Heroku HIPAA 合规性

Question

是否可以在 Heroku 上运行符合 HIPAA 要求的应用程序？更具体地说，我需要两个应用程序，一个存储会员信息，另一个存储会员的私人健康信息。我打算使用非对称和对称密钥加密来加密敏感数据 - 对于将成员与其在其他应用程序上的敏感数据链接起来的密钥使用非对称加密，对于会员应用程序中的特定字段（例如姓名、电子邮件地址和电话）使用对称加密。我主要担心的是 Heroku 的任何人都可以破解非对称加密，因为他们可以访问这两个应用程序（和私钥）。我对此的担心是否正确，或者 Amazon EC2 的基础设施是否会阻止 Heroku 员工访问这两个应用程序？

Answer 1

Amazon 有一份关于 AWS 的 HIPAA 合规性的白皮书（只需谷歌 AWS Hipaa 合规性），其中他们谈论了他们的 HIPAA 诚意。例如，AWS 系统管理员无权直接登录访问客户操作系统映像。

据我所知，Heroku 尚未分享他们如何保护个人客户帐户的详细信息。

Answer 2

HIPAA 合规性涉及许多不同的领域，不仅仅包括技术。具体来说，关于 HIPAA 内的技术要求，有很多要求，但 Heroku 最明显无法满足的要求是：

164.314 组织要求。 (B) (B) 根据 164.308(b)(2)，确保代表业务伙伴创建、接收、维护或传输电子受保护健康信息的任何分包商同意遵守本子部分的适用要求通过签订符合本节规定的合同或其他安排；

您需要 Heroku 的 BAA。 HIPAA 在定义分包商和业务伙伴时不区分加密数据和未加密数据。为了更好地了解 HIPAA 的所有要求，这里有一个综合列表 - https://catalyze.io/hipaa/< /a>.希望有帮助。

Answer 3

Heroku 告诉我，他们目前不会签署业务伙伴协议，因此，如果您在服务器上存储任何 PHI，则不可能符合 HIPAA。

Answer 4

Heroku 已宣布其 Shield 帐户将提供 HIPAA 合规性。

来自链接

 The Shield Private Dyno includes an encrypted ephemeral file system
 and restricts SSL termination from using TLS 1.0 which is considered 
 vulnerable. Shield Private Postgres further guarantees that data is 
 always encrypted in transit and at rest. Heroku also captures a high 
 volume of security monitoring events for Shield dynos and databases 
 which helps meet regulatory requirements without imposing any extra 
 burden on developers.

这可能会也可能不会消除对 BAA、MOU 等的需要。