AWS SQS가 HIPAA를 준수하지 않는다는 사실을 어떻게 해결합니까?

S3의 데이터가 AWS SQS에 대기하는 유스 케이스가 있는데, AWS SQS는 CloudWatch에 연결되어 있으며 지표는 AWS Lambda를 트리거합니다.

그러나 아키텍처가 HIPAA를 준수 하기를 원합니다 . 그래서 나는이 아이디어를 생각해 냈습니다.

1. S3 버킷에 파일이 도착하면
2. 파일의 해싱 / 이름 스크램블링을 수행하고 다른 S3 버킷으로 복사하는 Lambda 함수를 실행합니다 (를 통해 aws cp).
3. 해시 / 스크램블링 된 이름의 버킷을 SQS 대기열에 연결

이것은 좋은 안전한 방법입니까? 아니면 더 나은 해결 방법이 있습니까? (S3의 암호화 된 키를 SQS에 보낼 수 있다면 더 행복 할 것입니다. 그러나 가능한지 또는 가능한지 확실하지 않습니다)

아마존 AWS에 따르면

고객은 HIPAA 계정으로 지정된 계정에서 AWS 서비스를 사용할 수 있지만 BAA에 정의 된 HIPAA 적격 서비스에서만 PHI를 처리, 저장 및 전송해야합니다. 현재 AWS Snowball, Amazon DynamoDB, Amazon EBS, Amazon EC2, Amazon Elastic MapReduce (EMR), Amazon Elastic Load Balancing (ELB), Amazon Glacier, RDS (Amazon Relational Database Service)를 포함한 10 개의 HIPAA 적격 서비스가 있습니다. [MySQL, Oracle 및 PostgreSQL 엔진 만 해당], Amazon Aurora [MySQL 호환 버전 만 해당], Amazon Redshift 및 Amazon S3.

^{출처 : https://aws.amazon.com/compliance/hipaa-compliance/}

즉, SQS에 PHI를 저장하거나 전송하지 않는 한이 PHI가 저장되는 위치에 대한 정보 만 있으면 감사 등록을 통과 할 수 있습니다. HIPAA 준수.

설명하는 아키텍처에서 SQS 대기열에는 PHI 내용이 포함될 필요가 없습니다. 이것은 위의 진술을 준수하게합니다.

AWS의 HIPAA 규정 준수에 대한 자세한 내용은이 백서 2017 년 1 월 ( https://d0.awsstatic.com/whitepapers/compliance/AWS_HIPAA_Compliance_Whitepaper.pdf)에서 확인할 수 있습니다.

구체적으로 SQS는 HIPAA FAQ ( https://aws.amazon.com/blogs/security/frequently-asked-questions-about-hipaa-compliance-in-the-aws-cloud-part-two/) 에서 언급하고 설명합니다 .

업데이트 : 2017 년 5 월 1 일부터 SQS는 이제 HIPAA를 준수합니다. https://aws.amazon.com/about-aws/whats-new/2017/05/amazon-simple-queue-service-sqs-is-now-a-hipaa-eligible-service/