Supabase现已符合HIPAA和SOC2 Type 2标准
内容提要
Supabase已获得SOC2 Type 2和HIPAA合规认证，SOC2 Type 2认证验证其长期合规性，Supabase计划每年进行审计。HIPAA法律保护医疗记录，Supabase作为业务合作伙伴，支持处理敏感医疗数据的应用开发，用户可选择自托管或使用HIPAA附加功能。
延伸解读
SOC2 Type 2 与 Type 1 的关键区别
文章指出，SOC2 Type 1 认证验证的是某一时间点的合规性，而 Type 2 验证的是一段时间内的合规性。Supabase 于今年5月22日获得 Type 2 认证，并计划每年进行审计。Type 2 审计需要收集更多证据，例如事件列表、访问请求、漏洞修复记录等。如果缺乏适当的系统和流程，证据收集会非常痛苦。
HIPAA 合规中的角色与责任
HIPAA 是美国保护医疗记录和健康信息的法律。覆盖实体包括医疗保健提供者、健康计划和保险公司；商业伙伴则为覆盖实体处理受保护健康信息（PHI）。Supabase 作为商业伙伴，其客户可能是覆盖实体或其他商业伙伴。签署 BAA 后，双方需遵守共享责任文档中的义务。
从 SOC2 到 HIPAA 的过渡经验
文章提到，从零开始获得 SOC2 认证比从 SOC2 过渡到 HIPAA 更难。由于许多 HIPAA 控制措施可以映射到 SOC2 的测试，且使用同一审计师，流程得以简化。但 HIPAA 仍带来额外要求，如与所有接触 PHI 的供应商签署 BAA、任命 HIPAA 安全官、更新事件管理流程（如60天内通知违规）以及购买技术错误与遗漏保险。
在 Supabase 上构建医疗应用的选择
对于想要构建医疗应用的用户，Supabase 提供了两种选择：自托管或使用托管平台并添加 HIPAA 附加功能。自托管一直是鼓励的方式，而现在托管平台也支持 HIPAA 合规。用户需要与 Supabase 签署 BAA，并遵守共享责任文档中的要求。Supabase 鼓励用户开发医疗应用并提供支持。
Q&A
Supabase获得了哪些合规认证？
Supabase获得了SOC2 Type 2和HIPAA合规认证。
SOC2 Type 2认证的意义是什么？
SOC2 Type 2认证验证长期合规性，确保公司在一段时间内持续遵循相关标准。
HIPAA法律对医疗记录的保护有哪些要求？
HIPAA法律要求严格保护个人医疗记录和健康信息，包括及时通知数据泄露事件。
Supabase如何支持医疗应用的开发？
Supabase作为业务合作伙伴，支持处理敏感医疗数据的应用开发，并提供自托管或HIPAA附加功能的选择。
Supabase与供应商签署商业伙伴协议的必要性是什么？
Supabase需要与所有有权访问受保护健康信息（PHI）的供应商签署商业伙伴协议，以确保合规性。
Supabase在HIPAA合规过程中做了哪些重要改变？
Supabase更新了事件管理流程，任命了HIPAA安全官，并加强了政策以符合HIPAA要求。
