FedRAMP è l'acronimo di Federal Risk and Authorization Management Program, un programma federale statunitense che propone un approccio standardizzato a valutazioni di sicurezza, assegnazione di autorizzazioni e monitoraggio continuo nell'ambito di servizi e prodotti cloud. FedRAMP è un programma obbligatorio per tutte le agenzie federali statunitensi e tutti i servizi cloud, compresi il Dipartimento della Salute pubblica e dei Servizi alla persona degli Stati Uniti.

 AWS ha ottenuto due autorizzazioni Agency FedRAMP separate, una a copertura della regione AWS GovCloud (Stati Uniti), l'altra delle regioni Stati Uniti occidentali e orientali.

Lo standard HITRUST CSF (framework di sicurezza per il cloud) serve a unificare i controlli di sicurezza basati su aspetti della legge federale degli Stati Uniti (come HIPAA e HITECH), della legge statale (come gli standard per la protezione dei dati personali dei residenti del Commonwealth del Massachusetts) e di standard riconosciuti di conformità non governativa (come PCI DSS) in un unico framework su misura per le esigenze sanitarie.

Alcuni servizi AWS sono stati valutati nell'ambito del programma di garanzia HITRUST CSF da un valutatore HITRUST CSF conforme ai criteri di certificazione HITRUST CSF v9.3.

I clienti potranno usare tutti i servizi AWS all'interno dell'account designato secondo la normativa HIPAA, ma potranno elaborare, archiviare e trasmettere informazioni sanitarie protette solamente nell'ambito dei servizi idonei secondo la normativa HIPAA.

L'Health Insurance Portability and Accountability Act del 1996 (HIPAA) è una legge che ha lo scopo di rendere più facile per i lavoratori statunitensi mantenere la copertura assicurativa sanitaria quando cambiano o perdono il posto di lavoro. La legge promuove inoltre l'utilizzo dei registri sanitari in formato elettronico per migliorare l'efficienza e la qualità del sistema sanitario statunitense mediante la condivisione delle informazioni.

L'Health Information Technology for Economic and Clinical Health Act (HITECH) ha ampliato le norme HIPAA nel 2009. HIPAA e HITECH stabiliscono un insieme di standard federali volti a proteggere la sicurezza e la privacy delle informazioni sanitarie protette. Queste disposizioni sono incluse in quelle che vengono definite regole di “semplificazione amministrativa”. HIPAA e HITECH impongono requisiti correlati all'uso e alla divulgazione delle informazioni sanitarie protette, misure di sicurezza per la protezione di tali informazioni, diritti individuali e responsabilità amministrative.

Il Personal Health Information Protection Act (PHIPA) è una legge sulla privacy dell'Ontario che si applica alla raccolta, all'uso e alla divulgazione di informazioni sanitarie protette durante la prestazione o per la facilitazione dei servizi sanitari.

La guida Health and Social Care Cloud Security: Good Practice Guide è stata scritta congiuntamente da NHS Digital, da NHS England, dal Dipartimento della sanità e dell'assistenza sociale del Regno Unito e da NHS Improvement.

Questa guida illustra le protezioni da mettere in atto affinché le organizzazioni sanitarie e di assistenza sociale possano individuare in sicurezza i dati sanitari e assistenziali, comprese informazioni sensibili dei pazienti, nel cloud pubblico. Tali protezioni includono soluzioni che utilizzano la delocalizzazione dei dati.

AWS consente la conformità grazie alla classificazione dei carichi di lavoro implementati in AWS e supporta l'implementazione dei controlli di classe appropriati. Il whitepaper “Using AWS in the context of NHS Cloud Security Guidance” include attività dettagliate di gestione del rischio che le organizzazioni devono intraprendere, incluse soprattutto misure tecniche adeguate al livello di sicurezza richiesto.

Hébergeur de Données de Santé (HDS): presentata dall'agenzia per la salute governativa francese, Agence du Numérique en Santé (ANS), la certificazione HDS mira a rafforzare la sicurezza e la protezione dei dati sanitari personali.

Per ottenere la certificazione HDS un provider IT deve essere certificato ISO 27001. Ciò significa che i servizi coperti dalla nostra certificazione ISO 27001 sono inclusi anche nell'ambito della HDS. I servizi AWS che rientrano nel campo di applicazione della certificazione ISO/IEC 27001:2013 sono disponibili nella pagina Web della Certificazione ISO.  

La DiGAV è stata introdotta nell'aprile 2020 per supportare la digitalizzazione del sistema sanitario tedesco. La DiGAV consente a determinate applicazioni sanitarie di essere riconosciute come rimborsabili nell'ambito del sistema obbligatorio di assicurazione sanitaria tedesco. Tuttavia, affinché le organizzazioni siano conformi e consentano l'idoneità al rimborso tramite la DiGAV, devono dimostrare che le applicazioni soddisfano i requisiti di protezione dei dati della DiGAV, tra cui l'elaborazione dei dati personali esclusivamente all'interno dello Spazio economico europeo (SEE) o in un Paese con una decisione di adeguatezza della Commissione europea ai sensi dell'articolo 45 del Regolamento generale sulla protezione dei dati (GDPR) dell'UE.

AWS offre una serie di strumenti leader del settore per supportare i clienti a soddisfare requisiti normativi e legislativi locali, comprese la Legge tedesca sulla fornitura digitale (DVG) e l'Ordinanza sulle applicazioni sanitarie digitali (DiGAV), nello spostamento dei carichi di lavoro sanitari al cloud.

L'Act on the Protection of Personal Information (APPI) è la legislazione principale relativa ai dati personali in Giappone.

L'APPI si applica a tutti gli operatori aziendali (persone fisiche e giuridiche) che gestiscono informazioni personali. Inoltre, l'APPI distingue tra informazioni personali e dati personali (che APPI definisce come informazioni personali che comprendono parte di un database di tali informazioni). Gli obblighi degli operatori aziendali variano a seconda che questi ultimi acquisiscano, utilizzino o forniscano informazioni o dati personali.

AWS implementa e mantiene misure tecniche e organizzative di sicurezza applicabili ai servizi di infrastruttura cloud AWS, in base a framework e certificazioni di sicurezza globalmente riconosciuti, tra cui ISO 27001, ISO 27017, ISO 27018, PCI DSS livello 1 e SOC 1, 2 e 3. Queste misure di sicurezza tecnica e organizzativa sono valutate da enti di controllo indipendenti di terze parti e sono studiate per impedire l'accesso non autorizzato o la divulgazione dei contenuti dei clienti.

Il Personal Data Protection Act 2012 (PDPA) è la legge sulla protezione dei dati personali vigente in Singapore, anche nel caso di trasferimento dei dati personali all'estero per l'elaborazione. Il PDPA disciplina la raccolta, l'uso, la divulgazione e la protezione dei dati personali.

AWS implementa e mantiene misure tecniche e organizzative di sicurezza applicabili ai servizi di infrastruttura cloud AWS, in base a framework e certificazioni di sicurezza globalmente riconosciuti, tra cui ISO 27001, ISO 27017, ISO 27018, PCI DSS livello 1 e SOC 1, 2 e 3. Queste misure di sicurezza tecnica e organizzativa sono valutate da enti di controllo indipendenti di terze parti e sono studiate per impedire l'accesso non autorizzato o la divulgazione dei contenuti dei clienti.

AWS supporta molte organizzazioni sanitarie in tutto il mondo offrendo la tecnologia di cui hanno bisogno per muoversi alla velocità necessaria per avere un impatto, dall'utilizzo della condivisione di dati medici per diagnosticare patologie precedentemente sconosciute all'identificazione di nuovi virus per prevenire una nuova pandemia, e molte altre funzionalità fondamentali, il tutto consentendo ai clienti di soddisfare i massimi standard di sicurezza e requisiti di conformità. Ad esempio, l'Integrated Health Information Systems (IHiS) di Singapore, l'agenzia responsabile per la fornitura delle tecnologie abilitanti che alimentano la sanità pubblica di Singapore, si è rivolta ad AWS per scalare in sicurezza i sistemi IT per le operazioni di vaccinazione al fine di sostenere carichi significativamente maggiori con breve preavviso, da un carico iniziale di 8.000 vaccini al giorno a un picco di 80.000 vaccini al giorno in
quattro settimane.