HIPAA-Kompatibilität Cloud-Server-Setups

Question

Es gibt ein kürzlich erschienenes Start-up von YC, das mit dem Namen Truevault.com interessant erscheint, mit dem Sie JSON-Dokumente über eine API in ihrer Datenbank speichern können und HIPAA-konform sind.

ich auf einer Gesundheits App arbeite, und frage mich, was eine bessere Strategie im Hinblick auf die HIPAA ist:

1) Heroku + Truevault - einfacher Einsatz zunächst aber Heroku nicht Geschäftspartner-Abkommen unterzeichnen, so Ich bin mir nicht sicher, ob das wirklich HIPAA-Kompliziertheit ist, auch wenn ich PHI nicht auf dem Heroku-Server abspeichere oder es dort vorübergehend speichere.

2) Führen Sie alles auf Amazon EC2 - Amazon wird BAA unterzeichnen, damit kein Problem hier, aber die Serverwartung muss ich tun (eher nicht)

3) Heroku + Amazon S3 Datenbank - lief Server auf Heroku aber Speichern Sie alles auf S3, Amazon, um BAA zu signieren

Jeder mit Erfahrung, was wäre am konformsten und doch praktisch? Danke im Voraus.

Answer 1

Ohne genau zu wissen, wie Ihre Anwendung funktioniert, ist es wahrscheinlich, dass Sie Ihre gesamte Anwendung auf EC2 und anderen Amazon-Webdiensten ausführen müssen.

Heroku-Knoten sind im Grunde EC2-Instanzen mit ein wenig Automatisierung an der Spitze und machen es eher zu einer Plattform als zur Infrastruktur. Wenn Sie jedoch in einem Bereich arbeiten, in dem die Einhaltung gesetzlicher Vorschriften für die Verarbeitung Ihrer Daten erforderlich ist, ist die fehlende vollständige Kontrolle möglicherweise eine schlechte Sache. Sie können viel von der Automatisierung tun, die heroku mit Tools wie Chef und Puppet macht.

Auch wenn Sie EC2 verwenden, stellen Sie sicher, dass Ihre Infrastruktur in VPC konfiguriert ist, ist der Weg zu gehen. Ads ein bisschen mehr Arbeit, aber gibt Ihnen mehr Kontrolle über den Netzwerkzugriff auf verschiedene Instanzen.

S3 ist nicht wirklich eine Datenbank, es ist ein Objektspeicher. Es ist im Grunde ein Schlüssel/Wert-Speicher mit Schlüsseln, die wie Dateipfade aussehen. Und es kann einige sehr sehr große Werte speichern.

Answer 2

Aptible arbeiten auf einer Plattform, um genau das zu tun, d.h. die HIPAA-Compliance wo immer möglich zu automatisieren, Sie auf die Dinge vorzubereiten, die Sie selbst tun müssen, und Sie Systeme auf Standarddatenbanken und Ökosystemen aufbauen lassen. Sie sind im Moment in privater Beta.

Haftungsausschluss: Ich bin nicht mit ihnen verbunden, aber ich habe die Gründer heute getroffen, und sie sind ein zugänglicher, cleverer Haufen.