità HIPAA

Question

C'è una recente partenza da YC che sembra interessante chiamata Truevault.com, che consente di archiviare i documenti JSON nel proprio database tramite un'API ed è conforme HIPAA.

Sto lavorando su un'applicazione di assistenza sanitaria, e mi chiedo, che è una strategia migliore in termini di conformità HIPAA:

1) Heroku + Truevault - facile implementazione inizialmente, ma Heroku non firmerà Business Agreement Associate, in modo non sono sicuro se questo è veramente un complice HIPAA anche se non memorizzo PHI sul server heroku o lo stimo temporaneamente lì.

2) Eseguire tutto su Amazon EC2 - Amazon firmerà BAA quindi nessun problema qui, ma dovrà fare la manutenzione del server stesso (piuttosto non)

3) database di Heroku + Amazon S3 - server di funzionare su Heroku, ma memorizza tutto su S3, Amazon per firmare BAA

Chiunque abbia esperienza quale sarebbe la più conforme ma pratica? Grazie in anticipo.

Answer 1

Senza conoscere le specifiche relative al funzionamento dell'applicazione, è probabile che sia necessario eseguire tutte le applicazioni su EC2 e altri servizi Web Amazon.

I nodi di Heroku sono fondamentalmente istanze EC2 con un po 'di automazione in primo piano, trasformandolo più di una piattaforma che di un'infrastruttura. Tuttavia, se stai lavorando in un campo che richiede la conformità legale su come vengono gestiti i tuoi dati, non avere il pieno controllo può essere una cosa negativa. Puoi fare gran parte dell'automazione di heroku con strumenti come Chef e Puppet.

Inoltre, se si utilizza EC2, assicurarsi che l'infrastruttura sia configurata in VPC è la strada da percorrere. Pubblica un po 'di lavoro in più, ma ti offre un maggiore controllo sull'accesso alla rete a istanze diverse.

S3 non è realmente un database, è un archivio di oggetti. È fondamentalmente un archivio di chiavi/valori con chiavi che sembrano percorsi di file. E può memorizzare alcuni valori molto grandi.

Answer 2

Aptible stanno lavorando su una piattaforma per fare esattamente questo, cioè automatizzando la conformità HIPAA laddove possibile, addestrandoti sulle cose che devi fare da te e permettendoti di costruire sistemi su database standard ed ecosistemi. Sono in beta privata al momento.

Disclaimer: Non sono associato a loro, ma ho incontrato i fondatori oggi e sono un gruppo accessibile e intelligente.