将HIPAA合规性带入云:您需要了解的内容
HIPAA法规使医疗保健专业人员的数据处理协议成为一种程序上的绳索——不仅对他们来说是这样，对与他们共享数据的基于云的应用程序和服务也是如此。从这里开始了解它是什么，以及如何确保您现有的云服务符合HIPAA。
什么是HIPAA?
HIPAA(健康保险流通与责任法案)是美国联邦立法的一个框架，它确保数据隐私和安全条款被认为是受保护的健康信息(PHI)，以及它的电子等同物，ePHI。HIPAA不仅涵盖了医疗保健组织和保险公司，还涵盖了他们使用的云服务。
据估计，医疗保健领域的国际云计算服务将攀升至95亿美元大关到2020年-预计年增长率为20.5%;这种增长不会没有技术障碍。
这项立法是为了确保个人健康信息的隐私，它让许多组织挠头，想知道他们使用的服务是否符合HIPAA。
云服务提供商有责任确保他们实际上是合规的;否则他们将错过95亿美元的蛋糕。
虽然HIPAA的目标是保护患者隐私，但它的缺点是，它可能会对寻求进入医疗保健行业的初创企业构成巨大障碍，并可能扼杀会议室白板之外的未来创新。
在本文中，我们将大致了解HIPAA是什么，它对于依赖基于云的服务来管理受保护的健康信息的组织意味着什么，以及这些基于云的服务背后的人员意味着什么。
HIPAA对云意味着什么
所有相关方都需要认识到，处理ePHI的云服务提供商实际上是其医疗保健客户的“HIPAA业务伙伴”，并且他们有特定的义务为该数据提供充分的保护。
HIPAA业务伙伴是代表HIPAA所涵盖的组织促进特定功能的实体或个人，或提供涉及对受保护的健康信息的特权访问的服务。规则非常清楚地阐明，HIPAA适用于“为或代表HIPAA覆盖的实体创建、接收、维护或传输ePHI”的任何组织。
这意味着他们需要签署一份业务合作协议(BAA)，明确概述云服务允许使用和披露受保护的健康信息、保护这些信息的所有保障措施，以及与他们的业务相关的HIPAA法规的任何其他方面。
当发生可能影响合规性的更改时，BAA也需要更新，如果云服务提供商将ePHI传递给另一个云服务提供商，则需要有一个BAA理查德·道金斯派对，等等。
对于受HIPAA保护的组织来说，重要的是他们要明白，他们不能因为认为云服务符合HIPAA而继续使用基于云的服务——首先必须有一个BAA。如果不这样做，就有可能面临监管执法行动的风险，如果违规行为被抓住，可能会导致巨额罚款。
基于云的服务需求
根据美国卫生与公众服务部发布的指导意见，云服务提供商必须遵守HIPAA法规的三个主要部分，即隐私、安全和违规通知规则。
简单地说，这里有一个简短的高级解释:
- 网络传输和安全:所有数据传输方法都必须有足够的安全措施，以保护电子PHI免遭未经授权的访问。
- 物理安全:从对建筑物本身的访问，到建筑物内的硬件和系统。
- 技术保障:所有级别的访问都应该仅供授权方使用，并提供审计跟踪，以检查谁访问了哪些内容。
- 技术策略:数据完整性、灾难恢复和异地备份是确保数据不被更改、破坏或无法恢复的关键优先级。
所有这些都应该在BAA中详细记录。
此外，服务水平协议(SLA)应包含在BAA中，该协议阐明了云提供商与其客户之间具体和详细的期望。例如，SLA可以包含具体的指标，涉及:
- 最低的系统可用性和可靠性。
- 备份和数据恢复。
- 终止使用服务后，将资料退回客户的方式。
- 安全责任。
- 使用、保留和披露限制。
最后，BAA还应在数据在云中被泄露或以其他方式泄露时制定通知策略，以便通知数据被泄露的医疗保健提供商有足够的时间纠正情况，并在必要时按照违规通知规则的要求报告该事件。
符合HIPAA的云服务
寻找符合HIPAA的云服务并不像人们想象的那么难。渴望为受监管的行业服务，这里有一些能够进入BAA。
我公司
我公司是一家符合HIPAA标准的在线传真提供商，已经得到了许多财富500强公司的信任，并且对最近的勒索软件攻击免疫——因为你无法破解传真。
基于云的传真服务给旧的办公室传真机注入了新的活力，因为它们能够留下适当的审计线索，结合现代安全文档共享措施，并且在办公室内外无处不在。
今天在这里，明天HIPAA
卫生部门的企业对确保办公室内外使用的所有基于云的服务都符合HIPAA的严格要求和BAA已经签署。
在这个BYOD的世界里，这本身就是一项艰巨的任务。
