Un Business Associate Agreement è un contratto legale usato nella conformità alla privacy sanitaria negli Stati Uniti. Stabilisce le regole su come un fornitore, un provider cloud o un'altra società di servizi può creare, ricevere, conservare o trasmettere informazioni sanitarie protette per conto di un'entità coperta. Il BAA definisce gli usi consentiti, le misure di salvaguardia, gli obblighi di segnalazione delle violazioni, i limiti ai subappaltatori e cosa accade quando il rapporto termina.
Nella sicurezza informatica, un BAA è importante perché il contratto aiuta a trasformare gli obblighi di privacy in controlli operativi. Se un fornitore gestisce ePHI senza il giusto accordo, il cliente può trovarsi con lacune di conformità anche se la tecnologia è sicura. In attacchi reali, i BAA vengono spesso esaminati dopo una compromissione del cloud, un evento ransomware o un'esposizione di dati per determinare se il provider era autorizzato a detenere i dati e se notifica, registrazione, crittografia e controlli di accesso fossero sufficienti. I difensori usano i BAA per assegnare responsabilità, ridurre l'ambiguità dei fornitori e rendere esplicite le aspettative su risposta agli incidenti e audit.