HIPAA

Question

¿Es posible ejecutar aplicaciones en Heroku que son compatibles con HIPAA? Más específicamente, necesito dos aplicaciones, una que almacena información de miembros y otra que almacena información de salud privada de los miembros. Tengo la intención de encriptar los datos sensibles utilizando tanto asimétrica y simétrica clave de cifrado asimétrico para las teclas que enlazan miembros con sus datos confidenciales en la otra aplicación, y simétrica para campos específicos en los miembros de aplicación, tales como nombre, dirección de correo electrónico y teléfono. Mi principal preocupación es que cualquier persona en Heroku pueda romper el cifrado asimétrico, ya que tienen acceso a ambas aplicaciones (y a las claves privadas). ¿Estoy en lo cierto al preocuparme por esto o la infraestructura de Amazon EC2 impide que el personal de Heroku acceda a ambas aplicaciones?

Answer 1

Amazon tiene un libro blanco sobre HIPAA cumplimiento de AWS (sólo Google AWS HIPAA) donde hablan de su buena fe HIPAA. Por ejemplo, los administradores de sistemas de AWS no tienen acceso de inicio de sesión directo a las imágenes del sistema operativo del cliente.

A lo mejor de mi conocimiento, Heroku no ha compartido detalles de cómo asegurar sus cuentas individuales de los clientes.

Answer 2

Heroku me ha dicho que no firmarán acuerdos de socios comerciales en este momento, por lo que si almacena cualquier PHI en el servidor no es posible cumplir con HIPAA.

Answer 3

cumplimiento de HIPAA implica una serie de diferentes áreas, incluyendo algo más que tecnología. Específicamente con respecto a los requisitos tecnológicos dentro de HIPAA, hay un montón de requisitos, pero el que obviamente no puede cumplir con Heroku es este:

164.314 Requisitos de la organización. (B) (B) De acuerdo con 164.308 (b) (2), asegúrese de que los subcontratistas que crean, reciben, mantienen o transmiten información médica protegida electrónicamente en nombre del socio comercial acuerden cumplir con los requisitos aplicables de esta subparte al celebrar un contrato u otro acuerdo que cumpla con esta sección;

Usted necesita un BAA de Heroku. HIPAA no distingue entre datos cifrados y no cifrados cuando define subcontratistas y socios comerciales. Para tener una buena idea de todo lo que se requiere de HIPAA, aquí hay una lista completa: https://catalyze.io/hipaa/. Espero que ayude.

Answer 4

Heroku ha anunciado sus cuentas Shield que proporcionarán HIPAA compliance.

Desde el enlace

The Shield Private Dyno includes an encrypted ephemeral file system 
and restricts SSL termination from using TLS 1.0 which is considered 
vulnerable. Shield Private Postgres further guarantees that data is 
always encrypted in transit and at rest. Heroku also captures a high 
volume of security monitoring events for Shield dynos and databases 
which helps meet regulatory requirements without imposing any extra 
burden on developers. 

que pueden o no pueden obviar la necesidad de BAA, memorandos de entendimiento, etc.