HIPAA 符合規範的託管與 BAA 基礎設施

不是。AWS 提供符合 HIPAA 資格的服務並會簽署 BAA，但合規性是共享責任。您仍然需要正確配置加密、訪問控制、審計日誌和網絡隔離。在 AWS 上運行並不會使您的應用程序自動符合 HIPAA 規範——配置和您的操作程序才是真正重要的。

BAA 是受保護實體與任何代表其處理 PHI 的供應商之間法律上必需的合同。AWS、Azure 和 Google Cloud 都提供 BAA，但每份協議只涵蓋其平台內的特定服務。使用未被 BAA 覆蓋的服務來處理 PHI 是合規性違規——無論您有其他什麼措施。

Vercel 和 Netlify 目前不簽署 BAA，因此無法託管處理或存儲 PHI 的應用程序。也就是說，您可以使用它們來託管不包含任何 PHI 的靜態前端資源，同時在 BAA 覆蓋的 AWS、Azure 或 Google Cloud 服務上運行您的後端和數據庫。這是一種可行的分割方式，只要邊界清晰。

月度基礎設施成本通常在 500 至 5,000 美元之間，具體取決於計算、存儲和數據傳輸。較大的數字通常是前期架構和配置工作。為了削減月度成本而在設置上走捷徑正是導致數據洩露的原因。我們的固定費用設置確保在任何內容上線之前基礎已審計就緒。

如果您的數據符合 45 CFR 164.514 下的全部 18 項安全港去識別標準，它就不再是 PHI，HIPAA 的技術保障不適用。部分去識別是不夠的——一個剩餘的識別符就會讓您回到全面 PHI 處理。我們會幫助您驗證去識別方法論，然後再做出該假設。

民權辦公室要求提供風險評估、技術保障文檔、BAA、訪問日誌、數據洩露響應程序和員工培訓記錄（回溯六年）。我們的合規性文檔包結構化以回答這些請求，無需最後一刻的匆忙。由於所有內容都是基礎設施即代碼，每個配置決定都是可追蹤且可防禦的。