Para equipes de TI e segurança na área da saúde, configurar o Amazon Quick para fluxos com informações de saúde protegidas (PHI) exige definir responsabilidades, identidade e acesso antes de inserir esses dados. A AWS descreve o serviço como elegível para HIPAA, mas essa elegibilidade não torna automaticamente compatível todo o ambiente da organização. A HIPAA é uma lei federal dos Estados Unidos, não uma norma brasileira.
Organize as decisões antes da implantação
A AWS vincula o uso de PHI a um Acordo de Associado Comercial (BAA) aceito para a conta AWS específica por meio do AWS Artifact. O acordo abrange serviços elegíveis nessa conta; não cobre outras contas, serviços não elegíveis nem a configuração feita pelo cliente. A organização continua responsável por seus controles, governança e salvaguardas.
Antes de criar recursos, escolha como a conta protegerá os dados e qual modelo de identidade será usado. A criptografia em repouso é ativada por padrão com chaves gerenciadas pela AWS. Chaves gerenciadas pelo cliente são opcionais, exigem uma assinatura Enterprise e precisam ser definidas antes da criação dos primeiros dados do Amazon Quick. Segundo a AWS, essa chave não pode ser trocada depois.
A AWS lista quatro opções de identidade: IAM Identity Center, Active Directory, federação IAM e usuários locais do Quick. A troca do provedor após a implantação exige reconfigurar as permissões dos usuários e as associações a espaços. A detecção de usuários inativos está disponível com IAM Identity Center ou Active Directory.
Configure o fluxo em etapas
- Aceite o BAA para a conta que usará o Amazon Quick. Faça isso pelo AWS Artifact antes de transferir PHI. Registre a conta e delimite os serviços elegíveis abrangidos pelo acordo.
- Defina a chave de criptografia da conta antes de criar dados no Quick. Se a política da organização exigir uma chave gerenciada pelo cliente, confirme que a assinatura Enterprise é adequada e escolha a chave antes da primeira criação de dados. A opção gerenciada pela AWS também é descrita como elegível para HIPAA.
- Escolha o modelo de identidade antes de provisionar usuários. Considere as opções listadas pela AWS e o efeito de uma troca posterior, que exige reconfigurar permissões e associações a espaços.
- Controle os dados estruturados antes de conectá-los ao Quick Sight. A AWS separa as permissões do data lake, administradas a montante com AWS Lake Formation e o Glue Data Catalog, dos controles de acesso por linha e coluna aplicados no Amazon Quick Sight. No exemplo fictício da AWS, dados de sinistros são preparados e desidentificados antes de serem consultados por Athena e Quick Sight.
- Crie bases de conhecimento com ACLs desde o início. Para fontes compatíveis, a aplicação de listas de controle de acesso (ACLs) por documento é escolhida durante a criação da base e não pode ser ativada depois. Valide o vínculo entre identidades e permissões dos documentos antes de ingerir PHI: segundo a AWS, um mapeamento incorreto pode expor documentos sem gerar erro ou alerta. O ciclo padrão de atualização da base é de 24 horas; a AWS recomenda encurtá-lo quando mudanças de acesso precisarem ser propagadas mais rapidamente.
- Ative as trilhas de auditoria antes de ampliar o uso. Configure o CloudTrail para operações de API compatíveis e eventos selecionados que não são de API. Para conversas e outros registros específicos de IA, habilite os logs enviados ao CloudWatch. A seção seguinte detalha o que cada fluxo registra.
- Valide primeiro com fluxos sem PHI. A AWS recomenda verificar governança, comportamento das ACLs e captura dos registros antes de ampliar o uso para fluxos relacionados a PHI.
CloudTrail e CloudWatch registram coisas diferentes
O CloudTrail registra operações de API compatíveis e determinados eventos que não são de API, mas não o conteúdo das mensagens de chat nem das respostas. Os logs do Amazon Quick no CloudWatch incluem cinco tipos: CHAT_LOGS, FEEDBACK_LOGS, AGENT_HOURS_LOGS, INDEX_USAGE_LOGS e KB_FILE_SYNC_LOGS. A AWS afirma que registros de conversas e feedback podem conter PHI; por isso, equipes precisam tratar esses fluxos como dados sensíveis e definir controles de acesso e retenção para eles.
O que a regra de seis anos abrange
O §164.316(b)(1) da HIPAA Security Rule trata de políticas e procedimentos escritos e dos registros de ações, atividades ou avaliações que a regra exige documentar. O §164.316(b)(2)(i) determina que essa documentação seja mantida por seis anos a partir da criação ou da data em que esteve em vigor pela última vez, prevalecendo a data mais recente. O texto de 45 CFR §164.316 não estabelece, por si só, um prazo geral de seis anos para cada log bruto do Amazon Quick.
| Objeto | Escopo | Prazo e início da contagem |
| Documentação prevista em 45 CFR §164.316(b)(1) | Políticas, procedimentos e registros que a disposição exige documentar | Seis anos desde a criação ou desde a última data em que esteve em vigor, prevalecendo a mais recente |
| Logs do Amazon Quick | A AWS recomenda essa retenção em sua orientação de implantação | Pelo menos seis anos, conforme a recomendação da AWS |
A AWS descreve o Amazon Quick como um serviço de região única, sem failover entre regiões, e classifica suas barreiras de segurança como probabilísticas. Para reduzir a dependência dessas barreiras, recomenda complementá-las com controles determinísticos, como políticas IAM, ACLs e limites de rede. Conectores externos também ampliam as responsabilidades da organização quando enviam dados a outro sistema.
