Hassas (HIPAA) SQL Server Standart Verilerini ve Günlük Dosyalarını Koruma

Elektronik korumalı sağlık bilgileri (ePHI veya PHI) ile ilgileniyorum ve HIPAA düzenlemeleri sadece yetkili kullanıcıların ePHI'ye erişmesini gerektiriyor. Sütun düzeyinde şifreleme, bazı veriler için değerli olabilir, ancak ad gibi bazı PHI alanlarında arama yapmak gibi bir yeteneğe ihtiyacım var.

Saydam Veri Şifreleme (TDE), veritabanı ve günlük dosyalarını şifrelemek için SQL Server 2008'in bir özelliğidir. Anladığım kadarıyla bu, MDF, LDF veya yedekleme dosyalarına erişen birinin şifrelenmiş oldukları için dosyalarla herhangi bir şey yapmasını önler. TDE sadece SQL Server'ın kurumsal ve geliştirici sürümlerinde ve kurumsal benim özel senaryom için maliyet engelleyici. Benzer korumayı SQL Server Standard'da nasıl alabilirim? Veritabanını ve yedekleme dosyalarını şifrelemenin bir yolu var mı (üçüncü taraf bir araç var mı)? Ya da aynı derecede iyi, eğer disk başka bir makineye (linux veya windows) bağlıysa dosyaların kullanılmasını önlemenin bir yolu var mı?

Aynı makineden dosyalara yönetici erişimi iyidir, ancak disk çıkarılıp başka bir makineye bağlanırsa herhangi bir sorunu önlemek istiyorum. Bunun için bazı çözümler nelerdir?

— Quesi
kaynak

BitLocker ve En Az Privilidge ACL'leri HIPPA için yeterlidir (bunu yazarken). Muhtemelen daha gelişmiş kontroller istersiniz, ancak erişim kontrolleri düzgün yapılandırılırsa hücre düzeyinde şifreleme gerekmez. (Genel tavsiye, çevreniz hakkında ayrıntılı bilgi olmadan verilir ve tazminat anlamına gelmez). Daha ciddi bir kayda göre; SQL güvenliğini bilmiyorsanız, lütfen ePHI güvenliğini yapılandıran tek kişi olmayın, oraya gerçekten eşyalarını bilen birini getirin.

— Chris S

@Chris s, Çok teşekkürler. BitLocker'ı duymuştum, ama ne olduğunu bilmiyordum. Şimdi yapıyorum ve aradığım şey bu.

— Quesi

Yanıtlar:

HIPAA için genel öneri , "Kart Sahibi Bilgileri" veya "PHI" dediğiniz "Hesap Bilgileri" dedikleri yerler dışında PCI Veri Güvenliği Standardını (PCI-DSS) takip etmektir . Şirketim (Sağlık sektörü, PHI ile ilgileniyor) PCI-DSS'yi sağlıklı bir sağduyu dozuyla birlikte birincil başlangıç noktası olarak kullanır (örneğin verilerin STAYS'ın her zaman şifrelenmesini (veya güvenli ağlarla sınırlı olmasını sağlamak).

Bir tür sütun düzeyinde şifreleme, hassas verilerle uğraşırken neredeyse her zaman iyi bir fikirdir ve potansiyel bir dava göz önüne alındığında, dikkate alınması gereken şeylerle yüksektir.

— voretaq7
kaynak

Benim cevabımın cevabını BitLocker'ı cevap olarak kullanmamı tercih etsem de, bunu bir cevap olarak yayınlamadı, bu yüzden seninle işaretliyorum çünkü beni konuyla ilgili daha fazla bilgi içeren harika bir belgeye yönlendirdin. Sütun düzeyinde şifreleme iyi bir fikir olsa da, arama yapmanız gerektiğinde olduğu gibi tüm durumlarda pratik değildir.

— Quesi

Veritabanı tablosundaki verileri şifrelemenizi gerektiren PHI'yi korumanız gerekir. En iyi bahsiniz varsa sütun düzeyinde verileri şifreleme. Bu alanlarda arama yapmak pahalıya mal olacak, ancak bu yüksek güvenlik maliyeti.

Kitabımda "2. bölümünde veri şifreleme seçenekleri çeşitli bahsetmek Güvenliği SQL Server "

— mrdenny
kaynak

"Beğen" sorgusu kullanarak şifrelenmiş alanlarda arama yapmak mümkün müdür?

— Quesi

Tabii, tüm sütunun şifresini çözmek, aramak ve ardından gerekli satırları döndürmek zorundasınız.

— mrdenny

tüm sütunun şifresini çözün. yikes! "Pahalı" ile kastettiğin budur.

— Quesi

Evet, hayatı kolaylaştırmak için güvenlik yapılmaz. Verilerin güvenliği birinci husustur, verilere kolay erişim ikinci sıradadır. Verileri aranabilir hale getirirken mümkünse, verileri karma hale getirebilir ve karma değerini, şifrelenmiş verilere göre arama yapmak çok daha kolay olduğu için saklayabilirsiniz. Her ikisi de LIKE kullanmak için iyi çalışmaz. Eğer PHI'yi şifrelemezseniz ve denetlenmiş olursanız, denetimden geçemezsiniz.

— mrdenny