Amazon Quick może być wykorzystywany w środowisku kwalifikującym się do HIPAA, ale sama kwalifikacja usługi nie zapewnia zgodności całego wdrożenia. Przed użyciem PHI, czyli chronionych informacji zdrowotnych, ustal BAA dla właściwego konta AWS, wybierz model szyfrowania i tożsamości, a obsługę list kontroli dostępu (ACL) włącz przy tworzeniu bazy wiedzy. AWS opisał te decyzje w przewodniku opublikowanym 22 października 2026 r.

HIPAA to amerykańskie ramy ochrony informacji zdrowotnych. AWS przypisuje klientowi odpowiedzialność za przyjęcie umowy Business Associate Agreement (BAA), użycie kwalifikujących się usług oraz konfigurację, zarządzanie i zabezpieczenia własnego środowiska. Kwalifikacja Amazon Quick dotyczy klientów webowych, desktopowych i mobilnych; szczegółowe wskazówki AWS odnoszą się do wersji webowej.

Zanim zaczniesz

Przygotuj konto AWS objęte BAA, ustal, które kwalifikujące się usługi będą używane, i zaplanuj model dostępu do danych. AWS wskazuje, że BAA przyjmuje się przez AWS Artifact dla konkretnego konta. Umowa nie obejmuje automatycznie innych kont, usług niekwalifikujących się ani konfiguracji klienta.

Konfiguruj w kolejności, która uwzględnia ustawienia niezmienne po utworzeniu

  1. Przyjmij BAA dla właściwego konta AWS. Zrób to przez AWS Artifact i ogranicz planowany przepływ do kwalifikujących się usług. Obowiązki związane z konfiguracją i zabezpieczeniami środowiska nadal spoczywają na kliencie.
  2. Wybierz klucz szyfrujący, zanim powstaną dane Amazon Quick. AWS podaje, że szyfrowanie danych w spoczynku jest domyślnie włączone z użyciem kluczy AWS. Klucz zarządzany przez klienta jest opcjonalny i wymaga subskrypcji Enterprise. Jeśli ma być używany, trzeba wybrać go przed pierwszym utworzeniem danych Quick na koncie: według AWS późniejsza zmiana klucza nie jest możliwa.
  3. Ustal model tożsamości i uprawnień. AWS wymienia IAM Identity Center, Active Directory, federację IAM oraz lokalnych użytkowników Quick. Wykrywanie nieaktywnych użytkowników opisuje dla IAM Identity Center i Active Directory. Zmiana dostawcy tożsamości wymaga ponownego przydzielenia uprawnień użytkownikom i członkostwa w przestrzeniach.
  4. Włącz obsługę ACL podczas tworzenia obsługiwanej bazy wiedzy. AWS podaje, że tego ustawienia nie można dodać później. Przed wprowadzeniem dokumentów sprawdź mapowanie tożsamości na ACL. Błędne mapowanie może udostępnić dokumenty bez błędu lub alertu. Domyślny cykl odświeżania bazy wiedzy wynosi według AWS 24 godziny; dostawca sugeruje jego skrócenie, gdy zmiany dostępu muszą propagować się szybciej.
  5. Oddziel zabezpieczenia dokumentów od kontroli danych ustrukturyzowanych. Dokumenty nieustrukturyzowane mogą trafiać z Amazon S3 do bazy wiedzy Amazon Quick z kontrolą ACL na poziomie dokumentu. Dane analityczne wymagają odrębnych uprawnień, na przykład kontroli na poziomie wierszy i kolumn w Amazon Quick Sight oraz zarządzania uprawnieniami jeziora danych w AWS Lake Formation. W przykładzie AWS dane o roszczeniach są przygotowywane i deidentyfikowane przed analizą z użyciem Amazon Athena i Quick Sight. To fikcyjny schemat, a nie opis wdrożenia klienta.
  6. Skonfiguruj audyt i sprawdź działanie przepływu przed rozszerzeniem go na PHI. AWS rozdziela zadania między CloudTrail, który zapisuje obsługiwane operacje API i wybrane zdarzenia inne niż API, a logi Amazon CloudWatch dostarczane przez usługę. CloudTrail nie zapisuje treści wiadomości czatu ani odpowiedzi. AWS wymienia pięć typów logów CloudWatch: CHAT_LOGS, FEEDBACK_LOGS, AGENT_HOURS_LOGS, INDEX_USAGE_LOGS i KB_FILE_SYNC_LOGS. Logi czatu i opinii mogą zawierać PHI.

AWS zaleca rozpoczęcie od przepływów bez PHI, a następnie sprawdzenie zarządzania, mapowania ACL i logowania przed rozszerzeniem zastosowania. Amazon Quick działa w jednym regionie i według AWS nie ma przełączania awaryjnego między regionami. Dostawca opisuje też zabezpieczenia generatywne jako probabilistyczne, dlatego nie zastępują one deterministycznych kontroli, takich jak polityki IAM, ACL i granice sieciowe.

Sześcioletni okres dotyczy określonej dokumentacji

45 CFR §164.316(b)(1) obejmuje pisemne zasady i procedury oraz zapisy działań, czynności lub ocen, które HIPAA Security Rule wymaga dokumentować. Zgodnie z §164.316(b)(2)(i) tę dokumentację przechowuje się przez sześć lat od jej utworzenia albo od dnia, w którym ostatnio obowiązywała, zależnie od tego, która data jest późniejsza. Przepis nie ustanawia ogólnego sześcioletniego okresu przechowywania dla każdego surowego logu Amazon Quick.

ZasadaCo obejmujeOkres i początek biegu
45 CFR §164.316(b)(2)(i)Dokumentację wymaganą w §164.316(b)(1)Sześć lat od utworzenia lub od dnia, w którym dokumentacja ostatnio obowiązywała, zależnie od tego, która data jest późniejsza
Zalecenie AWSLogi w ramach wskazówek wdrożeniowychAWS zaleca przechowywanie przez co najmniej sześć lat

Zalecenie AWS dotyczące logów i wymóg z §164.316 mają różny zakres. Tekst 45 CFR §164.316 określa okres dla dokumentacji wskazanej w przepisie.