HIPAA合规性云服务器设置

Question

YC最近有一家名为Truevault.com的创业公司,它允许您通过API将JSON文档存储在他们的数据库中,并且符合HIPAA标准.

我正在开发一个医疗保健应用程序,我想知道在HIPAA合规方面哪个是更好的策略:

1)Heroku + Truevault - 最初更容易部署,但Heroku不会签署业务伙伴协议,因此即使我不将PHI存储在heroku服务器上或暂时存储在那里,也不确定这是否真的是HIPAA复杂的.

2)在Amazon EC2上运行所有内容 - 亚马逊将签署BAA,所以这里没有问题,但必须自己进行服务器维护(而不是)

3)Heroku + Amazon S3数据库 - 在Heroku上运行服务器,但将所有内容存储在S3,Amazon上以签署BAA

谁拥有最符合要求但又实用的经验？提前致谢.

Answer 1

Aptible正在开发一个平台来完成这项工作,即尽可能自动化HIPAA合规性,培训您自己需要做的事情,并让您在标准数据库和生态系统上构建系统.他们目前处于私人测试阶段.

免责声明:我与他们无关,但我今天确实遇到了创始人,他们是一个平易近人,聪明的人.

Answer 2

如果不了解应用程序如何工作的具体信息，您可能必须在 EC2 和其他亚马逊 Web 服务上运行所有应用程序。

Heroku 节点基本上是 EC2 实例，顶部有一些自动化功能，使其更像是一个平台而不是基础设施。但是，如果您所在的领域需要遵守数据处理方式的法律，那么没有完全控制权可能是一件坏事。您可以使用 Chef 和 Puppet 等工具来完成 Heroku 所做的大部分自动化工作。

此外，如果您确实使用 EC2，请确保您的基础设施是在 VPC 中配置的。虽然需要一些额外的工作，但可以让您更好地控制对不同实例的网络访问。

S3 并不是真正的数据库，它是一个对象存储。它基本上是一个键/值存储，其键看起来像文件路径。而且它可以存储一些非常非常大的值。