Ehrlich gesagt ist die HIPAA-Konformität der PCI-Konformität sehr ähnlich. Daher kann jedes System oder jede Plattform, selbst wenn es konform ausgelegt ist, nicht mehr konform sein, wenn es nicht ordnungsgemäß eingerichtet oder gewartet wird.
Eine Sache, die hier noch niemand erwähnt hat und die für die Einhaltung der HIPAA sehr wichtig ist, ist das Konzept der PHI-geschützten Gesundheitsinformationen.
PHI wird grob definiert als individuell identifizierbare Gesundheitsinformationen (einschließlich demografischer Informationen), die von einem Gesundheitsdienstleister, einem Gesundheitsplan, einem Arbeitgeber oder einer Clearingstelle für das Gesundheitswesen gesammelt, erstellt oder empfangen werden.
Unter HIPAA müssen alle PHI ungefähr mit den gleichen Anforderungen und Sicherheitsvorkehrungen behandelt werden, wie Kreditkartendaten unter PCI-Bedingungen. Dies schließt tatsächlich Benachrichtigungsanforderungen ein. Wenn die PHI gefährdet ist, müssen Sie möglicherweise dieselben (oder höhere) Anforderungen erfüllen, um die betroffenen Personen zu benachrichtigen, wie wenn Ihre Kreditkartendaten von Ihrer Website gestohlen würden.
PHI wurde von den Gerichten sehr weit ausgelegt, um sogar den Namen eines Patienten aufzunehmen. Wenn Sie also eine E-Commerce-Plattform für das Gesundheitswesen einrichten, müssen Sie so ziemlich alles, was Sie speichern, bis auf den Namen des Patienten verschlüsseln. Dies ist nicht etwas, was Magento oder eine andere E-Commerce-Plattform standardmäßig tut.
Die gute Nachricht ist - es ist nicht so herausfordernd. Sobald Sie verstanden haben, was Sie zum Verschlüsseln und Schützen benötigen, können Sie eine Magento-Erweiterung entwerfen, um damit umzugehen. Ehrlich gesagt ist es am schwierigsten, sich mit all den verschiedenen Daten zu beschäftigen, die Sie sichern und verschlüsseln müssen. Sobald Sie diese Liste haben, können Sie einfach die richtigen Schutzmaßnahmen dafür einrichten.
Ich werde sagen, dass Magento Enterprise eine bessere Basis für ein solches Projekt bieten wird. Einige der in Enterprise integrierten PCI-Konformitätselemente, insbesondere das Administratoraktions- / Überwachungsprotokoll, tragen wesentlich dazu bei, dass Sie HIPAA-konform sind.
Meine ersten Programmier-Gigs in den 90ern waren in der Medizinbranche und ich war dabei, als HIPAA zum ersten Mal eingeführt wurde (lustige Zeiten). Wenn Sie weitere Fragen zur HIPAA haben, lassen Sie es mich wissen. Ich bin kein Anwalt, aber ich kann Ihnen helfen, die richtige Richtung für den Aufbau einer HIPAA-kompatiblen E-Commerce-Plattform einzuschlagen, wenn Sie daran interessiert sind.