ฉันควรเข้ารหัสดิสก์ระบบปฏิบัติการด้วย BitLocker เพื่อให้สอดคล้องกับมาตรฐาน HIPAA


11

ฉันกำลังมองหาโฮสติ้งแอปพลิเคชันที่สอดคล้องกับ HIPAA บน Azure VM สำหรับฐานข้อมูลตอนนี้ฉันโน้มตัวไปใช้ VM กับ SQL 2014 Standard Edition

เนื่องจาก TDE ไม่สามารถใช้ได้กับ Standard Edition ฉันจะใช้ BitLocker เพื่อเข้ารหัสไดรฟ์ทั้งหมด อย่างไรก็ตามตามที่ฉันได้อ่านแล้วมันเป็นไปไม่ได้ที่จะเข้ารหัสไดรฟ์ระบบปฏิบัติการบน Azure VM โดยไม่ต้องใช้บริการของบุคคลที่สาม (เช่นCloudLink )

บทความนี้จาก MSDN บอกเป็นนัยว่าเป็นไปได้ที่จะใช้ BitLocker เพื่อเข้ารหัสไดรฟ์ข้อมูล ดังนั้นฉันเดาคำถามของฉันสองเท่า:

1) เป็นไปได้หรือไม่ที่จะเข้ารหัสไดรฟ์ข้อมูลด้วย BitLocker บน Azure VM

2) ถ้าฉันได้รับ Azure VM พร้อม SQL Standard จำเป็นต้องเข้ารหัสไดรฟ์ระบบปฏิบัติการเพื่อให้เป็นไปตามมาตรฐาน HIPAA หรือไม่


หากมันช่วยให้ทุกคนตอบคำถามใด ๆ ก็ตามที่สัมผัสกับข้อมูลด้านสุขภาพที่ได้รับการป้องกันจะต้องได้รับการเข้ารหัส ดังนั้นถ้าฉันติดตั้ง SQL Server บนไดรฟ์ D: \ และ Windows ทำงานบนไดรฟ์ C: \ ข้อมูลใด ๆ ที่ SQL Server จะประมวลผลบน C: \ แม้จะเป็นการชั่วคราวหรือไม่?
blizz

คำตอบ:


13

ข้อจำกัดความรับผิดชอบ: ฉันไม่ใช่ทนายความ

ก่อนอื่นต้องมีการอ่าน:

Microsoft Azure Trust Center

ข้อตกลงร่วมธุรกิจ HIPAA (BAA)

HIPAA และพระราชบัญญัติ HITECH เป็นกฎหมายของสหรัฐอเมริกาที่ใช้กับหน่วยงานด้านการดูแลสุขภาพที่สามารถเข้าถึงข้อมูลผู้ป่วย (เรียกว่า Protected Health Information หรือ PHI) ในหลาย ๆ กรณีเพื่อให้ บริษัท ด้านการดูแลสุขภาพในการใช้บริการคลาวด์อย่าง Azure ผู้ให้บริการจะต้องเห็นด้วยในข้อตกลงเป็นลายลักษณ์อักษรเพื่อปฏิบัติตามข้อกำหนดด้านความปลอดภัยและความเป็นส่วนตัวที่กำหนดไว้ใน HIPAA และพระราชบัญญัติ HITECH เพื่อช่วยให้ลูกค้าปฏิบัติตาม HIPAA และพระราชบัญญัติ HITECH Microsoft ได้เสนอ BAA ให้กับลูกค้าเพื่อเป็นส่วนเสริมของสัญญา

ปัจจุบัน Microsoft เสนอ BAA ให้กับลูกค้าที่มีข้อตกลง Volume Licensing / Enterprise Agreement (EA) หรือ Azure เท่านั้นที่ EA ทำการลงทะเบียนกับ Microsoft สำหรับบริการที่อยู่ในขอบเขต Azure เท่านั้น EA ไม่ได้ขึ้นอยู่กับขนาดที่นั่ง แต่จะขึ้นอยู่กับข้อผูกพันทางการเงินประจำปีของ Azure ที่อนุญาตให้ลูกค้าได้รับส่วนลดมากกว่าการชำระเงินตามที่คุณกำหนดราคา

ก่อนที่จะลงนาม BAA ลูกค้าควรอ่านคำแนะนำการใช้งาน Azure HIPAA เอกสารนี้ได้รับการพัฒนาขึ้นเพื่อช่วยให้ลูกค้าที่สนใจใน HIPAA และพระราชบัญญัติ HITECH เข้าใจความสามารถที่เกี่ยวข้องของ Azure ผู้ชมที่ตั้งใจรวมถึงเจ้าหน้าที่ความเป็นส่วนตัวเจ้าหน้าที่รักษาความปลอดภัยเจ้าหน้าที่กำกับการปฏิบัติตามกฎระเบียบและอื่น ๆ ในองค์กรลูกค้าที่รับผิดชอบการดำเนินงานและการปฏิบัติตามกฎหมาย HIPAA และ HITECH เอกสารครอบคลุมแนวทางปฏิบัติที่ดีที่สุดบางประการสำหรับการสร้างแอปพลิเคชันที่สอดคล้องกับมาตรฐาน HIPAA และรายละเอียดข้อกำหนด Azure สำหรับการจัดการการละเมิดความปลอดภัย ในขณะที่ Azure มีคุณสมบัติที่จะช่วยให้การปฏิบัติตามนโยบายความเป็นส่วนตัวและความปลอดภัยของลูกค้าลูกค้ามีความรับผิดชอบในการตรวจสอบให้แน่ใจว่าการใช้ Azure ของพวกเขาเป็นไปตาม HIPAA, พระราชบัญญัติ HITECH และกฎหมายและข้อบังคับอื่น ๆ

ลูกค้าควรติดต่อตัวแทนบัญชี Microsoft ของพวกเขาเพื่อลงนามข้อตกลง

คุณอาจต้องลงชื่อ BAA กับผู้ให้บริการคลาวด์ของคุณ (Azure) สอบถามตัวแทนการปฏิบัติตามกฎระเบียบของคุณ

นี่คือการดำเนินการแนะแนว Azure HIPAA

เป็นไปได้ที่จะใช้ Azure ในลักษณะที่สอดคล้องกับข้อกำหนด HIPAA และ HITECH Act

Azure VMs และ Azure SQL และอินสแตนซ์ของ SQL Server ที่ทำงานภายใน Azure VM ทั้งหมดอยู่ในขอบเขตและได้รับการสนับสนุนที่นี่

Bitlocker เพียงพอสำหรับการเข้ารหัสข้อมูลที่เหลือ มันใช้การเข้ารหัส AES ในลักษณะที่เป็นไปตามข้อกำหนดของ HIPAA (เช่นเดียวกับข้อกำหนดขององค์กรอื่นที่คล้ายคลึงกัน) สำหรับการเข้ารหัสข้อมูลที่เหลือ

นอกจากนี้ SQL Server จะไม่เก็บข้อมูลที่ไม่ได้เข้ารหัสและมีความละเอียดอ่อนบนไดรฟ์ระบบปฏิบัติการเว้นแต่คุณจะกำหนดค่า SQL ให้ทำเช่น ... เช่นการกำหนดค่า TempDB ให้ใช้งานได้จริงบนไดรฟ์ OS หรืออะไรก็ตาม

การเข้ารหัสของเซลล์ / ฟิลด์ / คอลัมน์ภายในฐานข้อมูลแต่ละรายการนั้นไม่จำเป็นอย่างเคร่งครัดหากคุณได้ปฏิบัติตามข้อกำหนดสำหรับการเข้ารหัสข้อมูลที่เหลือในรูปแบบอื่นเช่น TDE หรือ Bitlocker

วิธีที่คุณเลือกในการจัดการคีย์การเข้ารหัสของ Bitlocker อาจเกิดขึ้นเนื่องจากมันจะไม่อยู่ในชิป TPM หรือบนไดรฟ์ USB แบบถอดได้เนื่องจากคุณไม่สามารถเข้าถึงเครื่องทางกายภาพได้ (พิจารณาว่ามี sysadmin ด้วยตนเองป้อนรหัสผ่านเพื่อปลดล็อกไดรฟ์ข้อมูลทุกครั้งที่เซิร์ฟเวอร์รีบูต) นี่เป็นการดึงข้อมูลหลักของบริการเช่น CloudLink เนื่องจากพวกเขาจัดการคีย์การเข้ารหัสที่ศักดิ์สิทธิ์สำหรับคุณ


8
ไม่มีข้อกำหนดในการเข้ารหัสข้อมูลที่เหลือเลยและเป็นไปตาม HIPAA ข้อมูลจำเป็นต้องได้รับการป้องกันการเข้ารหัสเป็นวิธีหนึ่งที่ทำได้ แต่ไม่ใช่วิธีเดียว ข้อกำหนดการเข้ารหัสมีความเหมาะสมมากกว่าสำหรับการเคลื่อนย้ายข้อมูล (บนซีดีคีย์ USB แล็ปท็อป ฯลฯ ) เมื่อข้อมูลของคุณถูกยึดติดกับพื้นในศูนย์ข้อมูลชั้นหนึ่งที่มนุษย์ติดอยู่การเข้ารหัสมีความจำเป็นน้อยกว่ามาก คุณเพียงแค่ต้องมีกลไกอื่น ๆ เพื่อลดความเสี่ยงของการเปิดเผยข้อมูล (เช่นการรักษาความปลอดภัยเซิร์ฟเวอร์) TDE ไม่ได้ช่วยอะไรมากเมื่อพวกเขามีรหัสผ่าน SSH ของคุณใช่ไหม?
Will Hartung

6
HIPAA การรักษาความปลอดภัยกฎล้มเหลวอย่างชัดเจนพูดถึงมากในสิ่งที่ (และหลักคำสอนเรื่องการปฏิบัติตามอื่น ๆ ที่คล้ายคลึงกันทั้งหมด) นั้นมีความคลุมเครือในความพยายามที่จะก้าวข้ามเทคโนโลยี แต่สิ่งที่พูดอย่างชัดเจนก็คือคุณต้องใช้ข้อมูลจำเพาะที่สามารถระบุได้หากมีเหตุผลและเหมาะสมที่จะทำเช่นนั้น ดังนั้นคุณจะต้องโน้มน้าวให้ผู้ตรวจสอบของคุณว่าการเข้ารหัสข้อมูลของคุณเป็นกิจกรรมที่ไม่สมเหตุสมผลและไม่เหมาะสมสำหรับคุณ
Ryan Ries

1
และแน่นอนว่าเราเลือกที่จะไม่เข้ารหัสเพราะการบู๊ตเย็นลงเป็นเรื่องสำคัญมาก อย่างที่คุณควรทราบการเข้ารหัสดิสก์ใด ๆ ที่อนุญาตให้ boot-out cold-lights เป็นความเสี่ยงที่จะถูกโจมตี
joshudson

ขอบคุณคำตอบนี้มีประโยชน์มาก สุดท้ายทุกคนสามารถยืนยันได้ว่าเป็นไปได้ที่จะเข้ารหัสดิสก์ข้อมูลบน Azure VM หรือไม่
blizz

7

ตอบความคิดเห็นของคุณ: ถ้าคุณติดตั้ง SQL Server บน D: และ Windows ทำงานบน C: ข้อมูล SQL จะอยู่ใน: ไฟล์ MDF และ LDF (บน D :), ใน TempDB (บน D :) และในหน่วยความจำ เป็นไปได้ในสภาวะที่หน่วยความจำเหลือน้อยอย่างรุนแรงสำหรับข้อมูลที่จะเปลี่ยนเป็นไฟล์หน้าซึ่งอาจอยู่บน C: การล็อกหน้าในหน่วยความจำอาจช่วยได้ SQL 2014 ควรสนับสนุนสิ่งนี้ ดูhttp://support.microsoft.com/kb/918483

โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.