วิธีการป้องกันข้อมูล SQL Server มาตรฐานที่ละเอียดอ่อน (HIPAA) และล็อกไฟล์

ฉันกำลังจัดการกับข้อมูลด้านสุขภาพที่ได้รับการคุ้มครองทางอิเล็กทรอนิกส์ (ePHI หรือ PHI) และข้อบังคับ HIPAA กำหนดให้ผู้ใช้ที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึง ePHI การเข้ารหัสระดับคอลัมน์อาจมีค่าสำหรับข้อมูลบางอย่าง แต่ฉันต้องการความสามารถในการทำเช่นการค้นหาในบางฟิลด์ของ PHI เช่นชื่อ

Transparent Data Encryption (TDE) เป็นคุณสมบัติของ SQL Server 2008 สำหรับการเข้ารหัสฐานข้อมูลและไฟล์บันทึก ตามที่ฉันเข้าใจแล้วสิ่งนี้จะป้องกันบุคคลที่เข้าถึง MDF, LDF หรือไฟล์สำรองไม่ให้ทำอะไรกับไฟล์เพราะเข้ารหัส TDE ใช้เฉพาะในองค์กรและ SQL Server เวอร์ชันผู้พัฒนาและองค์กรต้องห้ามด้านต้นทุนสำหรับสถานการณ์เฉพาะของฉัน ฉันจะได้รับการป้องกันที่คล้ายคลึงกันใน SQL Server Standard ได้อย่างไร มีวิธีในการเข้ารหัสฐานข้อมูลและไฟล์สำรอง (มีเครื่องมือของบุคคลที่สาม) หรือไม่? หรือว่าดีมีวิธีป้องกันไฟล์จากการใช้งานถ้าดิสก์ถูกแนบกับเครื่องอื่น (linux หรือ windows) หรือไม่

ผู้ดูแลระบบสามารถเข้าถึงไฟล์จากเครื่องเดียวกันได้ แต่ฉันต้องการป้องกันปัญหาใด ๆ หากดิสก์ถูกลบและเชื่อมต่อกับเครื่องอื่น อะไรคือวิธีแก้ปัญหาสำหรับสิ่งนี้ที่อยู่ข้างนอก?

คำแนะนำทั่วไปสำหรับ HIPAA คือปฏิบัติตามมาตรฐานPCI Data Security Standard (PCI-DSS) ยกเว้นที่ใดก็ตามที่พวกเขาพูดว่า "ข้อมูลผู้ถือบัตร" หรือ "ข้อมูลบัญชี" ที่คุณพูดว่า "PHI" บริษัท ของฉัน (อุตสาหกรรมการดูแลสุขภาพ, การจัดการกับ PHI) ใช้ PCI-DSS เป็นจุดเริ่มต้นหลักของเราพร้อมกับความรู้สึกที่ดีต่อสุขภาพ (เช่นการทำให้แน่ใจว่าข้อมูลที่เข้ารหัสนั้นอยู่ (หรือถูก จำกัด ให้ปลอดภัยเครือข่าย) ตลอดเวลา)

การเข้ารหัสระดับคอลัมน์บางประเภทเป็นความคิดที่ดีเสมอเมื่อต้องรับมือกับข้อมูลที่ละเอียดอ่อนและเมื่อพิจารณาถึงค่าใช้จ่ายที่อาจเกิดขึ้นจากคดีความมันก็สูงขึ้นอยู่กับสิ่งที่ต้องพิจารณา

คุณต้องปกป้อง PHI ซึ่งจะต้องให้คุณเข้ารหัสข้อมูลในตารางฐานข้อมูล การเข้ารหัสข้อมูลภายในระดับคอลัมน์หากทางออกที่ดีที่สุดของคุณ การค้นหาในสาขาเหล่านี้จะมีราคาแพง แต่นั่นเป็นค่าใช้จ่ายของความปลอดภัยสูง

ฉันพูดถึงตัวเลือกการเข้ารหัสข้อมูลที่หลากหลายในบทที่ 2 ของหนังสือของฉัน "การรักษาความปลอดภัยเซิร์ฟเวอร์ SQL "