医疗行业安全合规云存储：HIPAA 合规解决方案深度指南

医院、诊所和其他医疗机构在过去几年云采用之路上历经波折。使用公有云或与第三方服务商合作的隐含安全风险，大幅延缓了医疗行业的云采用进程。

即便在今天，84% 的医疗组织使用云服务，选择合适的 HIPAA 合规云服务商仍让人头疼。

所有在美国存储客户数据的医疗服务商，均受一套称为 HIPAA 合规的法规约束。

如今，任何处理机密患者数据的组织都需遵守 HIPAA 存储要求。

什么是 HIPAA 合规？

HIPAA 标准提供健康数据保护。任何与医疗组织合作或处理健康文件的供应商必须遵守 HIPAA 隐私规则。许多辅助行业若接触医疗和患者数据也必须遵循指南。这正是 HIPAA 合规云存储发挥重要作用的地方。

1996 年，“美国卫生与公众服务部 (HHS) 颁布隐私规则，以实施 1996 年《健康保险流通与责任法案》(HIPAA) 的要求。”隐私规则涉及患者的“电子受保护健康信息”，以及受隐私规则约束的组织或“HIPAA 覆盖实体”必须如何合规。

大多数医疗机构使用某种形式的电子设备提供医疗服务。这意味着信息不再驻留在纸质病历上，而是在计算机或云端。与普通企业或大多数商业实体不同，医疗机构有法律义务采用最可靠的数据备份实践。

这如何影响他们的云服务商选择？

规划向云计算迁移时，医疗机构需确保服务商满足特定安全标准。

这些标准转化为公司必须满足并维持的要求和门槛，以成为 HIPAA-ready。归结为一套认证、SOC 审计报告、加密级别和物理安全特性。

HIPAA 云存储解决方案应致力于让合规变得简单直接。这样医疗组织就少一件操心事，可专注于改进关键流程。

HIPAA 云存储与数据备份要求

根据 HIPAA-HITECH 法案规则与公司开展业务的云服务商被视为业务伙伴。因此，其必须证明符合云合规标准并遵循相关标准。尽管供应商不直接处理患者信息，但它确实接收、管理和存储受保护健康信息 (PHI)。仅此事实就使其有责任根据 HIPAA-HITECH 法案指南保护 PHI。

HIPAA 合规意味着实施法案提出的所有规则和法规。任何提供受法案约束服务的供应商必须提供文档证明其合规性。此文档不仅需提供给客户，还需提交给民权办公室 (OCR)。OCR 是美国教育部下属机构，致力于促进平等获得医疗和人类服务项目。

寻找 HIPAA 合规云存储 服务商的医疗行业组织应要求提供合规证明以保护自身。如果服务商遵循所有标准，应毫不犹豫地与您分享相关文档。

针对云托管组织的 HIPAA 要求与业务伙伴要求相同。分为三大类：管理、物理和技术保障。

• 管理保障： 这类保障是透明政策，从运营角度阐述企业如何合规。运营可包括管理安全风险评估、适当程序、灾难和应急响应、密码管理等。
• 物理保障： 物理保障通常是保护客户数据的到位系统。可能包括数据中心的适当存储、数据备份和介质适当处置。硬件或软件存储设备所在设施的重要安全预防措施也属此类。
• 技术保障： 这组保障指为最小化数据风险、最大化保护而实施的技术特性。要求唯一登录信息、自动注销策略、PHI 访问认证只是应到位的技术保障示例。

什么造就了合规的 HIPAA 认证云服务商？

提供 HIPAA 合规文件存储软硬件并非轻而易举。公司达标需要巨大时间和精力投入。

在 HIPAA 认证云存储服务商身上要寻找的关键要素，是其签署业务伙伴协议 (BAA) 的意愿。BAA 是在计划传输、处理或接收 PHI 的双方间完成的协议。其主要目的是保护双方免受因滥用受保护健康信息导致的法律后果。

业务伙伴协议 BAA 不得增减或违背 HIPAA 总体标准。但双方同意下，补充特定术语可接受。也有一些核心条款构成合规业务伙伴协议的基础，必须保留才能使合同具有法律约束力。

云服务商启用的加密级别需重点关注。公司应不仅在传输中、也在静态时加密文件。高级加密标准 (AES) 是文件存储和共享应使用的最低加密级别。AES 是数据加密标准 (DES) 的继任者，由美国国家标准技术研究院 (NIST) 于 1997 年开发。它是一种先进加密算法，针对不同安全事件提供改进防护。

选择合规云存储供应商

选择 HIPAA 合规服务商时，寻找符合上一节所述措施的 HIPAA 网络托管。务必询问其数据存储安全实践，了解您的 PHI 数据将有多安全。

潜在供应商是否提供服务等级协议 (SLA)？

SLA 合同表明对威胁的保证响应时间，通常在 24 小时窗口内。作为传输 PHI 的公司，您需知晓事件发生时服务商能多快通知您。收到泄露通知越快，响应越高效。

别忘了电子云端医疗记录存储应在安全数据中心进行。

事件发生时有哪些安全措施？设施访问如何确定？要求提供物理安全实施和执行的详细大纲。检查数据泄露时的响应方式。在将数据置于风险前，确保获取所有相关细节。

您选择的供应商还应制定灾难恢复和业务连续性计划。

连续性计划将预判自然灾害、数据泄露和其他不可预见事件导致的损失。也会在事件发生时提供必要流程和程序。关于数据丢失防护最佳实践，确定拟议方法接受严格测试的频率也至关重要。

医疗记录安全——如何确信？

认真对待合规的云服务商会确保其认证是最新的。有几种方式检查其是否遵循标准和相关法规。

一种方式是使用独立第三方审计潜在服务商。审计将引起对潜在风险的关注，并揭示供应商的安全策略。医疗记录云存储服务商必须定期审计其系统和环境以应对威胁并保持合规。“定期”未在法案中定义，因此至少按季度要求文档和最新审计信息至关重要。您还应确保持续访问详述最近审计的报告和文档。

另一种判断公司是否合规的方式是评估其员工资质。所有员工需接受最新标准教育，并熟悉特定保障措施。只有这些到位，组织才能达标。

向潜在供应商提问尖锐问题。任何有权访问 PHI 人员需接受安全数据传输方法的适当培训。培训需包含无论数据存储在何处，都能安全加密患者信息的能力。

HIPAA 合规公司不会要求您提供后门访问数据，或绕过您的访问管理协议的权限。此类供应商认识到要求额外认证或访问点的风险。妥协认证协议和密码要求是严重违规，绝不应发生。

云备份与存储常见问题

询问潜在云服务商用何种方法评估您的 HIPAA 合规性。

是否提供 HIPAA 政策模板？服务商是否提供合规指导和反馈？如何确保您了解最新安全规则法规？是否提供 HIPAA 合规邮件？

公司是否有全职员工驻场？

现场驻留并全天候可用是确保高级安全的机制。可用代表使 PHI 安全更可靠，并在需要时保证快速响应。也让您安心，知道负责数据保护的公司彻底精通所需标准。

合适的服务商还应快速适应变化，并告知直接影响您 PHI 或其访问权的任何事项。

数据删除是选择合适 HIPAA 业务伙伴的关键组成。信息保留多久后清除？服务器退役或擦除时如何防止数据泄露？删除前数据是否提供给您？法案未规定所需时长，但这是您与服务商必须共同达成的协议。

除了自身了解，还要确定潜在服务商对 HIPAA 法规的熟悉程度。云公司常因未跟进最新法规变更而失效，您要找持续投入的那一个。

多方比较。别满足于第一份报价。

许多公司吹嘘其 HIPAA 安全，却发现不达标。做调研、提问题，确定最适合您需求的供应商。

HIPAA 合规云存储至关重要

在云端保护医疗记录方面，phoenixNAP 将以最高服务质量、安全性和可靠性支持您的努力。

我们提供一系列数据中心，为您的医疗文件提供最先进的保护。凭借可扩展云解决方案、100% 正常运行时间保证和无与伦比的灾难恢复，您可放心基础设施合规。

HIPAA 认证可能令人困惑、复杂且压力巨大。

您需要能信任云服务商保管文件安全。PhoenixNap 全球 IT 服务将让您自由关注业务其他领域，并确保实体和业务伙伴的保护。