在医疗保健领域，遵守数据法规是生死攸关的问题。滥用患者数据会导致道德冲突，损害机构的声誉，甚至影响诊断和治疗。如果您正在构建医疗保健解决方案或在与健康相关的组织中工作，则需要特别注意存储实践。
本文将分享我们选择 HIPAA 云存储的经验，并讨论其对健康保险流通与责任法案 (HIPAA) 的遵守情况。我们将看到现有提供商如何遵守官方建议并检查典型风险。
什么是 HIPAA？
这是一项保护卫生工作者和患者的行为，尤其是他们的私人数据和电子记录。该法案由五个部分组成：
- 第一个标题保护卫生工作者，如果他们失去工作，他们会为他们提供保险；
- 第二个标题建立了医疗保健提供者、保险公司和雇主之间电子交易的国家标准；
- 医疗支出实体的第三类税收要求；
- 第四个标题包括公共团体健康计划的指导方针；
- 第五条规定了公司向员工提供的保险。
这是所有医疗机构和专业人士的必备文件。出于数据管理的目的，组织参考了第二个标题，该标题指定了处理电子记录的规则。
HIPAA 基本术语
电子健康记录 (EHR) 是在医疗机构中生成的数字记录，用于描述病史、治疗、实验室结果、人口统计数据、个人信息。
健康信息：医疗保健提供者、雇主收集的各种数据，与患者的病史、健康、人口统计有关。
HIPAA 审计 — 验证公司是否符合 HIPAA 要求的过程。公司指定一个团队的例子来检查当前的政策和执行机制。审计检查医疗保健公司员工和患者之间的沟通、存储电子健康记录的规定以及危机管理实践。
基本 ePHI 系统 — 负责创建、访问和管理 ePHI 的系统。一个系统可以由单个用户或一组人使用。
应急计划 (CP) — 组织团队在系统遭到破坏时采取的一系列行动。应急计划涉及处理安全漏洞、组织危机和灾难的关键资源和机制。
HIPAA 合规云的要求
符合 HIPAA 的存储必须响应有关患者记录安全和安全策略执行的特定要求。为您的医疗保健平台选择存储选项时，第一步是检查 HIPAA 保护措施并将其集成到架构中。
技术保障
从技术角度来看，HIPAA 合规性始于安全架构。根据官方文档和最佳实践，遵循领先的医疗保健机构，我们可以将这些标准汇总到 HIPAA 合规性数据库的列表中。
安全传输：符合 HIPAA 标准的系统必须确保在组织内的多个用户之间安全轻松地传输患者记录。该系统应防止恶意尝试访问数据，并确保每个人都本着善意行事。
受控访问：在医疗保健平台中，需要严格的数据可用性管理机制。所有用户都必须知道他们的访问权限，如果这些权限被破坏，必须更改指定的权限。
系统完整性：每个符合 HIPAA 的系统都应该有一个系统来禁止篡改数据的企图。提供者应该有一个编辑和删除任何病人和员工记录的政策——并通过技术机制强制执行。
技术保障描述了软件系统的标准。软件架构师、开发人员和安全工程师应该预见可能的威胁，开发最可能的用例。对于 HIPAA 合规性，重要的是避免对用户行为和洞察做出草率假设——如果有的话，最好谨慎行事。这就是为什么要实现这些保护措施需要大量的分析工作、研究和竞争对手分析。
物理保护
除了确保软件的安全性之外，控制硬件也同样重要。通过直接控制设备，网络犯罪分子可能会访问数字平台并使用硬盘驱动器存储患者数据。即使您依赖云进行 ePHI 存储，保护硬件仍然是重中之重。
设备保护：整个机构的工作站组织应符合 HIPAA 并由网络安全专家监督。存放服务器和 PC 的房间应有其特定的访问规则。如果保护被破坏，团队应该启动应急计划。
设施访问：数据中心应仅供授权人员使用。
行政保障
数据管理通常是 HIPAA 合规性的薄弱环节。当您考虑存储时，您应该查看平台提供哪些管理管理功能。因此，我们编制了一份关键注意事项清单。
评估：应向符合 HIPAA 的云托管提供商开放有关存储符合 HIPAA 的程度。供应商应参与咨询并帮助您制定管理计划。
员工管理和培训：供应商应为您提供他们的知识库。如果他们之前与医疗保健提供者合作，很可能已经在 HIPAA 条款中解释了云功能。这就是为什么我们鼓励我们的客户与具有 HIPAA 合规性的长期传统的成熟存储合作。
数据访问管理：每个组织都为数据访问和质量管理制定了单独的计划。供应商可以帮助您开始使用官方教程和文档，但最终，您的团队应该独立设置工作流程。与软件开发人员和网络安全方面的会议并讨论系统的潜在漏洞是一个很好的起点。没有任何医疗保健系统是完美的——了解可能存在的弱点很重要——并为这些弱点设计保护机制。
预测危机和损害。团队应与云供应商合作，检查常见威胁并为每个威胁制定详细的工作流程。
满足管理 HIPAA 保护措施的过程是双重的。一方面，供应商团队负责为您的团队提供专门适用于其基础架构的官方文档、教程和最佳实践。另一方面，团队必须使这些材料适应他们的架构和工作流程。
HIPAA 数据可以存储在云中吗？
根据官方 HIPAA 指南，医疗机构可以使用符合 HIPAA 标准的云存储进行 ePHI 处理。只要您确保您选择的供应商遵守 HIPAA，就不会有法律问题。
与云提供商合作的要求
云服务提供商 (CSP) 应提供进行风险分析和建立独立风险管理政策的可能性。换句话说，它应该对安全审计和协作开放，特别是对信息交换。
两位参与者保证对创建和存储的 ePHI 的完整性和安全性负责。这些条件通常在特定协议中签署。如果没有此类文档，云提供商可能会选择拒绝承担数据完整性的责任——这种做法会在安全危机期间危及公司。
符合 HIPAA 的服务水平协议应说明确保系统可用性的条件、数据备份做法、合作结束后将数据返回给客户的方式、信息传输方式以及维护安全的责任实体。
即使云公司只存储加密文件，不收取解密费用，他们仍然有责任遵守 HIPAA。如果出现安全漏洞，团队将与医疗机构一起负责。
根据 HIPAA 的说法，单独的加密不被认为是一种稳定的保护措施。一方面，它不能确保数据的完整性——即使是加密文件也可能被恶意软件损坏或被未经授权的个人使用。
医疗保健机构和云供应商之间的所有合作都应该是无视的——供应商无法洞察健康记录。
然而，即使组织选择了云供应商，团队也不能转移数据安全的责任。大多数合同协议包含双重保证——供应商和机构都应遵守严格的安全实践。如果医疗机构未能这样做，违规责任将完全分配给团队。
最佳 HIPAA 兼容云供应商
云供应商没有 HIPAA 合规性认证。证明供应商可靠性的唯一方法是验证评论、科学出版物并参考供应商的官方资源。作为一个企业开发团队，我们经常将我们的客户与可靠的云供应商联系起来——所以这是我们对最可靠的供应商的看法。
AWS 云
AWS 官方文档保证该服务与 HIPAA 和其他医疗保健数据安全法规完全兼容。要实施 HIPAA 所需的设置，用户可以部署 Quick Start — 一项部署安全、HIPAA 兼容环境的功能。
您可以获得提供数据结构和解释信息管理流程的架构图。
Quick Start 具有 CloudFormation 模板，可为所有 AWS 资源提供结构化框架。
AWS 基础设施受严格的安全标准监管，客户可以实时更新安全控制。
Dropbox
Dropbox Business 符合 HIPAA 要求，并提供扩展云安全性的法律文档。美国客户可以签署业务伙伴协议，确保符合 HIPAA 的合作条款和延长担保。
Dropbox 是否符合 HIPAA 标准？是的，Dropbox Business 功能允许医疗保健实体：
配置共享权限：功能包括严格的访问过滤器和灵活的权限控制系统。
永久删除：Dropbox 提供无限期删除所有健康记录的可能性。
监控帐户活动：企业获得有关其安全控制的实时更新。
安全的第三方集成：如果医疗保健机构想要集成其他服务（例如 SaaS），Dropbox 会提供用于验证其安全合规性的工具。
谷歌云
Google Cloud 与 HIPAA 协议高度兼容——供应商提供了丰富的附加功能来管理电子健康记录，并为建立安全最佳实践提供详细指导。特别是，可用服务列表包括访问管理功能、人工智能平台、自然语言处理和翻译功能、云任务、视频目录等。
要签署业务伙伴协议，医疗保健组织应证明其愿意实施推荐的安全实践：
IAM 安全：医疗团队全权负责查看和管理数据。供应商不与健康记录互动。
设置加密：如果业务伙伴已经在他们身边设置了加密系统，那么 Google Cloud 假定他们应该合作。为避免加密危险，与大多数云供应商一样，谷歌云不会对其侧的数据进行加密。
查看审计日志。 GCP 将为团队提供安全日志，您的团队应定期查看这些日志。条款在协议中规定。
元数据管理实践：文件的描述和标题不应包含来自记录本身的任何个人数据。
微软 OneDrive
Microsoft One Drive 与 HIPAA 法规兼容，并允许其所有属于 HIPAA 的客户签署业务伙伴协议。但是，合同不会个性化。由医疗保健公司创建用于保护数据的内部文档——因为 Microsoft 对所有情况使用标准协议表格。
整个 OneDrive 符合 HIPAA 标准；然而，供应商并未提供用于创建日益安全的基础设施的精心设计的模板。用户仅存储微软云服务来存储数据，对其安全性和完整性负全部责任。
Microsoft 通过提供详细的官方指南来帮助实现 HIPAA 合规性。
Azure、Dynamics 和 Office 365 HIPAA 合规性实施指南。本指南详细介绍了在 Microsoft 生态系统中建立安全数据架构和确保 HIPAA 合规性的分步过程。
使用 Azure 设计医疗保健系统的实用指南。如果您正在构建医疗保健解决方案，您可能需要在设计信息架构之前参考此文档。该文档提供了在系统开发和使用过程中处理医疗保健信息的实用指南。
Microsoft 云中的 HIPAA 安全和隐私要求：Office 365 HIPAA 合规性和满足这些要求的最佳实践的完整概述。
Carbonite
云平台强调高效的数据备份和数据丢失保护，是符合 HIPAA 标准的最实惠的云解决方案之一。该平台通常由小型医疗保健企业和平台使用。这种符合 HIPAA 标准的云备份生态系统不像亚马逊、谷歌或微软的云那样通用，因此非常适合小型企业。
设置安全工作流程的责任在于医疗机构，但是，Carbonite 团队提供了额外的工具和保证：
备份和灾难恢复：高效的应急计划和数据恢复系统是 HIPAA 合规性的基石。 Carbonite 有一个简单的算法，用于在病毒攻击、服务器故障、移除或灾难后自动进行数据备份和恢复记录。
所有备份文件都经过加密。要访问 Carbonite 站点上的加密，用户应该将他们的计划升级到 Backup Pro 和 Safe Server Backup 功能。
与其他严格的数据法规的兼容性。与 HIPAA 一起，该软件还与马萨诸塞州数据安全合规性兼容 – 这是最严格的数据隐私法案之一。
现在做什么：开始符合 HIPAA 的合作
与供应商签署业务伙伴协议。该协议要求云服务对违规行为负责。
确定云供应商的访问权限。最好选择未出现的协作并将所有管理工作留给您的团队。这也意味着您必须投入更多的工作来保护基础设施，但从长远来看，它会赋予独立性。
自行评估供应商的合规性。研究哪些医疗机构正在与您选择的供应商合作，研究风险和过去的违规行为。
与您的业务伙伴的安全专家沟通。您的供应商应该乐于提出建议，以帮助您建立符合 HIPAA 的做法。
确保供应商为您提供使用符合 HIPAA 标准的数据库的详细指南和政策。他们的安全愿景不应与您组织的实践相冲突。
检查他们的 HIPAA 培训。他们的团队如何接受培训以根据 HIPAA 规定工作？谁在负责处理医疗保健公司的团队中？
验证供应商的安全保护措施。他们的服务器应该位于受到良好保护的国家，并受到持续监视。物理服务器和硬件应符合最新的安全标准。
检查他们的应急计划。要求供应商为您提供针对每种类型的安全威胁的详细行动方案。
确保您的供应商财务稳定，之前没有断电和信息删除的历史。
每个协议都必须有一个条款，描述终止合作和检索您的数据的条件。
结论
使用云存储医疗保健数据有很多优势。主要是，它允许团队转移云服务提供商的责任部分。有效地，该机构只负责少数设备，而不必维护自己的服务器空间。结果，责任范围缩小了，潜在风险和随后的声誉损害也缩小了。
但是，选择合适的供应商是一项长期投资，它决定了您组织的安全性。不幸的是，并非所有提供商对其 HIPAA 合规实践都同样透明。同样，并非所有提供商都为其 HIPAA 数据存储提供个性化的入职程序。您将自己管理数据创建和管理——即使在获得昂贵的计划之后也是如此。
为了最大限度地减少费用并提高收益，我们建议对云供应商进行仔细研究。对于一些机构。 AWS 或 Google Cloud 等完善的基础设施将是最佳选择，而对于小型企业而言，财务承诺可能难以承担。因此，您需要评估组织的需求和预算——并找到报价符合这些要求的供应商。
