Heroku HIPAA 合规性

Question

是否可以在 Heroku 上运行符合 HIPAA 的应用程序？更具体地说，我需要两个应用程序，一个存储成员(member)信息，另一个存储成员(member)的私有(private)健康信息。我打算使用非对称和对称 key 加密来加密敏感数据——非对称 key 用于将成员与其在另一个应用程序上的敏感数据链接起来，而对称 key 用于成员应用程序中的特定字段，例如姓名、电子邮件地址和电话。我主要担心 Heroku 的任何人都可以破解非对称加密，因为他们可以访问这两个应用程序(和私钥)。我担心这一点是正确的，还是 Amazon EC2 的基础设施阻止 Heroku 员工访问这两个应用程序？

Answer 1

亚马逊有一份关于 HIPAA 与 AWS 合规性的白皮书(只是谷歌 AWS Hipaa 合规性)，他们在其中谈论了他们的 HIPAA 善意。例如，AWS 系统管理员没有对客户操作系统镜像的直接登录访问权限。

据我所知，Heroku 没有分享他们如何保护个人客户账户的细节。