Tôi có nên mã hóa đĩa hệ điều hành bằng BitLocker để tuân thủ HIPAA


11

Tôi đang tìm cách lưu trữ một ứng dụng web tuân thủ HIPAA trên Azure VM. Đối với cơ sở dữ liệu, hiện tại tôi đang nghiêng về việc sử dụng VM với SQL 2014 Standard Edition.

Vì TDE không có sẵn với Phiên bản Chuẩn, tôi sẽ chỉ sử dụng BitLocker để mã hóa toàn bộ ổ đĩa. Tuy nhiên, theo những gì tôi đã đọc, không thể mã hóa ổ đĩa hệ điều hành trên máy ảo Azure mà không sử dụng một loại dịch vụ bên thứ ba nào đó (như CloudLink ).

Bài viết này từ MSDN ngụ ý rằng có thể sử dụng BitLocker để mã hóa ổ dữ liệu. Do đó, tôi đoán câu hỏi của tôi là hai lần:

1) Có thể mã hóa ổ dữ liệu bằng BitLocker trên máy ảo Azure không?

2) Nếu tôi nhận được máy ảo Azure với SQL Standard, có cần phải mã hóa ổ đĩa hệ điều hành để duy trì tuân thủ HIPAA không?


Nếu nó giúp bất cứ ai trả lời, bất cứ điều gì chạm vào thông tin sức khỏe được bảo vệ đều cần được mã hóa. Do đó, nếu tôi cài đặt SQL Server trên ổ đĩa D: \ và Windows chạy trên ổ C: \, liệu có bất kỳ dữ liệu nào mà SQL Server xử lý từng nằm trên C: \, thậm chí tạm thời không?
Blizz

Câu trả lời:


13

Tuyên bố miễn trừ trách nhiệm: Tôi không phải là luật sư.

Đầu tiên, một số yêu cầu đọc:

Trung tâm tin cậy Microsoft Azure

Thỏa thuận liên kết kinh doanh của HIPAA (BAA)

HIPAA và Đạo luật HITECH là luật của Hoa Kỳ áp dụng cho các cơ quan chăm sóc sức khỏe có quyền truy cập vào thông tin bệnh nhân (được gọi là Thông tin sức khỏe được bảo vệ hoặc PHI). Trong nhiều trường hợp, để một công ty chăm sóc sức khỏe được bảo hiểm sử dụng dịch vụ đám mây như Azure, nhà cung cấp dịch vụ phải đồng ý trong một thỏa thuận bằng văn bản để tuân thủ một số quy định về bảo mật và quyền riêng tư được quy định trong HIPAA và Đạo luật HITECH. Để giúp khách hàng tuân thủ HIPAA và Đạo luật HITECH, Microsoft cung cấp BAA cho khách hàng dưới dạng phụ lục hợp đồng.

Microsoft hiện cung cấp BAA cho các khách hàng có Thỏa thuận cấp phép doanh nghiệp / cấp phép doanh nghiệp (EA) hoặc đăng ký EA chỉ có Azure với Microsoft cho các dịch vụ trong phạm vi. EA chỉ Azure không phụ thuộc vào kích thước chỗ ngồi, thay vào đó là cam kết tiền tệ hàng năm đối với Azure, cho phép khách hàng được giảm giá so với thanh toán khi bạn định giá.

Trước khi ký BAA, khách hàng nên đọc Hướng dẫn triển khai Azure HIPAA. Tài liệu này được phát triển để hỗ trợ khách hàng quan tâm đến HIPAA và Đạo luật HITECH để hiểu các khả năng có liên quan của Azure. Đối tượng dự kiến ​​bao gồm các nhân viên bảo mật, nhân viên an ninh, nhân viên tuân thủ và những người khác trong các tổ chức khách hàng chịu trách nhiệm thực hiện và tuân thủ Đạo luật HIPAA và HITECH. Tài liệu này bao gồm một số thực tiễn tốt nhất để xây dựng các ứng dụng tuân thủ HIPAA và chi tiết các quy định Azure để xử lý các vi phạm bảo mật. Mặc dù Azure bao gồm các tính năng giúp cho phép tuân thủ quyền riêng tư và bảo mật của khách hàng, khách hàng có trách nhiệm đảm bảo việc sử dụng Azure cụ thể của họ tuân thủ HIPAA, Đạo luật HITECH và các luật và quy định hiện hành khác,

Khách hàng nên liên hệ với đại diện tài khoản Microsoft của mình để ký thỏa thuận.

Bạn có thể được yêu cầu ký BAA với nhà cung cấp đám mây của mình (Azure.) Hỏi (các) đại diện tuân thủ của bạn.

Dưới đây là Hướng dẫn triển khai Azure HIPAA .

Có thể sử dụng Azure theo cách tuân thủ các yêu cầu của Đạo luật HIPAA và HITECH.

Các máy ảo Azure và Azure SQL và các phiên bản SQL Server chạy trong máy ảo Azure, đều có phạm vi và được hỗ trợ tại đây.

Bitlocker là đủ để mã hóa dữ liệu ở phần còn lại. Nó sử dụng mã hóa AES theo cách thỏa mãn các yêu cầu của HIPAA (cũng như các yêu cầu của các tổ chức tương tự khác) để mã hóa dữ liệu khi nghỉ ngơi.

Hơn nữa, SQL Server sẽ không lưu trữ dữ liệu nhạy cảm, không được mã hóa trên ổ đĩa OS trừ khi bạn định cấu hình SQL để làm như vậy ... ví dụ như cấu hình TempDB để sống trên ổ đĩa OS hoặc một cái gì đó.

Mã hóa các ô / trường / cột trong cơ sở dữ liệu riêng lẻ không được yêu cầu nghiêm ngặt giả sử bạn đã thỏa mãn các yêu cầu mã hóa dữ liệu ở phần còn lại theo các cách khác, ví dụ TDE hoặc Bitlocker.

Cách bạn chọn quản lý khóa mã hóa Bitlocker có thể xuất hiện, vì nó sẽ không tồn tại bên trong chip TPM hoặc trên ổ USB di động do bạn không có quyền truy cập vào máy vật lý. (Cân nhắc việc có một sysadmin nhập thủ công mật khẩu để mở khóa ổ dữ liệu mỗi khi máy chủ khởi động lại.) Đây là loại rút ra chính cho các dịch vụ như CloudLink, vì chúng quản lý khóa mã hóa thiêng liêng đó cho bạn.


8
Không có yêu cầu mã hóa dữ liệu nào cả và phải tuân thủ theo HIPAA. Dữ liệu cần được bảo vệ, mã hóa là một cách để làm điều đó, nhưng đó không phải là cách duy nhất. Yêu cầu mã hóa phù hợp hơn với dữ liệu dễ dàng vận chuyển (trên đĩa CD, khóa USB, máy tính xách tay, v.v.). Khi dữ liệu của bạn được chốt xuống sàn trong trung tâm dữ liệu hạng nhất bị mắc kẹt, việc mã hóa trở nên ít cần thiết hơn nhiều. Thay vào đó, bạn chỉ cần có các cơ chế khác để giảm thiểu rủi ro phơi nhiễm dữ liệu (tức là bảo mật các máy chủ). TDE không giúp được gì nhiều khi họ có mật khẩu SSH của bạn, phải không?
Will Hartung

6
Quy tắc bảo mật HIPAA không đề cập rõ ràng rất nhiều điều. Nó (và tất cả các học thuyết tuân thủ tương tự khác) hoàn toàn mơ hồ trong nỗ lực vượt qua công nghệ. Nhưng những gì nó nói rõ ràng là bạn phải thực hiện một đặc tả địa chỉ nếu nó hợp lý và phù hợp để làm như vậy. Vì vậy, bạn sẽ cần phải thuyết phục kiểm toán viên của mình rằng mã hóa dữ liệu của bạn là một hoạt động không hợp lý và không phù hợp với bạn.
Ryan Ries

1
Và thực sự chúng tôi đã chọn không mã hóa bởi vì khởi động lạnh tắt đèn là quan trọng hơn (các máy chủ sẽ tự hoạt động sau khi cấp nguồn cho tòa nhà). Như bạn nên biết, bất kỳ mã hóa ổ đĩa nào cho phép khởi động nguội đều dễ bị tấn công.
joshudson

Cảm ơn bạn câu trả lời này là vô cùng hữu ích. Cuối cùng, có ai có thể xác nhận rằng có thể mã hóa đĩa dữ liệu trên máy ảo Azure không?
Blizz

7

Trả lời nhận xét của bạn: Nếu bạn cài đặt SQL Server trên D: và Windows chạy trên C:, dữ liệu SQL sẽ tồn tại trong: các tệp MDF và LDF (trên D :), trong TempDB (trên D :) và trong Bộ nhớ. Có thể trong trạng thái bộ nhớ thấp nghiêm trọng để dữ liệu được hoán đổi sang tệp trang, có thể nằm trên C :. Khóa các trang trong bộ nhớ có thể giúp đỡ. SQL 2014 nên hỗ trợ này. Xem http://support.microsoft.com/kb/918483 .

Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.