¿Es mejor crear una infraestructura de nube compatible con HIPAA nosotros mismos?

Se me pidió que respondiera desde el punto de vista de Datica (anteriormente Catalyze.io) sobre el cumplimiento, ya que fuimos mencionados en la pregunta.

Al más alto nivel, los controles de HIPAA centrados en la infraestructura se asignan a estos temas generales:

1. Salvaguardas físicas para asegurarse de que nadie entre en el centro de datos.
2. Una cierta forma de administrar el firewall.
3. Cifrado de datos en tránsito y en reposo.
4. Registro de datos de la aplicación de manera compatible, ya que podría haber PHI en los registros.
5. Escaneo de vulnerabilidades.
6. Detección de intrusos.
7. Procedimientos de recuperación de desastres.
8. Copias de seguridad a una determinada cadencia, y alojadas en una determinada forma de queja.
9. Particionamiento de ciertos componentes de la pila tecnológica para que un sistema no autorizado no pueda acceder a otro.
10. Y una combinación de políticas de nivel administrativo que restringen y administran el acceso humano no autorizado a varios niveles de la pila.

El primer paso de una estrategia de infraestructura sólida es diseñar un plan sobre cómo satisfará cada uno de estos temas generales en general, y cada uno de los controles de HIPAA específicamente. Si desea una mejor comprensión de HIPAA, nuestra guía gratuita está disponible aquí: Cumplimiento de Datica HIPAA

El uso de AWS, Azure, Heroku u otros proveedores de infraestructura es estándar cuando la PHI no está involucrada. Pero una vez que comience a administrar la PHI, sepa que ninguno de esos proveedores satisfará todos los controles requeridos y que está en sus hombros llenar el vacío. Esto también significa que es su riesgo ser propietario frente a diferir el riesgo a otro socio o proveedor a través de un Acuerdo de Asociado Comercial.

Por ejemplo, AWS y Azure satisfacen aproximadamente la décima parte de lo que debe hacer para cumplir, básicamente las salvaguardas físicas y el firewall. Es lo que describen en sus BAAs; no se comprometerán a asumir más riesgos que eso.

Datica como compañía satisface los otros 9/10. Para una mejor comprensión de cómo lo hacemos, estas son nuestras asignaciones completas de HIPAA abiertas al público: Cumplimiento de Datica HIPAA

Para responder a su pregunta directa, todo se reduce a un cálculo de riesgo: cumplimiento versus financiero. Si tiene los medios financieros para utilizar un socio como Datica, puede emplear sus recursos de ingeniería en su producto en lugar de reinventar la rueda. Sin embargo, si ser propietario de la infraestructura y el riesgo en la pila completa es importante, entonces definitivamente puede hacerlo por su cuenta en AWS / Azure. También tenga en cuenta que somos la única plataforma auditada y certificada HITRUST CSF, lo que es muy importante si planea vender en hospitales. Todas las otras opciones mencionadas, incluida la creación de su propia opción, lo que significa que también necesitaría auditarla, no son auditadas y dependen de usted para realizar su propia auditoría a su propio costo.

Si alguien tiene alguna otra pregunta, no dude en enviarme un correo electrónico a [correo electrónico protegido] .

Apto es asombroso. A menos que tenga un conocimiento profundo de cómo funciona AWS e HIPAA, prepárese para pasar mucho tiempo tratando de replicar los servicios que ofrece Aptible. Como usted menciona que está trabajando en una aplicación, concéntrese en la aplicación y desarrolle su negocio en lugar de crear un equipo devops y administrar una pila de AWS.

Hablo por experiencia porque nuestra aplicación se volvió demasiado compleja para PaaS (aunque todavía amamos a Aptible), y nos sorprendió todos los problemas que Aptible ya nos había resuelto en su plataforma. ¡AWS HIPAA no es tan fácil como podría pensar de ese documento técnico de cumplimiento!

Plug desvergonzado: el mismo principio se aplica a la integración de EHR para su aplicación, así que visítenos en The Modern API for Healthcare Integration | Redox

Todo depende de tus necesidades. Hay aspectos de HIPAA, como el requisito de copia de seguridad, que no pueden satisfacerse completamente con una nube interna y / o tercerización, sino solo mediante una combinación de los dos. Si algún aspecto de su sistema está en Internet público, a diferencia de una VPN entre su instalación y el proveedor de la nube, deberá asegurarse de cosas como el cifrado de extremo a extremo. Esto no es posible garantizarlo dentro de un marco de nube único.

Cabe señalar que es poco probable que cualquier aplicación que realice para un proveedor de nube compatible con HIPAA sea portátil a otro proveedor debido al bloqueo del proveedor y al hecho de que no hay sistemas de código abierto o estandarizados, compatibles con HIPAA / PaaS, aunque estos sistemas son la base de la computación en la nube.