Conformità nel cloud

FedRAMP è l'acronimo di Federal Risk and Authorization Management Program, un programma federale statunitense che propone un approccio standardizzato a valutazioni di sicurezza, assegnazione di autorizzazioni e monitoraggio continuo nell'ambito di servizi e prodotti cloud. FedRAMP è un programma obbligatorio per tutte le agenzie federali statunitensi e tutti i servizi cloud, compresi il Dipartimento della Salute pubblica e dei Servizi alla persona degli Stati Uniti.

 AWS ha ottenuto due autorizzazioni Agency FedRAMP separate, una a copertura della regione AWS GovCloud (Stati Uniti), l'altra delle regioni Stati Uniti occidentali e orientali.

Lo standard HITRUST CSF (framework di sicurezza per il cloud) serve a unificare i controlli di sicurezza basati su aspetti della legge federale degli Stati Uniti (come HIPAA e HITECH), della legge statale (come gli standard per la protezione dei dati personali dei residenti del Commonwealth del Massachusetts) e di standard riconosciuti di conformità non governativa (come PCI DSS) in un unico framework su misura per le esigenze sanitarie.

Alcuni servizi AWS sono stati valutati nell'ambito del programma di garanzia HITRUST CSF da un valutatore HITRUST CSF conforme ai criteri di certificazione HITRUST CSF v9.3.

I clienti potranno usare tutti i servizi AWS all'interno dell'account designato secondo la normativa HIPAA, ma potranno elaborare, archiviare e trasmettere informazioni sanitarie protette solamente nell'ambito dei servizi idonei secondo la normativa HIPAA.

L'Health Insurance Portability and Accountability Act del 1996 (HIPAA) è una legislazione progettata per rendere più facile per i lavoratori statunitensi mantenere la copertura assicurativa sanitaria quando cambiano o perdono il lavoro. La legge promuove inoltre l'utilizzo dei registri sanitari in formato elettronico per migliorare l'efficienza e la qualità del sistema sanitario statunitense mediante la condivisione delle informazioni.

L'Health Information Technology for Economic and Clinical Health Act (HITECH) ha ampliato le regole HIPAA nel 2009. HIPAA e HITECH stabiliscono un insieme di standard federali volti a proteggere la sicurezza e la privacy delle informazioni sanitarie protette. Queste disposizioni sono incluse in quelle che vengono definite regole di “semplificazione amministrativa”. HIPAA e HITECH impongono requisiti correlati all'uso e alla divulgazione delle informazioni sanitarie protette, misure di sicurezza per la protezione di tali informazioni, diritti individuali e responsabilità amministrative.

La Food and Drug Administration (FDA) ha istituito le normative 21 CFR Part 11 relative alla documentazione elettronica e alle firme elettroniche. Le normative 21 CFR Part 11 si applicano ai settori scientifici che rientrano nel Federal Food, Drug, and Cosmetic Act, nel Public Health Service Act o in qualsiasi normativa della FDA diversa dal Part 11. Queste leggi sono identificate collettivamente come “Regole predicate”. In sostanza, le normative della Part 11 sono applicabili quando il record in questione viene predicato.

Per saperne di più:

• Data Integrity and Compliance With Drug CGMP: Questions and Answers, Guidance for Industry
  
• Part 11, Electronic Records; Electronic Signatures: Scope and Application
  
• GxP Systems on AWS

Le agenzie regolatorie di tutto il mondo continuano a esaminare i problemi e le preoccupazioni legati all'integrità dei dati nei settori scientifici. La FDA ha pubblicato delle linee guida sull'integrità dei dati per fornire chiarezza alle organizzazioni del settore scientifico in modo che tali problemi e preoccupazioni possano essere affrontati in modo proattivo.

Ulteriori informazioni »

Il Personal Information Protection and Electronic Documents Act (PIPEDA) è una legge federale canadese applicabile alla raccolta, all'utilizzo e alla divulgazione delle informazioni personali nel corso delle attività commerciali in tutte le province del Canada.

L'Health Information Act (HIA) è una legge sulla tutela dei dati personali vigente nella provincia di Alberta che si applica alla raccolta, all'utilizzo, alla divulgazione e alla protezione delle informazioni sanitarie che sono in custodia o sotto il controllo di un custode.

La regione AWS Canada (Centrale) è attualmente disponibile per diversi servizi, come: Amazon Elastic Compute Cloud (Amazon EC2), Amazon Simple Storage Service (Amazon S3) e Amazon Relational Database Service (Amazon RDS).

Il Personal Health Information Protection Act (PHIPA) è una legge sulla privacy dell'Ontario che si applica alla raccolta, all'uso e alla divulgazione di informazioni sanitarie protette durante la prestazione o per la facilitazione dei servizi sanitari.

La guida Health and Social Care Cloud Security: Good Practice Guide è stata scritta congiuntamente da NHS Digital, da NHS England, dal Dipartimento della sanità e dell'assistenza sociale del Regno Unito e da NHS Improvement.

Questa guida illustra le protezioni da mettere in atto affinché le organizzazioni sanitarie e di assistenza sociale possano individuare in sicurezza i dati sanitari e assistenziali, comprese informazioni sensibili dei pazienti, nel cloud pubblico. Tali protezioni includono soluzioni che utilizzano la delocalizzazione dei dati.

AWS consente la conformità grazie alla classificazione dei carichi di lavoro implementati in AWS e supporta l'implementazione dei controlli di classe appropriati. Il whitepaper “Using AWS in the context of NHS Cloud Security Guidance” include attività dettagliate di gestione del rischio che le organizzazioni devono intraprendere, incluse soprattutto misure tecniche adeguate al livello di sicurezza richiesto.

La MHRA continua a prestare un'attenzione sempre maggiore all'integrità dei dati. L'uso sempre crescente dell'acquisizione elettronica dei dati, l'automazione dei sistemi e l'utilizzo delle tecnologie da remoto hanno aumentato la complessità delle catene di fornitura e delle modalità di lavoro, con il ricorso a fornitori terzi. La MHRA ha pubblicato le linee guida sull'integrità dei dati specificamente per fornire maggiore chiarezza e definire le aspettative che i settori scientifici devono rispettare per la conformità all'integrità dei dati.

Ulteriori informazioni »

Hébergeur de Données de Santé (HDS): presentata dall'agenzia per la salute governativa francese, Agence du Numérique en Santé (ANS), la certificazione HDS mira a rafforzare la sicurezza e la protezione dei dati sanitari personali.

Per ottenere la certificazione HDS un provider IT deve essere certificato ISO 27001. Ciò significa che i servizi coperti dalla nostra certificazione ISO 27001 sono inclusi anche nell'ambito della HDS. I servizi AWS che rientrano nel campo di applicazione della certificazione ISO/IEC 27001:2013 sono disponibili nella pagina Web della Certificazione ISO.  

L'integrità dei dati continua a essere un argomento importante in tutto il mondo. L'EMA (Agenzia europea per i medicinali) ha pubblicato nuove linee guida di fabbricazione (GMP) per garantire l'integrità dei dati che riguarda i dati generati nei processi di test, produzione, confezionamento, distribuzione e monitoraggio dei farmaci.

Per saperne di più:  

• GxP Systems on AWS
  

La DiGAV è stata introdotta nell'aprile 2020 per supportare la digitalizzazione del sistema sanitario tedesco. La DiGAV consente a determinate applicazioni sanitarie di essere riconosciute come rimborsabili nell'ambito del sistema obbligatorio di assicurazione sanitaria tedesco. Tuttavia, affinché le organizzazioni siano conformi e consentano l'idoneità al rimborso tramite la DiGAV, devono dimostrare che le applicazioni soddisfano i requisiti di protezione dei dati della DiGAV, tra cui l'elaborazione dei dati personali esclusivamente all'interno dello Spazio economico europeo (SEE) o in un Paese con una decisione di adeguatezza della Commissione europea ai sensi dell'articolo 45 del Regolamento generale sulla protezione dei dati (GDPR) dell'UE.

AWS offre una serie di strumenti leader del settore per supportare i clienti a soddisfare requisiti normativi e legislativi locali, comprese la Legge tedesca sulla fornitura digitale (DVG) e l'Ordinanza sulle applicazioni sanitarie digitali (DiGAV), nello spostamento dei carichi di lavoro sanitari al cloud.

L'integrità dei dati continua a essere un argomento importante in tutto il mondo. L'EMA (Agenzia europea per i medicinali) ha pubblicato nuove linee guida di fabbricazione (GMP) per garantire l'integrità dei dati che riguarda i dati generati nei processi di test, produzione, confezionamento, distribuzione e monitoraggio dei farmaci.

Per saperne di più:  

• GxP Systems on AWS
  

L'Act on the Protection of Personal Information (APPI) è la legislazione principale relativa ai dati personali in Giappone.

L'APPI si applica a tutti gli operatori aziendali (persone fisiche e giuridiche) che gestiscono informazioni personali. Inoltre, l'APPI distingue tra informazioni personali e dati personali (che APPI definisce come informazioni personali che comprendono parte di un database di tali informazioni). Gli obblighi degli operatori aziendali variano a seconda che questi ultimi acquisiscano, utilizzino o forniscano informazioni o dati personali.

AWS implementa e mantiene misure di sicurezza tecniche e organizzative applicabili ai servizi di infrastruttura cloud AWS nell'ambito di framework e certificazioni di sicurezza riconosciuti a livello mondiale, tra cui ISO 27001, ISO 27017, ISO 27018 , PCI DSS Level 1 e SOC 1, 2 e 3. Queste misure di sicurezza tecnica e organizzativa sono convalidate da entità di controllo indipendenti di terze parti e sono studiate per impedire l’accesso non autorizzato o la divulgazione del contenuto dei clienti.

Il Personal Data Protection Act 2012 (PDPA) è la legge sulla protezione dei dati personali vigente in Singapore, anche nel caso di trasferimento dei dati personali all'estero per l'elaborazione. Il PDPA disciplina la raccolta, l'uso, la divulgazione e la protezione dei dati personali.

AWS implementa e mantiene misure di sicurezza tecniche e organizzative applicabili ai servizi di infrastruttura cloud AWS nell'ambito di framework e certificazioni di sicurezza riconosciuti a livello mondiale, tra cui ISO 27001, ISO 27017, ISO 27018 , PCI DSS Level 1 e SOC 1, 2 e 3. Queste misure di sicurezza tecnica e organizzativa sono valutate da enti di controllo indipendenti di terze parti e sono studiate per impedire l'accesso non autorizzato o la divulgazione dei contenuti dei clienti.

AWS supporta molte organizzazioni sanitarie in tutto il mondo offrendo la tecnologia di cui hanno bisogno per muoversi alla velocità necessaria per avere un impatto, dall'utilizzo della condivisione di dati medici per diagnosticare patologie precedentemente sconosciute all'identificazione di nuovi virus per prevenire una nuova pandemia, e molte altre funzionalità fondamentali, il tutto consentendo ai clienti di soddisfare i massimi standard di sicurezza e requisiti di conformità. Ad esempio, l'Integrated Health Information Systems (IHiS) di Singapore, l'agenzia responsabile per la fornitura delle tecnologie abilitanti che alimentano la sanità pubblica di Singapore, si è rivolta ad AWS per scalare in sicurezza i sistemi IT per le operazioni di vaccinazione al fine di sostenere carichi significativamente maggiori con breve preavviso, da un carico iniziale di 8.000 vaccini al giorno a un picco di 80.000 vaccini al giorno in
quattro settimane.