Чи слід зашифровувати диск з ОС BitLocker для відповідності HIPAA


11

Я шукаю розміщення веб-додатків, сумісних із HIPAA, у Azure VM. Щодо бази даних, я зараз схиляюся до використання VM з SQL 2014 Standard Edition.

Оскільки TDE недоступний у стандартній версії, я збираюся просто використовувати BitLocker для шифрування всього накопичувача. Згідно з тим, що я прочитав, проте неможливо зашифрувати накопичувач ОС на віртуальному віртуальному комп'ютері без використання якоїсь сторонньої служби (наприклад, CloudLink ).

Ця стаття від MSDN передбачає, що, однак, можна використовувати BitLocker для шифрування накопичувача даних. Тому я думаю, що моє питання двояке:

1) Чи можливо зашифрувати накопичувач даних за допомогою BitLocker в Azure VM?

2) Якщо я отримаю Azure VM зі стандартом SQL, чи потрібно буде шифрувати накопичувач ОС, щоб залишатися сумісними з HIPAA?


Якщо це допомагає комусь відповісти, все, що стосується захищеної медичної інформації, потрібно зашифрувати. Тому, якщо я встановлю SQL Server на диск D: \ і Windows працює на диску C: \, чи будуть коли-небудь дані, які обробляє SQL Server, постійно знаходитись на C: \, навіть тимчасово?
хуртовина

Відповіді:


13

Відмова: Я не юрист.

По-перше, деякі вимагають прочитати:

Центр довіри Microsoft Azure

Угода про бізнес-партнер HIPAA (BAA)

HIPAA та Закон HITECH - це закони США, які застосовуються до підприємств охорони здоров'я, які мають доступ до інформації про пацієнтів (називається захищеною інформацією про здоров'я або PHI). За багатьох обставин, коли компанія, що охоплює охорону здоров'я, використовує хмарний сервіс, як Azure, постачальник послуг повинен у письмовій угоді домовитись дотримуватися певних положень щодо безпеки та конфіденційності, викладених у HIPAA та Законі HITECH. Щоб допомогти клієнтам виконувати HIPAA та Закон HITECH, Microsoft пропонує клієнтам BAA як доповнення до договору.

В даний час Microsoft пропонує BAA клієнтам, які мають об’ємну ліцензію / корпоративну угоду (EA) або зареєстровано EA лише для Azure в EA для корпоративних служб Microsoft. EA only Azure не залежить від розміру місця, а не від щорічного грошового зобов’язання перед Azure, що дозволяє клієнту отримати знижку на оплату праці під час ціноутворення.

Перед підписанням BAA, клієнти повинні ознайомитися з Посібниками щодо впровадження HIPAA Azure. Цей документ був розроблений, щоб допомогти клієнтам, які цікавляться HIPAA та Законом HITECH, зрозуміти відповідні можливості Azure. Цільова аудиторія включає службовців із конфіденційності, службовців безпеки, службовців з питань дотримання законодавства та інших осіб в організаціях-замовниках, відповідальних за впровадження та дотримання закону HIPAA та HITECH. Документ охоплює деякі найкращі практики створення програм, сумісних з HIPAA, та детально розглядає положення Azure щодо усунення порушень безпеки. Хоча Azure включає в себе функції, що сприяють дотриманню конфіденційності та безпеки клієнтів, клієнти несуть відповідальність за забезпечення їх конкретного використання Azure відповідно до HIPAA, Закону HITECH та інших застосовних законів та правил,

Клієнти повинні зв’язатися зі своїм представником облікового запису Microsoft для підписання угоди.

Можливо, вам буде потрібно підписати BAA у свого постачальника послуг хмари (Azure.) Попросіть свого представника (-ів) відповідності.

Ось Посібник з впровадження HIPAA Azure .

Можна використовувати Azure таким чином, щоб він відповідав вимогам HIPAA та HITECH Act.

Тут розміщені та підтримуються екземпляри віртуальних машин Azure, і Azure SQL, і екземпляри SQL Server, що працюють у вітринах Azure.

Бітлокера достатньо для шифрування даних у спокої. Він використовує шифрування AES таким чином, що задовольняє вимоги HIPAA (а також вимоги інших подібних організацій) для шифрування даних у спокої.

Крім того, SQL Server не буде зберігати незашифровані, конфіденційні дані на дисководі ОС, якщо ви не налаштуєте SQL для цього ... як, наприклад, налаштування TempDB для роботи на дисководі ОС чи інше.

Шифрування комірок / полів / стовпців в окремих базах даних не є строго необхідним, якщо ви вже задовольнили вимоги щодо шифрування даних у спокої іншими способами, наприклад, TDE або Bitlocker.

Як ви вирішите керувати ключем шифрування Bitlocker, може з'явитися, оскільки він не буде працювати в мікросхемі TPM або на знімному USB-накопичувачі, оскільки у вас немає доступу до фізичної машини. (Подумайте про те, щоб системний адміністратор вводив пароль вручну, щоб розблокувати накопичувач даних щоразу, коли сервер перезавантажується.) Це такий собі основний малюнок для служб, як CloudLink, оскільки вони керують цим священним ключем шифрування для вас.


8
Немає вимоги взагалі шифрувати дані у спокої та бути сумісними згідно з HIPAA. Дані потрібно захистити, шифрування - це один із способів цього зробити, але це не єдиний спосіб. Вимога шифрування є більш підходящою для даних, що легко переносяться (на компакт-дисках, USB-клавішах, ноутбуках тощо). Коли ваші дані прикручуються до підлоги в центрі даних першого класу людини, шифрування стає набагато менш необхідним. Скоріше, вам просто доведеться мати інші механізми, щоб зменшити ризик впливу даних (тобто захистити сервери). TDE не дуже допомагає, коли у вас пароль SSH, чи не так?
Буде Хартюнг

6
Правило безпеки HIPAA не вказує прямо про багато речей. Це (та всі інші подібні доктрини відповідності) цілеспрямовано невизначені в спробі вийти за рамки технології. Але чітко сказано, що ви повинні реалізувати специфікацію адреси, якщо це розумно і доцільно. Тому вам потрібно буде переконати своїх аудиторів, що шифрування ваших даних є для вас необґрунтованою та невідповідною діяльністю.
Ryan Ries

1
І дійсно, ми вирішили не шифрувати, оскільки важливе значення має яскраве холодне завантаження (сервери з’являться самостійно після того, як живлення перемикатиме будівлю). Як ви повинні знати, будь-яке шифрування диска, яке дозволяє випромінювати холодне завантаження, по суті є вразливим до атаки.
Джошудсон

Дякую, що ця відповідь надзвичайно корисна. Нарешті, чи зможе хто-небудь підтвердити, що можна зашифрувати диск даних у Azure VM?
хуртовина

7

Відповідь на ваш коментар: Якщо ви встановите SQL Server на D: а Windows працює на C:, SQL дані будуть жити: файли MDF та LDF (на D :), у TempDB (на D :) та у пам'яті. Можливо, у важкому стані недостатньої пам'яті дані можуть бути замінені на файл сторінки, який може працювати на C :. Блокування сторінок у пам'яті може допомогти. Це має підтримувати SQL 2014. Див. Http://support.microsoft.com/kb/918483 .

Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.