Vous pouvez utiliser AWS pour exécuter des charges de travail sensibles réglementées conformément à la législation américaine Health Insurance Portability and Accountability Act (HIPAA). Si vous prévoyez de traiter des données médicales sensibles (comme définies par la loi HIPAA) avec les services AWS, vous devez d'abord accepter l'annexe à l'accord de partenariat AWS (BAA AWS). Vous pouvez consulter, accepter et vérifier le statut de votre BAA AWS depuis un portail en libre-service disponible dans AWS Artifact.
Vous pouvez utiliser tous les services AWS avec votre application de santé, mais seuls les services couverts par le BAA AWS permettent de stocker, de traiter et de transmettre des données médicales sensibles telles que définies par la loi HIPAA.
Afficher la liste des services actuellement couverts par le BAA AWS »
L'utilisation d'AWS pour des applications HIPAA nécessite de suivre différentes stratégies d'ordre général, notamment :
- Le découplage des données protégées des environnements de traitement/orchestration
- Le suivi des flux de données grâce à l'automatisation
- L'instauration de barrières logiques entre les workflows génériques et protégés
Des schémas d'architecture courants sont présentés ci-dessous à titre d'exemple. Nous vous recommandons d'appliquer la due diligence nécessaire et de contacter AWS ou votre propre service de conformité avant toute mise en œuvre.
Exemple 1 : séparation des environnements Amazon Virtual Private Cloud (VPC) pour les PHI et les données non-PHI. Le VPC de droite est utilisé pour tester une application mobile, tandis que celui de gauche stocke et traite des PHI. Les PHI ne transitent pas d'un VPC à un autre. Remarque : le VPC de gauche doit être conçu de manière à respecter nos directives de conformité HIPAA.
Exemple 2 : stratégie d'indirection. Quand un nouvel objet contenant des PHI est écrit dans S3 via S3 Transfer Acceleration, un déclencheur S3 indique à AWS Lambda d'écrire les métadonnées appropriées dans une file d'attente Amazon SQS. Un service exécuté sur Amazon EC2 interroge la file d'attente SQS. Si de nouvelles données sont disponibles, les PHI sont extraites de S3. Une deuxième fonction Lambda déclenche une alerte mobile pour signaler le début du traitement des données. Dans cet exemple, seuls S3 et EC2 sont utilisés pour stocker, traiter et transmettre les données PHI. Lambda et SQS sont uniquement utilisés pour orchestrer les services ou informer lorsque les tâches doivent commencer.
Nous pouvons vous aider à démarrer en vous proposant une consultation avec nos commerciaux et une revue d'architecture. Vous pouvez également commencer votre propre projet pilote dès aujourd'hui.