ฉันจะหลีกเลี่ยงข้อเท็จจริงที่ว่า AWS SQS ไม่สอดคล้องกับมาตรฐาน HIPAA ได้อย่างไร


21

ฉันมีกรณีการใช้งานที่ข้อมูลจาก S3 ถูกจัดคิวไว้ใน AWS SQS ซึ่งเชื่อมต่อกับ CloudWatch ซึ่งเมตริกจะเรียก AWS Lambda

อย่างไรก็ตามฉันต้องการให้สถาปัตยกรรมเป็นไปตามมาตรฐานHIPAA ดังนั้นฉันจึงเกิดแนวคิดนี้ขึ้น

  1. เมื่อที่เก็บข้อมูล S3 ของฉันได้รับไฟล์
  2. เปิดไฟฟังก์ชั่นแลมบ์ดาซึ่งทำการแฮช / เปลี่ยนชื่อไฟล์และคัดลอกไปยังที่เก็บข้อมูล S3 อีกอัน (ผ่านaws cp)
  3. เชื่อมต่อที่ฝากข้อมูลด้วยชื่อที่ถูกแฮช / สัญญาณรบกวนกับคิว SQS

นี่เป็นการปฏิบัติที่ดีและปลอดภัยหรือไม่? หรือมีวิธีแก้ปัญหาที่ดีกว่า? (จะมีความสุขมากกว่านี้หากฉันสามารถส่งคีย์เข้ารหัสของ S3 ถึง SQS ได้ แต่ไม่แน่ใจว่าฉันสามารถทำได้หรือเป็นไปได้)

คำตอบ:


19

ตามที่ Amazon AWS

ลูกค้าสามารถใช้บริการ AWS ในบัญชีที่กำหนดเป็นบัญชี HIPAA แต่ควรดำเนินการจัดเก็บและส่ง PHI ในบริการที่มีสิทธิ์ HIPAA ที่กำหนดไว้ใน BAA เท่านั้น วันนี้มีบริการที่มีสิทธิ์ HIPAA สิบบริการรวมถึง AWS Snowball, Amazon DynamoDB, Amazon EBS, Amazon EC2, Amazon Elastic MapReduce (EMR), Amazon Elastic Load Balancing (ELB), Amazon Glacier, Amazon Relational Database Service (RDS) [MySQL, เอ็นจิน Oracle และ PostgreSQL เท่านั้น], Amazon Aurora [รุ่นที่รองรับ MySQL เท่านั้น], Amazon Redshift และ Amazon S3

แหล่งที่มา: https://aws.amazon.com/compliance/hipaa-compliance/

ซึ่งหมายความว่าตราบใดที่คุณไม่ได้จัดเก็บหรือส่ง PHI ใน SQS เพียงข้อมูลเกี่ยวกับที่เก็บ PHI นี้ - คุณอาจผ่านการตรวจสอบบัญชีได้ การปฏิบัติตาม HIPAA

ในสถาปัตยกรรมที่คุณอธิบายคิว SQS ไม่จำเป็นต้องรวมเนื้อหา PHI ใด ๆ สิ่งนี้จะทำให้มันสอดคล้องกับข้อความข้างต้น

ข้อมูลเพิ่มเติมเกี่ยวกับการปฏิบัติตาม HIPAA ใน AWS มีอยู่ใน whitepaper นี้ตั้งแต่เดือนมกราคม 2560 - https://d0.awsstatic.com/whitepapers/compliance/AWS_HIPAA_Compliance_Whitepaper.pdf

โดยเฉพาะ SQS เป็นที่กล่าวถึงและอธิบายใน HIPAA คำถามที่พบบ่อย - https://aws.amazon.com/blogs/security/frequently-asked-questions-about-hipaa-compliance-in-the-aws-cloud-part-two/

อัปเดต : ตั้งแต่วันที่ 1 พฤษภาคม 2017 SQS ได้มาตรฐาน HIPAA https://aws.amazon.com/about-aws/whats-new/2017/05/amazon-simple-queue-service-sqs-is-now-a-hipaa-eligible-service/

โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.