Il miglior hosting conforme all'HIPAA: confronta le opzioni sicure e affidabili per i dati sanitari

I migliori provider di hosting conformi all'HIPAA sono Atlantic.Net, Liquid Web e DigitalOcean. Atlantic.Net è la nostra migliore scelta complessiva, Liquid Web offre un'opzione gestita a costi inferiori e DigitalOcean Ideale per team tecnici alla ricerca di un'infrastruttura cloud flessibile.

Quando si confrontano i fornitori, è importante verificare la disponibilità del BAA (Business Associate Agreement) e valutare la crittografia, i controlli di accesso, i backup, la gestione degli incidenti, la cancellazione sicura dei supporti di memorizzazione, le competenze di supporto e le responsabilità che il team dovrà assumersi.

Atlantic.Net include un BAA, gestione del server, protezione firewall, VPN Accesso, backup, scansione delle vulnerabilità e assistenza alla migrazione, con piani a partire da 552.31 dollari al mese più una commissione di attivazione di 150 dollari. Ha inoltre ottenuto buoni risultati nei nostri test di carico e nel monitoraggio del tempo di attività.

Web liquido Offre hosting HIPAA gestito a partire da 229 dollari al mese per Linux o 271 dollari per Windows, risultando l'opzione gestita più conveniente. Le prestazioni sono risultate elevate nei nostri test, sebbene l'esperienza di onboarding e di gestione dell'account ci sia sembrata meno curata.

DigitalOcean fornisce infrastrutture cloud affidabili e a prezzi competitivi, e HostScore.net Il software funziona sulla piattaforma. Tuttavia, per ottenere un BAA è necessario il supporto standard a 99 dollari al mese o il supporto premium a 999 dollari al mese, mentre la configurazione e la conformità continua rimangono in gran parte responsabilità del cliente.

Nota: HostScore Le valutazioni riflettono le prestazioni complessive di ciascun provider di hosting. Questa guida si concentra in particolare sulla disponibilità del BAA, sulle misure di sicurezza, sull'ambito di gestione, sull'assistenza e sul costo totale di gestione di un ambiente conforme a HIPAA.

1. Atlantic.Net

Visita in linea: https://www.atlantic.net/hipaa-compliant-hosting/

Atlantic.Net Offre servizi di hosting cloud gestiti e dedicati conformi a HIPAA per operatori sanitari, aziende SaaS in ambito medico e altre organizzazioni che gestiscono dati sanitari elettronici (ePHI). Fondata nel 1994, l'azienda opera in otto regioni cloud negli Stati Uniti, in Canada, nel Regno Unito e a Singapore.

Perché Scegliere La Atlantic.Net per l'hosting HIPAA?

Atlantic.Net combina un'infrastruttura conforme a HIPAA con sicurezza gestita e supporto operativo. I suoi ambienti in ambito sono sottoposti a verifiche indipendenti per HIPAA e HITECH, con SOC 2 Tipo II e SOC 3 I report di tipo II forniscono ulteriori garanzie. Un BAA (Business Associate Agreement) è disponibile con ogni piano di hosting HIPAA, sebbene i clienti restino responsabili delle proprie applicazioni, dell'accesso degli utenti e delle procedure interne.

I pacchetti pubblicati includono gestione server, firewall gestiti, MFA, crittografia VPN accesso, scansione delle vulnerabilità e backup giornalieri in loco e fuori sede. Atlantic.Net Inoltre, crittografa il proprio livello di archiviazione cloud e documenta la suddivisione delle responsabilità tra il suo team e il cliente.

Per saperne di più su Atlantic.Net, controlla la nostra recensione completa qui.

Atlantic.Net Piani, prezzi e valore complessivo

Atlantic.NetIl pacchetto Linux HIPAA Developer di parte da 552.31 dollari al mese con un contratto di 12 mesi, più una commissione di installazione di 150 dollari. I piani pubblicati arrivano fino a 1,026.62 dollari al mese per l'hosting di disaster recovery su Windows. Il prezzo di partenza è relativamente alto, ma include gestione, backup, servizi di sicurezza, assistenza alla migrazione e un BAA (Business Associate Agreement) che le infrastrutture self-service più economiche potrebbero richiedere di stipulare separatamente.

Atlantic.Net Pro e contro

Visita Atlantic.Net per saperne di più sulle caratteristiche.

2. LiquidWeb

Visita in linea: https://www.liquidweb.com/hipaa-compliant-hosting/

Liquid Web offre servizi di hosting gestito e conforme a HIPAA per siti web, applicazioni, piattaforme assicurative e prodotti SaaS in ambito sanitario. L'azienda mette a disposizione server dedicati Linux e Windows presso strutture selezionate e certificate HIPAA, con infrastruttura completamente gestita e supporto tecnico 24 ore su 24.

Perché scegliere Liquid Web per un hosting conforme alle normative HIPAA?

Liquid Web mette a disposizione un BAA per i suoi ambienti conformi a HIPAA. I suoi pacchetti combinano un'infrastruttura verificata con amministrazione server gestita, rilevamento delle intrusioni, backup e controlli di sicurezza fisica. Le configurazioni di sicurezza più elevate possono aggiungere firewall hardware, crittografati VPN accesso e altre misure di sicurezza in base alle esigenze del cliente.

Dal nostro punto di vista, il vantaggio principale di Liquid Web è la combinazione di gestione pratica del server e ampia WordPress esperienza. Le organizzazioni sanitarie possono implementare WordPress siti web, portali per i pazienti e applicazioni correlate all'interno di un ambiente server conforme a HIPAA, senza dover gestire direttamente l'infrastruttura sottostante. Tuttavia, i clienti devono verificare che la configurazione selezionata sia coperta dal BAA e restano responsabili della sicurezza delle applicazioni, dei plugin, delle autorizzazioni degli utenti e delle procedure interne di conformità.

Piani, prezzi e valore complessivo di Liquid Web.

L'hosting HIPAA dedicato di Liquid Web parte da $229 al mese per Linux e $271 al mese per Windows. Questo è un punto di ingresso più basso rispetto a Atlantic.Netpacchetti raggruppati, ma le configurazioni non sono direttamente equivalenti. Dovresti confermare i costi aggiuntivi per i firewall hardware, VPN accesso, capacità di backup, crittografia e requisiti di sicurezza personalizzati

Leggi la nostra LiquidWeb recensione per saperne di più.

LiquidWeb Pro e contro

Visita LiquidWeb per saperne di più sulle caratteristiche.

3. Digital Ocean

Visita in linea: https://www.digitalocean.com/trust/hipaa-at-do

DigitalOcean Offre un'infrastruttura cloud self-service per sviluppatori, startup e aziende di software che desiderano creare i propri ambienti conformi alle normative HIPAA. I servizi disponibili includono Droplet, Kubernetes, backup, storage a blocchi, storage a oggetti Spaces, firewall, bilanciatori di carico, VPC, monitoraggio e registri di container.

Perché Scegliere La DigitalOcean per l'hosting HIPAA?

DigitalOcean Fornisce un BAA (Business Associate Agreement) ai clienti del settore sanitario che soddisfano i requisiti e che acquistano il supporto Standard o Premium. L'azienda si sottopone annualmente a una valutazione esterna HIPAA e richiede ai dipendenti o ai collaboratori che potrebbero interagire con informazioni sanitarie elettroniche (ePHI) di completare una formazione specifica su HIPAA. La sua piattaforma supporta anche l'autenticazione a più fattori (MFA), l'accesso singolo singolo (SSO), la registrazione, il monitoraggio, la scansione delle vulnerabilità e le procedure di risposta agli incidenti.

DigitalOcean Offre ai team tecnici maggiore flessibilità rispetto a un pacchetto di hosting HIPAA preconfigurato, ma i clienti si assumono maggiori responsabilità. Devono limitare l'accesso alle informazioni sanitarie elettroniche (ePHI) ai prodotti idonei e configurare autonomamente la crittografia, la sicurezza delle applicazioni, le autorizzazioni dell'account, i backup, il monitoraggio e le procedure di ripristino.

Vuoi saperne di più su Digital Ocean? Controlla il nostro Digital Ocean recensioni.

Review DigitalOceanservizi attualmente conformi a HIPAA.

DigitalOcean Piani, prezzi e valore complessivo

DigitalOceanIl piano di supporto standard costa 99 dollari al mese, mentre il supporto premium costa 999 dollari al mese. L'infrastruttura cloud, lo storage, i backup, i bilanciatori di carico e altri servizi vengono fatturati separatamente. DigitalOcean può quindi essere conveniente per i team tecnici che già gestiscono la sicurezza del cloud, ma il suo vero HIPAA costo di hosting Il prezzo di partenza è ben superiore a quello di un singolo Droplet, poiché include anche l'assistenza a pagamento e la configurazione per la conformità.

Digital Ocean Pro e contro

Visita Digital Ocean per saperne di più sulle caratteristiche.

4. OVHCloud

Visita in linea: https://www.ovhcloud.com/asia/enterprise/certification-conformity/hipaa-hitech/

OVHCloud è un fornitore globale di servizi di cloud hosting con oltre 400,000 server distribuiti in più di 46 data center su quattro continenti. Il suo portfolio include infrastrutture di cloud pubblico, bare metal, cloud privato virtuale e cloud privato ospitato. OVHcloud detiene inoltre le certificazioni ISO 27001 e ISO 27701, oltre a programmi specifici per regione come HDS e SecNumCloud in Europa.

Perché Scegliere La OVHCloud per hosting conforme alle normative HIPAA?

OVHLa conformità HIPAA di cloud negli Stati Uniti copre i servizi Bare Metal Cloud, Virtual Private Cloud, Hosted Private Cloud e Public Cloud nei suoi data center di Vint Hill, Virginia, e Hillsboro, Oregon. La sua attestazione HIPAA di tipo 1 fornisce una garanzia più concreta rispetto alla semplice descrizione dell'infrastruttura come "pronta per HIPAA". I clienti possono combinare questi servizi con reti private, gestione delle identità e degli accessi, gestione delle chiavi di crittografia, registrazione, backup e anti-DDoS protezione.

Sulla base delle nostre ricerche di mercato, abbiamo riscontrato che OVHIl cloud è adatto alle aziende sanitarie tecnicamente capaci che desiderano una maggiore flessibilità infrastrutturale o hanno bisogno di coordinare i carichi di lavoro tra Stati Uniti ed Europa. Non è un pacchetto HIPAA gestito chiavi in ​​mano come Atlantic.Net o Liquid Web, quindi i clienti devono progettare, proteggere, monitorare e documentare gran parte dell'ambiente autonomamente. OVHLe pagine pubbliche di conformità del cloud (secondo il nostro studio) non spiegano nemmeno il suo processo BAA. Prima di implementare ePHI, ottenere la conferma scritta che OVHIl cloud eseguirà un BAA e verificherà che ogni servizio e posizione selezionati rientrino nell'ambito di applicazione dell'HIPAA.

OVHPiani, prezzi e valore complessivo del cloud.

OVHIl cloud può risultare considerevolmente più economico a livello di infrastruttura rispetto ai fornitori di servizi HIPAA completamente gestiti. I prezzi del cloud pubblico statunitense partono attualmente da 7.08 dollari al mese per un'istanza Discovery destinata a test e sviluppo, mentre un'istanza b3-8 per uso generico costa 37.54 dollari al mese con un piano di risparmio di 12 mesi. Questi prezzi coprono le risorse di calcolo di base, non un ambiente HIPAA completo, quindi storage, backup, monitoraggio, strumenti di sicurezza, supporto e gestione della conformità possono far aumentare il costo totale.

Vuoi saperne di più su OVHCloud? Ecco la nostra recensione.

OVHCloud Pro e contro

Visita OVHCloud per saperne di più sulle caratteristiche.

5. Microsoft Azure

Visita in linea: https://learn.microsoft.com/en-us/azure/compliance/offerings/offering-hipaa-us

Microsoft Azure La piattaforma supporta i carichi di lavoro conformi a HIPAA in un'ampia gamma di servizi di elaborazione, archiviazione, database, analisi, gestione delle identità e ripristino di emergenza. È particolarmente rilevante per le organizzazioni sanitarie che già utilizzano Microsoft Entra ID, Windows Server, SQL Server, Microsoft 365 o altre tecnologie Microsoft.

Perché Scegliere La Microsoft Azure per l'hosting HIPAA?

Azure Fornisce gli elementi costitutivi per ambienti sanitari complessi, tra cui controllo degli accessi basato sui ruoli, crittografia, gestione delle chiavi, registrazione degli eventi, monitoraggio delle minacce, backup e ridondanza geografica. Supporta inoltre architetture ibride, consentendo alle organizzazioni sanitarie di connettere le risorse cloud con i sistemi on-premise esistenti.

L'accordo HIPAA BAA di Microsoft è fornito tramite l'attuale Addendum sulla protezione dei dati per prodotti e servizi. L'accordo si applica automaticamente alle entità coperte e ai partner commerciali idonei che utilizzano i servizi Microsoft inclusi nell'ambito di applicazione.

In base alla nostra esperienza con integratori di sistemi IT B2B e sviluppo software, Azure È la soluzione ideale per le organizzazioni sanitarie che hanno già investito nell'ecosistema Microsoft. Tuttavia, i clienti restano responsabili della corretta configurazione dei servizi e della gestione autonoma degli accessi, delle applicazioni, della governance dei dati e dei controlli relativi alla forza lavoro.

Microsoft Azure Piani, prezzi e valore complessivo

Azure Microsoft non offre pacchetti di hosting HIPAA a prezzo fisso. I servizi di elaborazione, archiviazione, database, backup, monitoraggio, larghezza di banda e altri servizi vengono fatturati separatamente in base all'utilizzo, mentre il BAA (Business Associate Agreement) è incluso nei termini contrattuali di Microsoft per i clienti idonei. Il supporto standard per i carichi di lavoro di produzione costa 100 dollari al mese, mentre il servizio Professional Direct costa 1,000 dollari al mese.

Azure Può costare meno di un hosting HIPAA completamente gestito quando un'organizzazione ha già esperienza con il cloud Microsoft, ma i costi di consulenza e gestione possono rapidamente ridurre tale vantaggio.

Microsoft Azure Pro e contro

Visita Microsoft Azure per saperne di più sulle caratteristiche.

6. Amazon Web Services (AWS)

Visita in linea: https://aws.amazon.com/compliance/hipaa-compliance/

Amazon Web Services (AWS) Supporta i carichi di lavoro conformi a HIPAA attraverso un ampio catalogo di infrastrutture cloud, database, storage, analisi, sicurezza e servizi specifici per il settore sanitario. La sua architettura flessibile si adatta a piattaforme SaaS per il settore sanitario, sistemi di elaborazione dati, applicazioni per pazienti e altri carichi di lavoro che necessitano di scalabilità su più regioni o zone di disponibilità.

Perché scegliere AWS per un hosting conforme alle normative HIPAA?

AWS offre un controllo granulare su rete, crittografia, autorizzazioni di accesso, registrazione, backup e rilevamento delle minacce. L'elenco attuale dei servizi conformi a HIPAA include prodotti ampiamente utilizzati come Amazon EC2, S3, RDS, Lambda, CloudTrail, CloudWatch, KMS, AWS Backup e AWS HealthLake. È possibile utilizzare altri servizi AWS all'interno dello stesso account, ma le informazioni sanitarie protette elettroniche (ePHI) devono essere create, ricevute, conservate, elaborate o trasmesse esclusivamente tramite servizi coperti dal BAA.

Consulta l'elenco aggiornato dei servizi AWS conformi a HIPAA..

I clienti AWS possono esaminare e accettare il suo BAA standard tramite AWS Artifact. Dal nostro punto di vista, AWS offre la massima flessibilità per i team di sviluppo in ambito sanitario che desiderano un controllo architetturale dettagliato e l'accesso a un'ampia gamma di servizi cloud-native. Tuttavia, questa flessibilità comporta anche una certa complessità. AWS gestisce l'infrastruttura cloud sottostante, mentre il cliente deve configurare correttamente le proprie applicazioni, identità, crittografia, log, backup e controlli di rete.

Piani, prezzi e valore complessivo di AWS

AWS non applica tariffe fisse per i pacchetti di hosting conformi a HIPAA. I clienti pagano per ogni servizio utilizzato e i costi possono variare considerevolmente in base al tempo di elaborazione, alla capacità di archiviazione, alla configurazione del database, ai backup, alla registrazione dei log, al trasferimento dei dati e alla ridondanza. L'assistenza di base è inclusa, mentre Business Support+ parte da 29 dollari per account al mese o da una percentuale dell'utilizzo mensile di AWS, a seconda di quale dei due importi sia maggiore. L'assistenza Enterprise parte da 5,000 dollari al mese.

Nel complesso, AWS può essere estremamente conveniente per le organizzazioni con competenze interne in ambito cloud, ma i team più piccoli dovrebbero includere i costi di ingegneria, monitoraggio e servizi gestiti quando lo confrontano con i fornitori di soluzioni "chiavi in ​​mano" conformi a HIPAA.

Vantaggi e svantaggi di AWS

Visita AWS per saperne di più sulle funzionalità.

---

Quanto costa un hosting conforme alle normative HIPAA?

In base alle nostre ricerche di mercato, i costi dell'hosting conforme a HIPAA variano da meno di 100 dollari al mese per un'infrastruttura cloud base autogestita a oltre 500 dollari al mese per un pacchetto completamente gestito con servizi di sicurezza e conformità integrati. Il costo finale dipende dalle risorse server richieste, dal livello di gestione, dai backup, dai firewall, dal monitoraggio, dall'assistenza e dal ripristino di emergenza.

Il server più economico non è necessariamente l'opzione più conveniente in termini di conformità HIPAA per le vostre attività. Un'istanza cloud a basso costo potrebbe comunque richiedere assistenza a pagamento, strumenti di sicurezza, lavoro di configurazione e amministrazione continua. I pacchetti gestiti hanno un costo iniziale maggiore, ma possono ridurre il carico di lavoro del vostro team interno.

Confronto dei prezzi per l'hosting conforme a HIPAA

I prezzi riportati di seguito non sono direttamente equivalenti. Atlantic.Net e Liquid Web pubblica pacchetti HIPAA gestiti, mentre DigitalOcean, OVHnube, AzureAWS addebita separatamente i costi dell'infrastruttura e dei servizi utilizzati.

Provider	Riferimento al prezzo pubblicato	Contesto relativo a prezzi e conformità
Atlantic.Net	A partire da 552.31 dollari al mese, più una quota di attivazione di 150 dollari.	Il pacchetto Linux HIPAA Developer da 12 mesi include la gestione del server, un firewall gestito, VPN accesso, backup, scansione delle vulnerabilità, assistenza alla migrazione e un BAA (Business Associate Agreement).
Web liquido	A partire da 229 dollari al mese per Linux o 271 dollari al mese per Windows.	Il prezzo comprende un server dedicato completamente gestito e conforme a HIPAA e BAA. Firewall, VPN L'accesso, la crittografia e i requisiti di sicurezza personalizzati potrebbero influire sul preventivo finale.
DigitalOcean	Utilizzo dell'infrastruttura più 99 $/mese per l'assistenza standard o 999 $/mese per l'assistenza premium	DigitalOcean Il suo BAA (Business Associate Agreement) è disponibile solo dopo l'acquisto di uno di questi piani di supporto. Le risorse di calcolo, archiviazione, database, backup e altre risorse vengono fatturate separatamente.
OVHCloud	Basato sull'utilizzo; un'istanza b3-8 per uso generico parte da circa 37.54 dollari al mese con un piano di risparmio di 12 mesi.	Questo è il prezzo dell'infrastruttura di base, non di un ambiente HIPAA completo. I clienti devono verificare la disponibilità del BAA e aggiungere i servizi di sicurezza, backup, monitoraggio e gestione di cui necessitano.
Microsoft Azure	Il servizio è a consumo; l'assistenza tecnica per la produzione parte da 100 dollari al mese.	Il BAA di Microsoft è incluso tramite l'Addendum sulla protezione dei dati per i clienti idonei che utilizzano i servizi inclusi nell'accordo. I servizi di elaborazione, archiviazione, database, sicurezza, backup e larghezza di banda sono fatturati separatamente.
AWS	In base all'utilizzo; Business Support+ parte da 29 $/mese per account o in base a una percentuale di utilizzo.	I clienti possono accettare l'accordo BAA di AWS tramite AWS Artifact. Solo i servizi conformi a HIPAA possono elaborare informazioni sanitarie elettroniche (ePHI) e i servizi di infrastruttura, monitoraggio, backup, trasferimento dati e supporto generano costi separati.

Note:I prezzi sono aggiornati a settembre 2026. Si prega di consultare i termini e le condizioni più recenti prima dell'acquisto, poiché i prezzi del cloud, i piani di supporto e i servizi inclusi possono subire variazioni.

Quale provider di hosting conforme a HIPAA offre il miglior rapporto qualità-prezzo?

Liquid Web offre il miglior rapporto qualità-prezzo di base per le organizzazioni che desiderano un hosting HIPAA gestito. Il suo prezzo iniziale mensile di 229 dollari è considerevolmente inferiore a Atlantic.NetIl pacchetto pubblicato da Liquid Web ha ottenuto buoni risultati nei nostri test di hosting. Tuttavia, si consiglia agli acquirenti di richiedere un preventivo completo, poiché componenti di sicurezza aggiuntivi potrebbero far aumentare il costo totale.

DigitalOcean Offre il miglior rapporto qualità-prezzo per team tecnicamente competenti che cercano un'infrastruttura cloud autogestita più semplice. HostScore.net gira su DigitalOceanInoltre, la piattaforma si è dimostrata estremamente affidabile, secondo la nostra esperienza. Il costo principale da considerare è rappresentato dal piano di supporto standard obbligatorio di 99 dollari al mese, necessario per ottenere un BAA (Business Associate Agreement), oltre ai normali costi dell'infrastruttura.

Atlantic.Net Offre un rapporto qualità-prezzo migliore quando si desiderano servizi di sicurezza e gestione raggruppati in un unico pacchetto prevedibile. Il suo prezzo di partenza è il più alto nella nostra lista di hosting HIPAA consigliati, ma il piano include servizi che i provider di hosting autogestito addebitano separatamente o che richiedono al team di implementare. Atlantic.Net Ha inoltre ottenuto ottimi risultati nei nostri test di carico e nel monitoraggio dei tempi di attività.

Azure Offre un valore aggiunto significativo alle organizzazioni che già utilizzano tecnologie Microsoft, mentre AWS è ideale per i team che necessitano della più ampia selezione di servizi cloud e opzioni architetturali. OVHIl cloud può offrire bassi costi infrastrutturali, ma lo prenderemmo in considerazione solo dopo aver confermato il processo BAA e aver calcolato i costi interni di creazione e gestione dell'ambiente conforme.

Spiegazione dell'hosting HIPAA

L'hosting conforme a HIPAA protegge le informazioni sanitarie elettroniche all'interno di un ambiente di hosting o cloud. Per comprenderlo è necessario sapere quali organizzazioni sono soggette a HIPAA, cosa si qualifica come dato protetto e come sono suddivise le responsabilità di conformità tra il cliente e il fornitore di hosting.

Che cos'è l'HIPAA?

L'Health Insurance Portability and Accountability Act (HIPAA) è una legge federale statunitense emanata nel 1996 che ha stabilito standard nazionali in materia di informazioni sanitarie, portabilità assicurativa e transazioni sanitarie elettroniche. Tre norme dell'HIPAA sono particolarmente rilevanti per le organizzazioni che archiviano, elaborano o trasmettono dati sanitari:

1. La norma sulla privacy Regolamenta le modalità di utilizzo e divulgazione delle informazioni sanitarie protette (PHI). Stabilisce inoltre determinati diritti per gli individui.
2. La regola di sicurezza richiede misure di sicurezza amministrative, fisiche e tecniche per le informazioni sanitarie elettroniche (ePHI).
3. La regola sulla notifica delle violazioni richiede notifiche a seguito di determinate violazioni di informazioni sanitarie protette non sicure.

Per chi acquista servizi di hosting, l'HIPAA tutela la riservatezza, l'integrità e la disponibilità delle informazioni sanitarie regolamentate. Richiede alle entità soggette alla normativa e ai partner commerciali di valutare i rischi, controllare l'accesso, documentare le misure di sicurezza e rispondere agli incidenti.

La legge sulla tecnologia dell'informazione sanitaria per la salute economica e clinica (HITECH) hanno rafforzato queste protezioni nel 2009. HITECH Requisiti ampliati per la notifica delle violazioni, controlli più rigorosi e responsabilità diretta dei partner commerciali per il rispetto delle parti applicabili delle norme HIPAA.

Il testo normativo è disponibile qui per HIPAAL'HHS spiega anche come HITECH modificate le norme sulla sicurezza e le responsabilità dei partner commerciali.

Cosa si intende per PHI ed ePHI?

Le informazioni sanitarie protette (PHI) sono informazioni sanitarie che consentono l'identificazione di una persona, create, ricevute, conservate o trasmesse da un'entità soggetta alla normativa HIPAA o da un suo partner commerciale. Tali informazioni si riferiscono alla salute, al trattamento o al pagamento delle prestazioni sanitarie di un individuo e identificano tale persona o forniscono una base ragionevole per la sua identificazione.

Le informazioni sanitarie protette (PHI) possono contenere nomi, indirizzi, date di nascita, numeri di cartella clinica, numeri di previdenza sociale, diagnosi, dettagli sui trattamenti o informazioni assicurative. Quando le PHI vengono conservate o trasmesse elettronicamente, diventano informazioni sanitarie protette elettroniche (ePHI).

Esempi comuni relativi all'hosting includono:

• Cartelle cliniche dei pazienti memorizzate in un database
• Informazioni sanitarie trasmesse tramite e-mail
• Backup contenenti dati del paziente o dell'assicurazione
• Registri delle applicazioni contenenti nomi, numeri di conto o dettagli del trattamento
• Fogli di calcolo esportati contenenti gli identificativi dei pazienti
• Immagini mediche collegate a pazienti identificabili

Non tutti i dati sanitari sono considerati informazioni sanitarie protette (PHI). L'HIPAA si applica quando le informazioni sono collegate a un'entità soggetta alla normativa o a un partner commerciale e soddisfano la definizione prevista dalla legge. Anche le informazioni opportunamente anonimizzate non sono più considerate PHI ai sensi delle norme HIPAA.

Perché la normativa HIPAA è importante per l'hosting?

La normativa HIPAA è rilevante per i servizi di hosting quando un'entità soggetta alla normativa o un partner commerciale utilizza un provider per creare, ricevere, conservare o trasmettere informazioni sanitarie elettroniche (ePHI). In tal caso, il provider di hosting diventa normalmente un partner commerciale, anche quando memorizza solo dati crittografati e non detiene la chiave di decrittazione.

Il cliente e il fornitore di hosting devono stipulare un Accordo di Associazione Commerciale (Business Associate Agreement, BAA). L'accordo definisce gli usi consentiti delle informazioni sanitarie elettroniche (ePHI), le responsabilità in materia di sicurezza, gli obblighi di segnalazione degli incidenti, gli obblighi dei subappaltatori e cosa accade ai dati al termine del servizio.

La conformità dell'hosting va oltre l'infrastruttura del fornitore. Il cliente deve comunque configurare correttamente le applicazioni, limitare l'accesso degli utenti, gestire le credenziali, valutare i rischi e documentare i propri controlli. Pertanto, HHS considera la sicurezza del cloud una responsabilità condivisa tra fornitore e cliente.

Che cosa si intende per web hosting conforme all'HIPAA?

L'hosting web conforme a HIPAA è un ambiente di hosting configurato e gestito per supportare le misure di sicurezza legali, amministrative, fisiche e tecniche richieste per le informazioni sanitarie elettroniche (ePHI). Deve inoltre includere un BAA appropriato quando il fornitore agisce in qualità di partner commerciale.

HHS non certifica né approva prodotti di hosting specifici. Un fornitore che offre un BAA e un'infrastruttura idonea fornisce una base per la conformità, ma non rende automaticamente conformi il tuo sito web, la tua applicazione o la tua organizzazione.

At HostScoreValutiamo l'hosting conforme a HIPAA in base a cinque criteri:

1. Determinare se si applica la normativa HIPAA. La tua organizzazione deve innanzitutto stabilire se rientra nella categoria di entità soggetta a restrizioni, partner commerciale o subappaltatore che gestisce dati sanitari elettronici protetti (ePHI).
2. Confermare che il fornitore firmerà un BAA (Business Associate Agreement). Un'entità soggetta alla normativa HIPAA o un suo partner commerciale viola le norme HIPAA quando utilizza un fornitore di servizi cloud per gestire informazioni sanitarie elettroniche (ePHI) senza un accordo di associazione commerciale (BAA) appropriato. È importante verificare quali prodotti e servizi sono coperti dall'accordo, poiché l'idoneità potrebbe non estendersi all'intera piattaforma del fornitore.
3. Definire le responsabilità di sicurezza di ciascuna parte. Il fornitore può controllare l'accesso fisico al data center, l'infrastruttura di archiviazione e la sicurezza della rete. Il cliente può rimanere responsabile della sicurezza delle applicazioni, delle autorizzazioni degli utenti, delle impostazioni di crittografia, della registrazione degli eventi e della gestione dell'account. Tali responsabilità devono essere documentate.
4. Scegli un modello di hosting appropriato. Sia l'hosting cloud che quello dedicato possono supportare carichi di lavoro conformi alle normative HIPAA. L'hosting cloud offre un'allocazione flessibile delle risorse, mentre i server dedicati forniscono hardware isolato e un controllo di configurazione più diretto. L'opzione più adatta dipende dall'applicazione, dalla valutazione del rischio e dalle competenze interne.
5. Scegli tra hosting gestito e non gestito. L'hosting gestito affida al fornitore una maggiore quantità di lavoro relativo ad aggiornamenti, monitoraggio, backup e manutenzione. L'hosting non gestito, invece, lascia una parte maggiore di queste attività al vostro team. Nessuno dei due modelli esonera la vostra organizzazione dalle responsabilità in materia di conformità.

L'hosting conforme a HIPAA non è quindi un prodotto che si può acquistare e poi dimenticare. La conformità dipende dal BAA (Business Associate Agreement), dalla configurazione dell'hosting, dalle procedure interne, dalle prassi del personale e dalle responsabilità documentate di entrambe le parti.

Requisiti tecnici per l'hosting HIPAA

La norma sulla sicurezza dell'HIPAA richiede misure di sicurezza amministrative, fisiche e tecniche. La norma è tecnologicamente neutrale, quindi in genere non prescrive un prodotto specifico, un algoritmo di crittografia, un metodo di autenticazione o una progettazione del data center particolare.

Un ambiente di hosting conforme alle normative HIPAA dovrebbe supportare i seguenti controlli:

Requisito	Ambiente di hosting regolamentato da HIPAA	Ambiente di hosting convenzionale
crittografia	La crittografia è una specifica indirizzabile ai sensi dell'attuale Regola di Sicurezza. Deve essere implementata quando ragionevole e appropriato, oppure l'organizzazione deve documentare la propria decisione e utilizzare un'alternativa adeguata.	Il protocollo TLS può proteggere i dati in transito, ma la crittografia dei dati a riposo e la gestione delle chiavi variano a seconda del provider.
Controllo accessi e autenticazione	I sistemi devono limitare l'accesso alle informazioni sanitarie elettroniche (ePHI) agli utenti autorizzati e verificarne l'identità. È richiesto un identificativo univoco per ciascun utente; l'autenticazione a più fattori (MFA) è ampiamente raccomandata, ma non è un requisito universale ai sensi della normativa vigente.	L'accesso tramite password è standard, mentre l'autenticazione a più fattori (MFA) e le autorizzazioni basate sui ruoli variano.
Controlli di audit e registrazione	I sistemi devono registrare ed esaminare le attività che coinvolgono sistemi che contengono o utilizzano informazioni sanitarie elettroniche (ePHI). L'ambito della registrazione deve rispecchiare i rischi e le responsabilità dell'organizzazione.	I log di base del server o dell'account potrebbero essere disponibili, ma la conservazione e il livello di dettaglio variano.
Tutele fisiche	Il fornitore deve limitare l'accesso fisico ai sistemi e alle strutture, consentendo al contempo l'accesso autorizzato. L'HIPAA non richiede specificamente sistemi di accesso biometrico.	I fornitori applicano i propri controlli di accesso ai data center.
Backup e ripristino	Gli enti regolamentati necessitano di backup dei dati, ripristino di emergenza e procedure di emergenza come parte della loro pianificazione di contingenza.	I backup e il ripristino di emergenza possono essere opzionali o venduti separatamente.
Contratto di società in affari	Un accordo di associazione commerciale (BAA) è richiesto quando il fornitore crea, riceve, conserva o trasmette informazioni sanitarie elettroniche (ePHI) in qualità di partner commerciale.	L'hosting standard normalmente non include un BAA (Business Associate Agreement).
Formazione della forza lavoro	Le entità soggette alla normativa e i loro partner commerciali devono formare il proprio personale sulle politiche e procedure di sicurezza applicabili.	I fornitori possono offrire corsi di formazione generale sulla sicurezza senza procedure specifiche per il settore sanitario.
Risposta agli incidenti	Gli enti regolamentati devono identificare, rispondere, mitigare e documentare gli incidenti di sicurezza. Gli accordi di associazione commerciale (BAA) devono inoltre disciplinare la segnalazione degli incidenti.	Le procedure di gestione degli incidenti variano a seconda del fornitore e del livello di servizio.
Analisi e gestione dei rischi	Le organizzazioni devono valutare i rischi per le informazioni sanitarie elettroniche (ePHI) e ridurre i rischi identificati a un livello ragionevole e appropriato.	L'analisi formale del rischio è solitamente responsabilità del cliente.
Controlli del dispositivo e dei supporti	Devono essere emanate politiche che regolamentino la ricezione, la movimentazione, il riutilizzo e lo smaltimento di hardware e supporti elettronici contenenti informazioni sanitarie protette (ePHI).	Le procedure di rimozione dei dati e di smaltimento dell'hardware variano e potrebbero non essere divulgate.

Nel dicembre 2024, l'HHS ha proposto requisiti più stringenti per la norma sulla sicurezza, incluse modifiche relative alla crittografia e all'autenticazione a più fattori. Tuttavia, l'HHS precisa che l'attuale norma sulla sicurezza rimane in vigore in attesa della sua revisione. Gli acquirenti sono invitati a verificare lo stato attuale della norma prima di implementare un nuovo ambiente.

Come deve un host conforme a HIPAA sanificare i supporti di memorizzazione e smaltire l'hardware?

Un fornitore di servizi di hosting conforme a HIPAA dovrebbe disporre di procedure documentate per la sanificazione, il riutilizzo e lo smaltimento dei supporti di archiviazione che potrebbero contenere informazioni sanitarie protette (ePHI). L'eliminazione di un file o la terminazione di un'istanza del server non comporta necessariamente la rimozione di ogni copia sottostante dall'archiviazione attiva, dai backup, dalle repliche o dall'hardware dismesso.

La norma HIPAA sulla sicurezza dei dati richiede controlli sui dispositivi e sui supporti di memorizzazione che coprano lo smaltimento finale delle informazioni sanitarie elettroniche (ePHI) e dell'hardware su cui sono archiviate. Richiede inoltre procedure per la rimozione delle ePHI prima del riutilizzo dei supporti elettronici. A seconda del supporto e del rischio, l'HHS identifica la cancellazione, la distruzione definitiva e la distruzione fisica come possibili approcci.

Quando si confrontano i fornitori di servizi di hosting conformi a HIPAA, è importante chiedere come gestiscono i dischi rigidi guasti, i server dismessi, i supporti di backup, i dispositivi di archiviazione restituiti ai fornitori e l'hardware smaltito da aziende specializzate. Il fornitore dovrebbe essere in grado di illustrare la propria catena di custodia, i metodi di sanificazione, i controlli sui subappaltatori, la tenuta dei registri e la disponibilità di certificati di distruzione.

La norma NIST SP 800-88 Revisione 2 fornisce le linee guida aggiornate per la creazione di un programma di sanificazione dei supporti di memorizzazione. Essa tratta metodi quali la cancellazione, la rimozione definitiva, la cancellazione crittografica e la distruzione fisica. La politica di un provider di hosting dovrebbe prevedere la scelta del metodo più appropriato in base alla tecnologia di archiviazione, alla sensibilità dei dati e alla probabilità di recupero.

Oltre l'HIPAA: altri fattori nella scelta di un host

La conformità HIPAA è essenziale quando la tua organizzazione gestisce dati sanitari elettronici (ePHI), ma la sola conformità non rende un fornitore di hosting idoneo. Un sito web o un'applicazione per il settore sanitario necessita anche di un'infrastruttura affidabile, un supporto reattivo, sistemi gestibili e costi prevedibili.

Quando si confrontano i fornitori, considerare gli stessi criteri operativi che si applicano agli altri servizi di hosting:

• Prestazioni e tempi di attività: Verifica l'infrastruttura del fornitore, l'SLA di uptime, la ridondanza di rete e le opzioni di scalabilità disponibili. La conformità HIPAA non garantisce prestazioni rapide o affidabili delle applicazioni.
• Facilità di gestione: Scegli un ambiente gestito o non gestito che si adatti alle competenze tecniche del tuo team. Conferma chi si occupa di patch, monitoraggio, backup, ripristino e configurazione della sicurezza.
• Trasparenza dei prezzi: Confronta i costi di infrastruttura, backup, servizi di sicurezza, reportistica di conformità, supporto gestito e trasferimento dati. Un prezzo del server basso potrebbe non riflettere il costo totale di gestione di un ambiente conforme.
• Scalabilità: Confermare che il fornitore sia in grado di aumentare la capacità di CPU, memoria, spazio di archiviazione e rete senza richiedere una migrazione complessa.
• Adeguamento del carico di lavoro: Adatta l'ambiente di hosting all'applicazione sanitaria. Un portale per i pazienti, una piattaforma di telemedicina, WordPress Un sito web e un prodotto SaaS in ambito medico presentano requisiti di prestazioni e sicurezza differenti.

È importante avere un supporto con sede negli Stati Uniti e personale formato in materia di HIPAA?

Un supporto con sede negli Stati Uniti e personale formato secondo le normative HIPAA possono semplificare la collaborazione con un fornitore di hosting, ma nessuna di queste etichette garantisce la conformità HIPAA. La normativa HIPAA non richiede che il personale di supporto o l'infrastruttura cloud siano ubicati negli Stati Uniti. Il Dipartimento della Salute e dei Servizi Umani (HHS) consente alle organizzazioni regolamentate di utilizzare servizi cloud esteri a condizione che siano in vigore un accordo commerciale (BAA) e adeguate misure di sicurezza, sebbene i rischi geografici debbano essere inclusi nell'analisi dei rischi dell'organizzazione.

L'assistenza clienti con sede negli Stati Uniti potrebbe comunque ridurre le difficoltà dovute al fuso orario e semplificare le procedure di escalation per le organizzazioni sanitarie americane. La questione più importante è se il personale di supporto comprenda gli obblighi del fornitore in materia di HIPAA e segua le procedure documentate quando accede ai sistemi dei clienti.

Prima di scegliere un fornitore, ti consigliamo di chiedere:

• Se il personale di supporto riceve una formazione periodica in materia di sicurezza e conformità HIPAA.
• Se l'accesso ai sistemi del cliente richiede autorizzazione e viene registrato
• Se il fornitore offre un servizio di escalation degli incidenti 24 ore su 24, 7 giorni su 7
• Se i fornitori di servizi di supporto di terze parti possono accedere alle informazioni sanitarie elettroniche (ePHI)
• Se i subappaltatori applicabili siano vincolati da accordi BAA appropriati
• Se il team di supporto può spiegare la suddivisione delle responsabilità in materia di conformità

Si tenga presente che la dicitura "personale formato secondo le normative HIPAA" non costituisce una certificazione ufficiale. Va considerata come un'affermazione che richiede dettagli a supporto in merito a formazione, controlli di accesso, procedure di gestione degli incidenti e responsabilità di escalation.

Punti chiave

La scelta di un hosting conforme a HIPAA inizia con cinque decisioni: stabilire se si gestiscono dati sanitari elettronici (ePHI), ottenere un accordo di associazione commerciale (BAA) firmato, verificare le misure di sicurezza richieste, scegliere tra cloud e infrastruttura dedicata e decidere se è necessario un hosting gestito o non gestito.

Una volta soddisfatti tali requisiti, confrontate prestazioni, tempo di attività, competenza del supporto, facilità di gestione e costo totale. Verificate che il fornitore di hosting si avvalga di personale formato in materia di HIPAA e che disponga di procedure documentate per la cancellazione sicura dei supporti di memorizzazione e lo smaltimento dell'hardware. La conformità è obbligatoria, ma la giusta integrazione operativa garantisce che l'ambiente sia sicuro, affidabile e gestibile.

Domande frequenti sull'hosting HIPAA

Potresti anche essere interessato a: