Hosting Terbaik yang Sesuai HIPAA: Bandingkan Opsi yang Aman dan Andal untuk Data Kesehatan

Penyedia hosting terbaik yang sesuai dengan HIPAA adalah Atlantic.Net, Jaring Cair, dan DigitalOcean. Atlantic.Net adalah pilihan terbaik kami secara keseluruhan, Liquid Web menawarkan opsi terkelola dengan biaya lebih rendah, dan DigitalOcean Cocok untuk tim teknis yang mencari infrastruktur cloud yang fleksibel.

Saat membandingkan penyedia layanan, pastikan ketersediaan BAA dan evaluasi enkripsi, kontrol akses, pencadangan data, respons insiden, sanitasi media, keahlian dukungan, dan tanggung jawab yang harus ditangani tim Anda.

Atlantic.Net mencakup BAA (Business Authorization Application), manajemen server, dan perlindungan firewall. VPN Akses internet, pencadangan data, pemindaian kerentanan, dan bantuan migrasi, dengan paket mulai dari $552.31 per bulan ditambah biaya pengaturan $150. Sistem ini juga berkinerja baik dalam uji beban dan pemantauan waktu aktif kami.

Liquid Web menyediakan layanan hosting HIPAA terkelola mulai dari $229 per bulan untuk Linux atau $271 untuk Windows, menjadikannya pilihan terkelola yang lebih terjangkau. Kinerjanya cukup baik dalam pengujian kami, meskipun kami menemukan pengalaman onboarding dan manajemen akunnya kurang sempurna.

DigitalOcean menyediakan infrastruktur cloud yang andal dan berharga kompetitif, dan HostScore.net berjalan di platform tersebut. Namun, untuk mendapatkan BAA (Business Associate Agreement) diperlukan Dukungan Standar seharga $99 per bulan atau Dukungan Premium seharga $999 per bulan, sementara konfigurasi dan kepatuhan berkelanjutan sebagian besar tetap menjadi tanggung jawab pelanggan.

Catatan: HostScore Peringkat mencerminkan kinerja hosting keseluruhan dari setiap penyedia. Panduan ini secara khusus berfokus pada ketersediaan BAA, perlindungan keamanan, cakupan manajemen, dukungan, dan total biaya pengoperasian lingkungan yang sesuai dengan HIPAA.

1. Atlantic.Net

Kunjungi Daring: https://www.atlantic.net/hipaa-compliant-hosting/

Atlantic.Net menyediakan layanan cloud HIPAA terkelola dan hosting khusus untuk penyedia layanan kesehatan, perusahaan SaaS medis, dan organisasi lain yang menangani ePHI. Didirikan pada tahun 1994, perusahaan ini mengoperasikan delapan wilayah cloud di Amerika Serikat, Kanada, Inggris Raya, dan Singapura.

Mengapa Memilih Atlantic.Net untuk Hosting HIPAA?

Atlantic.Net Menggabungkan infrastruktur yang siap HIPAA dengan keamanan terkelola dan dukungan operasional. Lingkungan yang tercakup diaudit secara independen untuk HIPAA dan HITECH, dengan SOC 2 Tipe II dan SOC 3 Laporan Tipe II memberikan jaminan lebih lanjut. BAA tersedia dengan setiap paket hosting HIPAA, meskipun pelanggan tetap bertanggung jawab atas aplikasi mereka, akses pengguna, dan prosedur internal.

Paket yang diterbitkan mencakup manajemen server, firewall terkelola, MFA, dan enkripsi. VPN akses, pemindaian kerentanan, dan pencadangan harian di lokasi dan di luar lokasi. Atlantic.Net Selain itu, perusahaan ini juga mengenkripsi lapisan penyimpanan cloud-nya dan mendokumentasikan bagaimana tanggung jawab dibagi antara timnya dan pelanggan.

Untuk mempelajari lebih lanjut tentang Atlantic.Net, lihat ulasan lengkap kami di sini.

Atlantic.Net Paket, Harga, dan Nilai Keseluruhan

Atlantic.NetPaket Linux HIPAA Developer dari [nama penyedia] dimulai dari $552.31 per bulan dengan jangka waktu 12 bulan, ditambah biaya pengaturan $150. Paket yang dipublikasikan berkisar hingga $1,026.62 per bulan untuk hosting pemulihan bencana Windows. Harga awalnya relatif tinggi, tetapi sudah termasuk manajemen, pencadangan, layanan keamanan, bantuan migrasi, dan BAA (Business Associate Agreement) yang mungkin perlu Anda atur secara terpisah pada infrastruktur layanan mandiri yang lebih murah.

Atlantic.Net Pro dan kontra

Mengunjungi Atlantic.Net untuk mempelajari lebih lanjut tentang fitur-fiturnya.

2. LiquidWeb

Kunjungi Daring: https://www.liquidweb.com/hipaa-compliant-hosting/

Liquid Web menyediakan layanan hosting HIPAA terkelola untuk situs web, aplikasi, platform asuransi, dan produk SaaS medis di bidang kesehatan. Perusahaan ini menawarkan server khusus Linux dan Windows melalui fasilitas terpilih yang telah diaudit HIPAA, dengan infrastruktur yang dikelola sepenuhnya dan dukungan teknis 24 jam.

Mengapa Memilih Liquid Web untuk Hosting HIPAA?

Liquid Web menyediakan BAA (Business As Agreement) untuk lingkungan yang siap HIPAA. Paket-paketnya menggabungkan infrastruktur yang diaudit dengan administrasi server terkelola, deteksi intrusi, pencadangan, dan kontrol keamanan fisik. Konfigurasi keamanan yang lebih tinggi dapat menambahkan firewall perangkat keras, enkripsi. VPN akses, dan pengamanan lainnya berdasarkan persyaratan pelanggan.

Dari perspektif kami, keunggulan utama Liquid Web adalah kombinasi antara manajemen server langsung dan pengalaman yang luas. WordPress pengalaman. Organisasi layanan kesehatan dapat mengerahkan WordPress Situs web, portal pasien, dan aplikasi terkait dalam lingkungan server yang siap HIPAA tanpa perlu mengelola infrastruktur dasarnya sendiri. Namun, pelanggan harus memastikan bahwa konfigurasi yang dipilih tercakup dalam BAA dan tetap bertanggung jawab atas keamanan aplikasi, plugin, izin pengguna, dan prosedur kepatuhan internal.

Paket, Harga, dan Nilai Keseluruhan Liquid Web

Hosting HIPAA khusus Liquid Web dimulai dari $229 per bulan untuk Linux dan $271 per bulan untuk Windows. Ini adalah harga awal yang lebih rendah daripada Atlantic.NetPaket yang disertakan memang ada, tetapi konfigurasinya tidak sepenuhnya sama. Anda harus memastikan biaya tambahan untuk firewall perangkat keras. VPN akses, kapasitas cadangan, enkripsi, dan persyaratan keamanan khusus

Baca kami LiquidWeb ulasan untuk mengetahui lebih lanjut.

LiquidWeb Pro dan kontra

Mengunjungi LiquidWeb untuk mempelajari lebih lanjut tentang fitur-fiturnya.

3. Digital Ocean

Kunjungi Daring: https://www.digitalocean.com/trust/hipaa-at-do

DigitalOcean menyediakan infrastruktur cloud swalayan untuk pengembang, perusahaan rintisan, dan perusahaan perangkat lunak yang ingin membangun lingkungan mereka sendiri yang siap mematuhi HIPAA. Layanan yang memenuhi syarat meliputi Droplets, Kubernetes, pencadangan, penyimpanan blok, penyimpanan objek Spaces, firewall, penyeimbang beban, VPC, pemantauan, dan registri kontainer.

Mengapa Memilih DigitalOcean untuk Hosting HIPAA?

DigitalOcean Perusahaan menyediakan Perjanjian Kemitraan Bisnis (BAA) kepada pelanggan layanan kesehatan yang memenuhi syarat yang membeli Dukungan Standar atau Premium. Perusahaan menjalani penilaian HIPAA eksternal tahunan dan mewajibkan karyawan atau kontraktor yang mungkin berinteraksi dengan ePHI untuk menyelesaikan pelatihan khusus HIPAA. Platformnya juga mendukung MFA, SSO, pencatatan log, pemantauan, pemindaian kerentanan, dan prosedur respons insiden.

DigitalOcean Memberikan fleksibilitas lebih kepada tim teknis dibandingkan paket hosting HIPAA yang telah dikonfigurasi sebelumnya, tetapi pelanggan memikul tanggung jawab yang lebih besar. Anda harus membatasi ePHI (informasi kesehatan elektronik) hanya pada produk yang memenuhi syarat dan mengkonfigurasi sendiri enkripsi, keamanan aplikasi, izin akun, pencadangan, pemantauan, dan prosedur pemulihan.

Ingin tahu lebih banyak tentang Digital Ocean? Lihat kami Digital Ocean ulasan.

ULASAN DigitalOceanlayanan yang saat ini memenuhi syarat HIPAA.

DigitalOcean Paket, Harga, dan Nilai Keseluruhan

DigitalOceanPaket Dukungan Standar berharga $99 per bulan, sedangkan Dukungan Premium berharga $999 per bulan. Infrastruktur cloud, penyimpanan, pencadangan, penyeimbang beban, dan layanan lainnya ditagih secara terpisah. DigitalOcean Oleh karena itu, hal ini bisa hemat biaya bagi tim teknis yang sudah mengelola keamanan cloud, tetapi sebenarnya ini terkait dengan HIPAA. biaya hosting Harganya jauh di atas harga satu Droplet karena dukungan berbayar dan konfigurasi kepatuhan juga harus disertakan.

Digital Ocean Pro dan kontra

Mengunjungi Digital Ocean untuk mempelajari lebih lanjut tentang fitur-fiturnya.

4. OVHCloud

Kunjungi Daring: https://www.ovhcloud.com/asia/enterprise/certification-conformity/hipaa-hitech/

OVHcloud adalah penyedia hosting cloud global dengan lebih dari 400,000 server di lebih dari 46 pusat data di empat benua. Portofolionya mencakup Public Cloud, bare metal, virtual private cloud, dan infrastruktur hosted private cloud. OVHcloud juga mempertahankan sertifikasi ISO 27001 dan ISO 27701, bersama dengan program khusus wilayah seperti HDS dan SecNumCloud di Eropa.

Mengapa Memilih OVHCloud untuk Hosting HIPAA?

OVHCakupan HIPAA AS milik cloud mencakup layanan Bare Metal Cloud, Virtual Private Cloud, Hosted Private Cloud, dan Public Cloud di pusat data Vint Hill, Virginia, dan Hillsboro, Oregon. Sertifikasi HIPAA Tipe 1 memberikan jaminan yang lebih konkret daripada sekadar mendeskripsikan infrastruktur sebagai "siap HIPAA". Pelanggan dapat menggabungkan layanan ini dengan jaringan pribadi, manajemen identitas dan akses, manajemen kunci enkripsi, pencatatan log, pencadangan, dan anti-kebocoran.DDoS perlindungan.

Berdasarkan riset pasar kami, kami menemukan bahwa OVHCloud cocok untuk perusahaan layanan kesehatan yang memiliki kemampuan teknis dan menginginkan fleksibilitas infrastruktur yang lebih besar atau perlu mengoordinasikan beban kerja di seluruh Amerika Serikat dan Eropa. Ini bukan paket HIPAA terkelola siap pakai seperti Atlantic.Net atau Liquid Web, sehingga pelanggan harus mendesain, mengamankan, memantau, dan mendokumentasikan sebagian besar lingkungan tersebut sendiri. OVHHalaman kepatuhan publik cloud (berdasarkan studi kami) juga tidak menjelaskan proses BAA-nya. Sebelum menyebarkan ePHI, dapatkan konfirmasi tertulis bahwa OVHcloud akan menjalankan BAA dan memverifikasi bahwa setiap layanan dan lokasi yang dipilih berada dalam cakupan HIPAA-nya.

OVHPaket Cloud, Harga, dan Nilai Keseluruhan

OVHKomputasi awan bisa jauh lebih murah di tingkat infrastruktur dibandingkan penyedia HIPAA yang dikelola sepenuhnya. Harga US Public Cloud saat ini dimulai dari $7.08 per bulan untuk instance Discovery yang ditujukan untuk pengujian dan pengembangan, sementara instance b3-8 serbaguna berharga $37.54 per bulan dengan Paket Hemat 12 bulan. Harga ini mencakup komputasi dasar dan bukan lingkungan HIPAA lengkap, sehingga penyimpanan, pencadangan, pemantauan, alat keamanan, dukungan, dan manajemen kepatuhan dapat meningkatkan total biaya.

Ingin tahu lebih banyak tentang OVHCloud? Berikut ulasan kami.

OVHCloud Pro dan kontra

Mengunjungi OVHCloud untuk mempelajari lebih lanjut tentang fitur-fiturnya.

5. Microsoft Azure

Kunjungi Daring: https://learn.microsoft.com/en-us/azure/compliance/offerings/offering-hipaa-us

Microsoft Azure Platform ini mendukung beban kerja HIPAA di berbagai portofolio layanan komputasi, penyimpanan, basis data, analitik, identitas, dan pemulihan bencana. Platform ini sangat relevan bagi organisasi perawatan kesehatan yang sudah menggunakan Microsoft Entra ID, Windows Server, SQL Server, Microsoft 365, atau teknologi Microsoft lainnya.

Mengapa Memilih Microsoft Azure untuk Hosting HIPAA?

Azure menyediakan komponen dasar untuk lingkungan perawatan kesehatan yang kompleks, termasuk kontrol akses berbasis peran, enkripsi, manajemen kunci, pencatatan log, pemantauan ancaman, pencadangan, dan redundansi geografis. Platform ini juga mendukung arsitektur hibrida, memungkinkan organisasi perawatan kesehatan untuk menghubungkan sumber daya cloud dengan sistem on-premise yang sudah ada.

Perjanjian Kemitraan Bisnis (BAA) HIPAA Microsoft disediakan melalui Addendum Perlindungan Data Produk dan Layanan yang berlaku saat ini. Perjanjian ini berlaku secara default untuk entitas yang memenuhi syarat dan rekan bisnis yang menggunakan layanan Microsoft yang tercakup.

Berdasarkan pengalaman kami dengan integrator sistem TI B2B dan pengembangan perangkat lunak, Azure Solusi ini paling cocok untuk organisasi layanan kesehatan yang sudah berinvestasi dalam ekosistem Microsoft. Namun, pelanggan tetap bertanggung jawab untuk mengkonfigurasi layanan dengan benar dan mengelola akses, aplikasi, tata kelola data, dan kontrol tenaga kerja mereka sendiri.

Microsoft Azure Paket, Harga, dan Nilai Keseluruhan

Azure Microsoft tidak menjual paket hosting HIPAA dengan harga tetap. Komputasi, penyimpanan, basis data, pencadangan, pemantauan, bandwidth, dan layanan lainnya dikenakan biaya terpisah sesuai penggunaan, sementara BAA (Business Associate Agreement) dimasukkan ke dalam ketentuan kontrak Microsoft untuk pelanggan yang memenuhi syarat. Dukungan standar untuk beban kerja produksi berharga $100 per bulan, sedangkan Professional Direct berharga $1,000 per bulan.

Azure Biayanya bisa lebih rendah daripada hosting HIPAA yang dikelola sepenuhnya jika suatu organisasi sudah memiliki keahlian cloud Microsoft, tetapi biaya konsultasi dan manajemen dapat dengan cepat mempersempit keunggulan tersebut.

Microsoft Azure Pro dan kontra

Mengunjungi Microsoft Azure untuk mempelajari lebih lanjut tentang fitur-fiturnya.

6. Amazon Web Services (AWS)

Kunjungi Daring: https://aws.amazon.com/compliance/hipaa-compliance/

Amazon Web Services (AWS) Mendukung beban kerja HIPAA melalui katalog besar infrastruktur cloud, basis data, penyimpanan, analitik, keamanan, dan layanan khusus perawatan kesehatan. Arsitekturnya yang fleksibel cocok untuk platform SaaS perawatan kesehatan, sistem pemrosesan data, aplikasi pasien, dan beban kerja lain yang perlu diskalakan di berbagai wilayah atau zona ketersediaan.

Mengapa Memilih AWS untuk Hosting HIPAA?

AWS menyediakan kontrol terperinci atas jaringan, enkripsi, izin akses, pencatatan log, pencadangan, dan deteksi ancaman. Daftar layanan yang memenuhi syarat HIPAA saat ini mencakup produk yang banyak digunakan seperti Amazon EC2, S3, RDS, Lambda, CloudTrail, CloudWatch, KMS, AWS Backup, dan AWS HealthLake. Anda dapat menggunakan layanan AWS lain dalam akun yang sama, tetapi ePHI hanya boleh dibuat, diterima, dipelihara, diproses, atau ditransmisikan melalui layanan yang tercakup dalam BAA.

Periksa daftar layanan AWS yang memenuhi syarat HIPAA saat ini..

Pelanggan AWS dapat meninjau dan menerima Perjanjian Kemitraan Bisnis (BAA) standar melalui AWS Artifact. Dari perspektif kami, AWS memberikan fleksibilitas paling besar bagi tim pengembangan layanan kesehatan yang menginginkan kontrol arsitektur terperinci dan akses ke berbagai pilihan layanan berbasis cloud. Namun, fleksibilitas tersebut juga menciptakan kompleksitas. AWS mengelola infrastruktur cloud yang mendasarinya, sementara pelanggan harus mengkonfigurasi aplikasi, identitas, enkripsi, log, cadangan, dan kontrol jaringan dengan benar.

Paket AWS, Harga, dan Nilai Keseluruhan

AWS tidak mengenakan biaya melalui paket hosting HIPAA tetap. Pelanggan membayar untuk setiap layanan yang digunakan, dan biayanya dapat sangat bervariasi tergantung pada waktu komputasi, kapasitas penyimpanan, konfigurasi basis data, pencadangan, pencatatan log, transfer data, dan redundansi. Dukungan dasar sudah termasuk, sedangkan Dukungan Bisnis+ dimulai dari $29 per akun per bulan atau persentase dari penggunaan AWS bulanan, mana pun yang lebih tinggi. Dukungan Perusahaan dimulai dari $5,000 per bulan.

Secara keseluruhan, AWS dapat sangat hemat biaya bagi organisasi dengan keahlian cloud internal, tetapi tim yang lebih kecil harus memasukkan biaya rekayasa, pemantauan, dan layanan terkelola saat membandingkannya dengan penyedia HIPAA siap pakai.

Kelebihan dan Kekurangan AWS

Kunjungi AWS untuk mempelajari lebih lanjut tentang fitur-fiturnya.

---

Berapa Biaya Hosting yang Sesuai dengan HIPAA?

Berdasarkan riset pasar kami, hosting yang sesuai dengan HIPAA berkisar dari kurang dari $100 per bulan untuk infrastruktur cloud dasar yang dikelola sendiri hingga lebih dari $500 per bulan untuk paket yang dikelola sepenuhnya dengan layanan keamanan dan kepatuhan bawaan. Biaya akhir bergantung pada sumber daya server yang Anda butuhkan, tingkat manajemen, pencadangan, firewall, pemantauan, dukungan, dan pemulihan bencana.

Server termurah belum tentu merupakan pilihan HIPAA yang paling hemat biaya untuk operasional Anda. Instance cloud berbiaya rendah mungkin masih memerlukan dukungan berbayar, alat keamanan, pekerjaan konfigurasi, dan administrasi berkelanjutan. Paket terkelola membutuhkan biaya lebih di awal, tetapi dapat mengurangi beban kerja tim internal Anda.

Perbandingan Harga Hosting HIPAA

Harga-harga di bawah ini tidak sama persis. Atlantic.Net dan Liquid Web menerbitkan paket HIPAA terkelola, sementara DigitalOcean, OVHawan, Azure, dan AWS mengenakan biaya terpisah untuk infrastruktur dan layanan yang digunakan.

Penyedia	Referensi Harga yang Dipublikasikan	Konteks Penetapan Harga dan Kepatuhan
Atlantic.Net	Mulai dari $552.31/bulan, ditambah biaya pengaturan $150.	Paket Linux HIPAA Developer selama 12 bulan ini menggabungkan manajemen server, firewall terkelola, VPN Akses, pencadangan data, pemindaian kerentanan, bantuan migrasi, dan Perjanjian Kemitraan Bisnis (BAA).
Liquid Web	Mulai dari $229/bulan untuk Linux atau $271/bulan untuk Windows	Harga tersebut mencakup server khusus yang sepenuhnya dikelola dan siap HIPAA serta BAA. Firewall, VPN Akses, enkripsi, dan persyaratan keamanan yang disesuaikan dapat memengaruhi penawaran harga akhir.
DigitalOcean	Penggunaan infrastruktur ditambah $99/bulan untuk Dukungan Standar atau $999/bulan untuk Dukungan Premium	DigitalOcean BAA (Business Activity Agreement) hanya tersedia setelah salah satu paket dukungan ini dibeli. Komputasi, penyimpanan, basis data, pencadangan, dan sumber daya lainnya ditagih secara terpisah.
OVHawan	Berdasarkan penggunaan; instance b3-8 serbaguna dimulai dari sekitar $37.54/bulan pada Paket Hemat 12 bulan.	Ini adalah harga infrastruktur dasar, bukan lingkungan HIPAA lengkap. Pelanggan harus mengkonfirmasi ketersediaan BAA dan menambahkan layanan keamanan, pencadangan, pemantauan, dan manajemen yang mereka butuhkan.
Microsoft Azure	Berdasarkan penggunaan; dukungan teknis produksi dimulai dari $100/bulan	Perjanjian Kemitraan Bisnis (BAA) Microsoft disertakan melalui Addendum Perlindungan Data untuk pelanggan yang memenuhi syarat yang menggunakan layanan yang tercakup. Komputasi, penyimpanan, basis data, keamanan, pencadangan, dan bandwidth dikenakan biaya terpisah.
AWS	Berdasarkan penggunaan; Business Support+ dimulai dari $29/bulan per akun atau persentase dari penggunaan.	Pelanggan dapat menerima AWS BAA melalui AWS Artifact. Hanya layanan yang memenuhi syarat HIPAA yang dapat memproses ePHI, dan infrastruktur, pemantauan, pencadangan, transfer data, dan dukungan akan dikenakan biaya terpisah.

NoteHarga yang tertera berlaku per September 2026. Harap tinjau ketentuan terbaru sebelum membeli karena harga cloud, paket dukungan, dan layanan yang disertakan dapat berubah.

Penyedia Hosting HIPAA Mana yang Menawarkan Nilai Terbaik?

Liquid Web menawarkan nilai terbaik untuk pemula bagi organisasi yang menginginkan hosting HIPAA terkelola. Harga awalnya sebesar $229 per bulan jauh lebih rendah daripada Atlantic.NetPaket yang diterbitkan oleh Liquid Web berkinerja baik di seluruh pengujian hosting kami. Namun, pembeli harus meminta penawaran lengkap karena komponen keamanan tambahan dapat meningkatkan total biaya.

DigitalOcean Menawarkan nilai terbaik bagi tim yang memiliki kemampuan teknis dan mencari infrastruktur cloud yang lebih sederhana dan dapat dikelola sendiri. HostScore.net berjalan DigitalOcean, dan platform ini terbukti sangat andal berdasarkan pengalaman kami. Pertimbangan biaya utama adalah paket Dukungan Standar bulanan wajib sebesar $99 yang diperlukan untuk mendapatkan BAA, di samping biaya infrastruktur normal.

Atlantic.Net Menawarkan nilai lebih baik ketika Anda menginginkan layanan keamanan dan manajemen yang digabungkan dalam satu paket yang mudah diprediksi. Harga awalnya adalah yang tertinggi dalam daftar hosting HIPAA yang kami rekomendasikan, tetapi paket ini mencakup layanan yang biasanya dikenakan biaya terpisah oleh penyedia layanan mandiri atau memerlukan implementasi dari tim Anda. Atlantic.Net juga menunjukkan performa yang baik dalam uji beban dan pelacakan waktu aktif kami.

Azure memberikan nilai yang kuat bagi organisasi yang sudah menggunakan teknologi Microsoft, sementara AWS cocok untuk tim yang membutuhkan pilihan layanan cloud dan opsi arsitektur yang paling luas. OVHKomputasi awan dapat memberikan biaya infrastruktur yang rendah, tetapi kami hanya akan mempertimbangkannya setelah mengkonfirmasi proses BAA dan menghitung biaya internal untuk membangun dan mengelola lingkungan yang sesuai.

Penjelasan tentang Hosting HIPAA

Hosting HIPAA melindungi informasi kesehatan elektronik dalam lingkungan hosting atau cloud. Memahaminya membutuhkan pengetahuan tentang organisasi mana yang dicakup oleh HIPAA, apa yang termasuk dalam data yang dilindungi, dan bagaimana tanggung jawab kepatuhan dibagi antara pelanggan dan penyedia hosting.

Apa itu HIPAA?

Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) adalah undang-undang federal AS yang diberlakukan pada tahun 1996 yang menetapkan standar nasional yang memengaruhi informasi kesehatan, portabilitas asuransi, dan transaksi perawatan kesehatan elektronik. Tiga aturan HIPAA sangat relevan bagi organisasi yang menyimpan, memproses, atau mengirimkan data perawatan kesehatan:

1. Aturan Privasi Undang-undang ini mengatur bagaimana informasi kesehatan yang dilindungi (PHI) dapat digunakan dan diungkapkan. Undang-undang ini juga menetapkan hak-hak tertentu bagi individu.
2. Aturan Keamanan Membutuhkan pengamanan administratif, fisik, dan teknis untuk informasi kesehatan elektronik (ePHI).
3. Aturan Pemberitahuan Pelanggaran memerlukan pemberitahuan setelah terjadi pelanggaran tertentu terhadap PHI (Informasi Kesehatan yang Dilindungi) yang tidak aman.

Bagi pembeli layanan hosting, HIPAA melindungi kerahasiaan, integritas, dan ketersediaan informasi kesehatan yang diatur. HIPAA mewajibkan entitas yang tercakup dan rekan bisnis untuk menilai risiko, mengontrol akses, mendokumentasikan langkah-langkah keamanan, dan menanggapi insiden.

Undang-Undang Teknologi Informasi Kesehatan untuk Kesehatan Ekonomi dan Klinis (HITECH) memperkuat perlindungan ini pada tahun 2009. HITECH memperluas persyaratan pemberitahuan pelanggaran, meningkatkan penegakan hukum, dan menjadikan rekan bisnis bertanggung jawab langsung untuk mematuhi bagian-bagian yang berlaku dari Aturan HIPAA.

Teks undang-undang tersebut tersedia. di sini untuk HIPAAHHS juga menjelaskan bagaimana HITECH mengubah Aturan Keamanan dan tanggung jawab rekan bisnis.

Apa yang Dihitung sebagai PHI dan ePHI?

Informasi Kesehatan yang Dilindungi (PHI) adalah informasi kesehatan yang dapat diidentifikasi secara individual yang dibuat, diterima, dipelihara, atau ditransmisikan oleh entitas atau rekan bisnis yang tercakup dalam HIPAA. Informasi ini berkaitan dengan kesehatan, perawatan, atau pembayaran layanan kesehatan seseorang dan mengidentifikasi orang tersebut atau memberikan dasar yang wajar untuk identifikasi.

Informasi Kesehatan yang Dilindungi (PHI) dapat berisi nama, alamat, tanggal lahir, nomor rekam medis, nomor Jaminan Sosial, diagnosis, detail perawatan, atau informasi asuransi. Ketika PHI disimpan atau ditransmisikan secara elektronik, maka PHI tersebut menjadi Informasi Kesehatan yang Dilindungi secara elektronik (ePHI).

Contoh umum yang terkait dengan hosting meliputi:

• Catatan pasien yang tersimpan dalam basis data.
• Informasi perawatan kesehatan yang dikirimkan melalui email.
• Cadangan data yang berisi data pasien atau asuransi.
• Catatan aplikasi yang berisi nama, nomor rekening, atau detail perawatan.
• Lembar kerja yang diekspor berisi identifikasi pasien
• Gambar medis yang dikaitkan dengan pasien yang dapat diidentifikasi.

Tidak semua data terkait kesehatan memenuhi syarat sebagai PHI (Informasi Kesehatan yang Dilindungi). HIPAA berlaku ketika informasi tersebut terhubung dengan entitas yang tercakup atau rekan bisnis dan memenuhi definisi peraturan. Informasi yang telah dianonimkan dengan benar juga tidak lagi diperlakukan sebagai PHI berdasarkan Aturan HIPAA.

Mengapa HIPAA Penting untuk Layanan Hosting?

HIPAA berlaku untuk layanan hosting ketika entitas yang tercakup atau rekan bisnis menggunakan penyedia untuk membuat, menerima, memelihara, atau mengirimkan ePHI (Informasi Kesehatan Elektronik). Dalam situasi tersebut, penyedia hosting biasanya menjadi rekan bisnis, bahkan ketika mereka hanya menyimpan data terenkripsi dan tidak memegang kunci dekripsi.

Pelanggan dan penyedia hosting harus membuat Perjanjian Rekanan Bisnis (Business Associate Agreement/BAA). Perjanjian tersebut mendefinisikan penggunaan ePHI yang diizinkan, tanggung jawab keamanan, kewajiban pelaporan insiden, kewajiban subkontraktor, dan apa yang terjadi pada data ketika layanan berakhir.

Kepatuhan hosting meluas melampaui infrastruktur penyedia. Pelanggan tetap harus mengkonfigurasi aplikasi dengan benar, membatasi akses pengguna, mengelola kredensial, menilai risiko, dan mendokumentasikan kontrol mereka sendiri. Oleh karena itu, HHS memperlakukan keamanan cloud sebagai tanggung jawab bersama antara penyedia dan pelanggan.

Apa itu Web Hosting yang Mematuhi HIPAA?

Hosting web yang sesuai dengan HIPAA adalah lingkungan hosting yang dikonfigurasi dan dioperasikan untuk mendukung perlindungan hukum, administratif, fisik, dan teknis yang diperlukan untuk ePHI (informasi kesehatan elektronik). Perjanjian tersebut juga harus mencakup BAA (Business Associate Agreement) yang sesuai ketika penyedia bertindak sebagai rekan bisnis.

HHS tidak mensertifikasi atau mendukung produk hosting tertentu. Penyedia yang menawarkan BAA dan infrastruktur yang memenuhi syarat memberi Anda dasar untuk kepatuhan, tetapi itu tidak secara otomatis membuat situs web, aplikasi, atau organisasi Anda patuh.

At HostScore, kami mengevaluasi hosting HIPAA berdasarkan lima keputusan:

1. Tentukan apakah HIPAA berlaku. Organisasi Anda harus terlebih dahulu menentukan apakah organisasi tersebut merupakan entitas yang tercakup, rekan bisnis, atau subkontraktor yang menangani ePHI.
2. Konfirmasikan bahwa penyedia layanan akan menandatangani Perjanjian Kemitraan Bisnis (BAA). Entitas yang tercakup atau rekan bisnis melanggar Aturan HIPAA ketika menggunakan penyedia layanan cloud untuk menyimpan ePHI tanpa Perjanjian Kemitraan Bisnis (BAA) yang sesuai. Periksa produk dan layanan apa yang tercakup dalam perjanjian karena kelayakan mungkin tidak mencakup seluruh platform penyedia.
3. Tetapkan tanggung jawab keamanan masing-masing pihak. Penyedia layanan dapat mengontrol akses fisik pusat data, infrastruktur penyimpanan, dan keamanan jaringan. Pelanggan mungkin tetap bertanggung jawab atas keamanan aplikasi, izin pengguna, pengaturan enkripsi, pencatatan log, dan manajemen akun. Tanggung jawab ini harus didokumentasikan.
4. Pilih model hosting yang sesuai. Baik cloud hosting maupun dedicated hosting dapat mendukung beban kerja yang diatur oleh HIPAA. Cloud hosting menyediakan alokasi sumber daya yang fleksibel, sementara dedicated server menyediakan perangkat keras yang terisolasi dan kontrol konfigurasi yang lebih langsung. Opsi yang tepat bergantung pada aplikasi, penilaian risiko, dan keahlian internal.
5. Pilih antara hosting terkelola dan hosting tidak terkelola. Managed hosting menyerahkan lebih banyak pekerjaan patching, monitoring, backup, dan pemeliharaan kepada penyedia layanan. Unmanaged hosting menyerahkan lebih banyak tugas tersebut kepada tim Anda. Baik model managed hosting maupun unmanaged hosting tidak menghilangkan tanggung jawab kepatuhan organisasi Anda.

Oleh karena itu, hosting yang sesuai dengan HIPAA bukanlah produk yang dapat Anda beli dan lupakan begitu saja. Kepatuhan bergantung pada BAA (Business Associate Agreement), konfigurasi hosting, prosedur internal, praktik ketenagakerjaan, dan tanggung jawab yang didokumentasikan dari kedua belah pihak.

Persyaratan Teknis untuk Hosting HIPAA

Aturan Keamanan HIPAA mensyaratkan pengamanan administratif, fisik, dan teknis. Aturan ini bersifat netral terhadap teknologi, sehingga umumnya tidak menetapkan satu produk, algoritma enkripsi, metode otentikasi, atau desain pusat data tertentu.

Lingkungan hosting yang diatur oleh HIPAA harus mendukung kontrol berikut:

Kebutuhan	Lingkungan Hosting yang Diatur oleh HIPAA	Lingkungan Hosting Konvensional
enkripsi	Enkripsi merupakan spesifikasi yang dapat dipertimbangkan dalam Aturan Keamanan saat ini. Enkripsi harus diimplementasikan jika wajar dan sesuai, atau organisasi harus mendokumentasikan keputusannya dan menggunakan alternatif yang sesuai.	TLS dapat melindungi data saat dalam perjalanan, tetapi enkripsi saat data diam dan manajemen kunci bervariasi tergantung penyedia.
Kontrol akses dan otentikasi	Sistem harus membatasi akses ke ePHI (informasi kesehatan elektronik) hanya untuk pengguna yang berwenang dan memverifikasi identitas pengguna. Identifikasi pengguna yang unik diperlukan; MFA (otentikasi multifaktor) sangat direkomendasikan tetapi bukan merupakan persyaratan universal berdasarkan peraturan saat ini.	Akses dengan kata sandi adalah standar, sedangkan MFA dan izin berbasis peran bervariasi.
Kontrol audit dan pencatatan	Sistem harus mencatat dan memeriksa aktivitas yang melibatkan sistem yang berisi atau menggunakan ePHI (informasi kesehatan elektronik). Cakupan pencatatan harus mencerminkan risiko dan tanggung jawab organisasi.	Log server atau akun dasar mungkin tersedia, tetapi tingkat penyimpanan dan detailnya bervariasi.
Pengamanan fisik	Penyedia layanan harus membatasi akses fisik ke sistem dan fasilitas sambil tetap mengizinkan akses yang berwenang. HIPAA tidak secara khusus mensyaratkan sistem masuk biometrik.	Penyedia layanan menerapkan kontrol akses pusat data mereka sendiri.
Cadangan dan pemulihan	Entitas yang diatur memerlukan pencadangan data, pemulihan bencana, dan prosedur mode darurat sebagai bagian dari perencanaan kontingensi mereka.	Pencadangan dan pemulihan bencana mungkin bersifat opsional atau dijual terpisah.
Perjanjian Asosiasi Bisnis	Perjanjian Kemitraan Bisnis (BAA) diperlukan ketika penyedia layanan membuat, menerima, memelihara, atau mengirimkan ePHI sebagai mitra bisnis.	Hosting standar biasanya tidak menyertakan BAA (Business Associate Agreement).
Pelatihan tenaga kerja	Entitas yang tercakup dan rekan bisnis wajib melatih tenaga kerja mereka tentang kebijakan dan prosedur keamanan yang berlaku.	Penyedia layanan dapat menawarkan pelatihan keamanan umum tanpa proses khusus untuk sektor kesehatan.
Respon insiden	Entitas yang diatur harus mengidentifikasi, menanggapi, mengurangi, dan mendokumentasikan insiden keamanan. Perjanjian Kemitraan Bisnis (BAA) juga harus membahas pelaporan insiden.	Prosedur penanganan insiden berbeda-beda tergantung penyedia dan tingkat layanan.
Analisis dan manajemen risiko	Organisasi harus menilai risiko terhadap ePHI dan mengurangi risiko yang teridentifikasi ke tingkat yang wajar dan tepat.	Analisis risiko formal biasanya merupakan tanggung jawab pelanggan.
Kontrol perangkat dan media	Kebijakan harus mengatur penerimaan, pergerakan, penggunaan kembali, dan pembuangan perangkat keras dan media elektronik yang berisi ePHI.	Praktik penghapusan data dan pembuangan perangkat keras bervariasi dan mungkin tidak diungkapkan.

HHS mengusulkan persyaratan Aturan Keamanan yang lebih ketat pada Desember 2024, termasuk perubahan yang melibatkan enkripsi dan otentikasi multi-faktor. Namun, HHS menyatakan bahwa Aturan Keamanan saat ini tetap berlaku sementara proses pembuatan peraturan masih berlangsung. Pembeli harus memverifikasi status aturan saat ini sebelum menerapkan lingkungan baru.

Bagaimana Seharusnya Penyedia Layanan Hosting yang Memenuhi Standar HIPAA Membersihkan Media dan Membuang Perangkat Keras?

Penyedia layanan hosting HIPAA harus memiliki prosedur terdokumentasi untuk membersihkan, menggunakan kembali, dan membuang media penyimpanan yang mungkin berisi ePHI. Menghapus file atau menghentikan instance server tidak selalu menghapus setiap salinan yang mendasarinya dari penyimpanan aktif, cadangan, replika, atau perangkat keras yang sudah tidak digunakan.

Peraturan Keamanan HIPAA mewajibkan kontrol perangkat dan media yang mencakup pembuangan akhir ePHI dan perangkat keras tempat penyimpanannya. Peraturan ini juga mewajibkan prosedur untuk menghapus ePHI sebelum media elektronik digunakan kembali. Tergantung pada media dan risikonya, HHS mengidentifikasi pembersihan, penghapusan, dan penghancuran fisik sebagai pendekatan yang mungkin dilakukan.

Saat membandingkan penyedia hosting HIPAA, tanyakan bagaimana penyedia menangani hard drive yang rusak, server yang sudah tidak digunakan, media cadangan, perangkat penyimpanan yang dikembalikan ke vendor, dan perangkat keras yang diproses oleh kontraktor pembuangan. Penyedia harus dapat menjelaskan rantai pengawasannya, metode sanitasi, kontrol subkontraktor, pencatatan, dan apakah sertifikat penghancuran tersedia.

NIST SP 800-88 Revisi 2 memberikan panduan terkini untuk membangun program sanitasi media. Panduan ini mencakup metode seperti pembersihan, penghapusan data, penghapusan kriptografis, dan penghancuran fisik. Kebijakan penyedia hosting harus memilih metode yang sesuai dengan teknologi penyimpanan, sensitivitas data, dan kemungkinan pemulihan.

Selain HIPAA: Faktor Lain Saat Memilih Host

Kepatuhan HIPAA sangat penting ketika organisasi Anda menangani ePHI, tetapi kepatuhan saja tidak menjadikan penyedia hosting cocok. Situs web atau aplikasi layanan kesehatan juga membutuhkan infrastruktur yang andal, dukungan responsif, sistem yang mudah dikelola, dan biaya yang dapat diprediksi.

Saat membandingkan penyedia layanan, pertimbangkan kriteria operasional yang sama yang berlaku untuk layanan hosting lainnya:

• Performa dan waktu aktif: Periksa infrastruktur penyedia, SLA waktu aktif, redundansi jaringan, dan opsi penskalaan yang tersedia. Kepatuhan HIPAA tidak menjamin kinerja aplikasi yang cepat atau andal.
• Kemudahan pengelolaan: Pilih lingkungan terkelola atau tidak terkelola yang sesuai dengan kemampuan teknis tim Anda. Konfirmasikan siapa yang menangani patching, pemantauan, pencadangan, pemulihan, dan konfigurasi keamanan.
• Transparansi harga: Bandingkan infrastruktur, pencadangan data, layanan keamanan, pelaporan kepatuhan, dukungan terkelola, dan biaya transfer data. Harga server yang rendah mungkin tidak mencerminkan biaya penuh untuk mengoperasikan lingkungan yang sesuai dengan peraturan.
• Scalakemampuan: Konfirmasikan bahwa penyedia layanan dapat meningkatkan kapasitas CPU, memori, penyimpanan, dan jaringan tanpa memerlukan migrasi yang mengganggu.
• Kesesuaian beban kerja: Sesuaikan lingkungan hosting dengan aplikasi layanan kesehatan. Portal pasien, platform telemedisin, WordPress Situs web dan produk SaaS medis memiliki persyaratan kinerja dan keamanan yang berbeda.

Apakah Dukungan Berbasis di AS dan Staf yang Terlatih HIPAA Itu Penting?

Dukungan berbasis di AS dan staf yang terlatih HIPAA dapat membuat penyedia hosting lebih mudah diajak bekerja sama, tetapi kedua label tersebut tidak membuktikan kepatuhan HIPAA. HIPAA tidak mengharuskan staf pendukung atau infrastruktur cloud berada di Amerika Serikat. HHS mengizinkan organisasi yang diatur untuk menggunakan layanan cloud luar negeri ketika BAA dan pengamanan yang sesuai telah diterapkan, meskipun risiko geografis harus menjadi bagian dari analisis risiko organisasi.

Dukungan berbasis di AS mungkin masih dapat mengurangi gesekan zona waktu dan menyederhanakan eskalasi bagi organisasi perawatan kesehatan Amerika. Pertanyaan yang lebih penting adalah apakah personel pendukung memahami tanggung jawab HIPAA penyedia layanan dan mengikuti prosedur yang terdokumentasi saat mengakses sistem pelanggan.

Sebelum memilih penyedia layanan, kami menyarankan Anda untuk bertanya:

• Apakah personel pendukung menerima pelatihan keamanan dan pelatihan terkait HIPAA secara berkala?
• Apakah akses ke sistem pelanggan memerlukan otorisasi dan dicatat?
• Apakah penyedia layanan menawarkan eskalasi insiden 24/7?
• Apakah kontraktor pendukung pihak ketiga dapat mengakses ePHI
• Apakah subkontraktor yang bersangkutan terikat oleh BAA yang sesuai?
• Apakah tim dukungan dapat menjelaskan pembagian tanggung jawab kepatuhan?

Perlu diperhatikan bahwa "staf terlatih HIPAA" bukanlah sertifikasi resmi. Anggaplah ini sebagai klaim yang memerlukan detail pendukung tentang pelatihan, kontrol akses, prosedur insiden, dan tanggung jawab eskalasi.

Ringkasan Utama

Memilih hosting yang sesuai dengan HIPAA dimulai dengan lima keputusan: menentukan apakah Anda menangani ePHI, mendapatkan BAA yang ditandatangani, memverifikasi perlindungan yang diperlukan, memilih antara infrastruktur cloud dan dedicated, dan memutuskan apakah Anda memerlukan hosting terkelola atau tidak terkelola.

Setelah persyaratan tersebut terpenuhi, bandingkan kinerja, waktu aktif (uptime), keahlian dukungan, kemudahan pengelolaan, dan total biaya. Pastikan penyedia hosting menggunakan staf yang terlatih HIPAA dan memiliki prosedur sanitasi media dan pembuangan perangkat keras yang terdokumentasi. Kepatuhan adalah wajib, tetapi kesesuaian operasional yang tepat menjaga lingkungan tetap aman, andal, dan mudah dikelola.

Tanya Jawab tentang Hosting HIPAA

Anda Mungkin Juga Tertarik pada: