Voor Amazon Quick-workflows met beschermde gezondheidsinformatie (PHI) moeten zorgteams eerst de accountverantwoordelijkheden, encryptiesleutel en toegangsrechten vastleggen. AWS noemt Amazon Quick HIPAA-geschikt, maar die aanduiding maakt de omgeving van een klant niet automatisch compliant. HIPAA is het Amerikaanse privacy- en beveiligingskader dat hier aan de orde is, geen Nederlandse wet.
Leg de verantwoordelijkheden per account vast
Accepteer eerst de Business Associate Agreement (BAA) voor het AWS-account dat Amazon Quick gaat gebruiken. AWS laat klanten deze overeenkomst via AWS Artifact per account accepteren. De overeenkomst geldt volgens AWS niet automatisch voor andere accounts, diensten die niet HIPAA-geschikt zijn of de configuratie van de klant. De klant blijft verantwoordelijk voor de eigen inrichting, governance en waarborgen.
AWS zegt dat de HIPAA-geschiktheid geldt voor de web-, desktop- en mobiele clients van Amazon Quick. De configuratiehandleiding van AWS werkt de webversie uit. Geschiktheid van de dienst is dus één onderdeel van de inrichting, niet een verklaring dat de volledige omgeving van de klant aan HIPAA voldoet.
Kies sleutel en identiteitsmodel voordat je data aanmaakt
AWS zegt dat de keuze voor de Amazon Quick-accountsleutel vastligt zodra in het account voor het eerst Quick-gegevens worden aangemaakt. Ook de keuze van de identiteitsprovider verdient aandacht voordat je gebruikers en toegangsrechten inricht.
| Keuze | Wanneer vastleggen | Gevolg volgens AWS |
| Encryptiesleutel voor Amazon Quick-gegevens | Vóór de eerste aanmaak van Quick-gegevens in het account | De sleutel kan daarna niet meer worden gewijzigd. Encryptie in rust is standaard ingeschakeld met AWS-eigendomssleutels of door AWS beheerde sleutels. Een door de klant beheerde sleutel is optioneel en vereist een Enterprise-abonnement. |
| Identiteitsmodel | Bij het voorbereiden van de accountinrichting | AWS noemt IAM Identity Center, Active Directory, IAM-federatie en lokale Amazon Quick-gebruikers. Een overstap naar een andere identiteitsprovider vereist volgens AWS dat rechten en lidmaatschappen van ruimtes opnieuw worden ingericht. Detectie van inactieve gebruikers wordt genoemd voor IAM Identity Center en Active Directory. |
| Documentmachtigingen voor een knowledge base | Bij het aanmaken van een ondersteunde knowledge base | ACL-bewust ophalen van documenten moet volgens AWS bij de aanmaak worden ingeschakeld en kan later niet worden toegevoegd. |
Een ACL is een toegangsrechtenlijst die bepaalt welke gebruikers een document mogen zien. Controleer de koppeling tussen identiteiten en documentrechten vóór je gevoelige documenten toevoegt: AWS waarschuwt dat een onjuiste koppeling documenten toegankelijk kan maken zonder foutmelding of waarschuwing. AWS vermeldt bovendien dat het standaard vernieuwen van een knowledge base 24 uur duurt; voor snellere verwerking van gewijzigde toegangsrechten raadt het aan die cyclus te verkorten.
Beveilig documenten en gestructureerde gegevens apart
Gebruik voor ongestructureerde documenten de documentmachtigingen van de knowledge base. Gestructureerde gegevens vragen om andere controles: AWS beschrijft rij- en kolomrechten in Amazon Quick Sight en upstream-beheer van datameerrechten met AWS Lake Formation en de Glue Data Catalog.
AWS licht dit onderscheid toe met een fictief voorbeeld. Daar gaan documenten uit Amazon S3 naar een knowledge base die rekening houdt met ACL’s. Claimsgegevens worden upstream samengesteld en gedeïdentificeerd, beheerd via Lake Formation en opgevraagd met Amazon Athena en Quick Sight. Het is een voorbeeldarchitectuur, geen klantimplementatie.
Richt auditregistratie in en bepaal welke gegevens erin staan
AWS maakt onderscheid tussen AWS CloudTrail en Amazon CloudWatch. CloudTrail registreert ondersteunde API-aanroepen en bepaalde gebeurtenissen buiten de API. Volgens AWS bevat CloudTrail geen chatberichten of antwoordinhoud. De door Amazon Quick geleverde CloudWatch-logtypen omvatten juist chat- en feedbackregistraties, die volgens AWS PHI kunnen bevatten.
AWS noemt vijf CloudWatch-logtypen: CHAT_LOGS, FEEDBACK_LOGS, AGENT_HOURS_LOGS, INDEX_USAGE_LOGS en KB_FILE_SYNC_LOGS. Houd bij de keuze en inrichting van auditregistratie rekening met de inhoud van chat- en feedbacklogs, en richt de benodigde stromen in voordat je PHI-gerelateerde workflows gebruikt.
De zesjaarstermijn van de Amerikaanse Security Rule geldt voor specifieke documentatie. 45 CFR § 164.316 bepaalt dat de documentatie die onder §164.316(b)(1) valt zes jaar moet worden bewaard, gerekend vanaf de aanmaakdatum of vanaf de datum waarop die documentatie voor het laatst van kracht was, afhankelijk van welke datum later is. Die regel stelt daarmee geen algemene bewaartermijn van zes jaar vast voor elk onbewerkt Amazon Quick-log.
In zijn implementatiegids van 22 oktober 2026 adviseert AWS afzonderlijk om logs minstens zes jaar te bewaren. Dat is AWS’ aanbeveling voor logbewaring, naast de wettelijke termijn voor de specifiek omschreven documentatie.
| Onderwerp | Reikwijdte | Termijn en startmoment |
| 45 CFR §164.316(b)(1) en (b)(2)(i) | Documentatie die volgens §164.316(b)(1) moet worden bijgehouden, waaronder schriftelijke beleidsregels en procedures en de daar vereiste schriftelijke registraties | Zes jaar vanaf de aanmaakdatum of vanaf de datum waarop de documentatie voor het laatst van kracht was, afhankelijk van welke datum later is |
| AWS-aanbeveling voor logbewaring | Logs in de implementatieadviezen van AWS | Minstens zes jaar; de genoemde wettelijke startdatum voor documentatie is niet automatisch op elk log van toepassing |
Houd rekening met de grenzen van de inrichting
AWS beschrijft Amazon Quick als een dienst die in één AWS-regio draait, zonder failover naar een andere regio. Een afzonderlijke inrichting met ondersteunende gegevens in een tweede regio is volgens AWS een mogelijke herstelroute. AWS waarschuwt ook dat guardrails, de ingebouwde veiligheidsmaatregelen, probabilistisch zijn. Gebruik ze daarom naast concrete toegangscontroles zoals IAM-beleid, ACL’s en netwerkgrenzen.
