确定 Platform + Firestore REST 客户端是否符合 HIPAA 要求？

Question

我正在设计一个移动应用程序，它使用 Identity Platform 和 Firestore 来存储客户的 PHI 记录。 Identity Platform 和 Firestore 都被提及为 Google Cloud BAA 涵盖的产品。该架构解决方案是否也适用于 HIPAA？我在 Cloud Architecture Center https://cloud.google.com/architecture/authenticating-users-to-firestore-with-identity-platform-and-google-identities 找到了一个教程，想确保该示例符合 HIPAA 要求。

Answer 1

一旦登录，用户就可以自然地读取和访问与身份平台关联的信息，这还包括与用户关联的任何自定义声明。除此之外，用户通常由他们的 UID 标识，并且只有基本信息存储在他们的身份验证对象（电子邮件，phone 号码）中，none 其中符合 HIPAA 要求。

HIPAA 主要与医疗记录本身相关联，医疗记录是个人信息、文档和其他记录存储在数据库（实时数据库、Firestore、存储）中的地方

允许访问这些文档将使您的架构符合 HIPAA 标准，并且可以通过多种方式、云功能、从项目应用程序内直接访问或加密电子邮件来完成。

构建符合 HIPAA 标准的数据库的结构是将所有记录数据作为子节点添加到用户 UID：例如 users/user_id/records.json

users:{
user_id:{
    profile:{
        address: "blank street",
        name: "John Smith"
    },
    records:{
        record_id:{ 
            date:"some date"
            doctor: "Jane Dohne"
            other:"fields"
        }
    }
}

安全规则

{
  "rules": {
    "users": {
      "$uid": {
        ".read": "auth != null && auth.uid == $uid"
      }
    }
  }
}

确定 Platform + Firestore REST 客户端是否符合 HIPAA 要求？

Identify Platform + Firestore REST client is that fits HIPAA requirements?

hipaa

google-cloud-firestore