Должен ли я зашифровать диск ОС с помощью BitLocker для соответствия HIPAA
Я изучаю возможность размещения веб-приложения, совместимого с HIPAA, на виртуальных машинах Azure. Что касается базы данных, сейчас я склоняюсь к использованию виртуальной машины с SQL 2014 Standard Edition.
Поскольку TDE недоступен в Standard Edition, я собираюсь использовать BitLocker для шифрования всего диска. Однако, согласно тому, что я прочитал, невозможно зашифровать диск ОС на виртуальной машине Azure без использования какой-либо сторонней службы (например, CloudLink).
Эта статья из MSDN подразумевает, что, однако, возможно использовать BitLocker для шифрования диска с данными. Поэтому, я думаю, мой вопрос двоякий:
1) Можно ли зашифровать диск с данными с помощью BitLocker на виртуальной машине Azure?
2) Если я получу виртуальную машину Azure с SQL Standard, необходимо ли будет шифровать диск ОС, чтобы оставаться совместимым с HIPAA?
2 ответа
Отказ от ответственности: я не юрист.
Во-первых, некоторые требуют чтения:
Соглашение с бизнес-партнером HIPAA (BAA)
HIPAA и закон HITECH - это законы США, которые применяются к медицинским учреждениям, имеющим доступ к информации о пациентах (называемой защищенной медицинской информацией или PHI). Во многих случаях, чтобы покрываемая медицинская компания могла использовать облачную службу, такую как Azure, поставщик услуг должен согласиться в письменном соглашении придерживаться определенных положений о безопасности и конфиденциальности, изложенных в HIPAA и Законе HITECH. Чтобы помочь клиентам соблюдать HIPAA и Закон HITECH, Microsoft предлагает клиентам BAA в качестве дополнения к контракту.
В настоящее время Microsoft предлагает BAA клиентам, имеющим Соглашение о корпоративном лицензировании / Соглашение о корпоративном лицензировании (EA) или действующее соглашение с EA только на Azure для предоставления комплексных услуг. Советник только для Azure не зависит от размера рабочего места, а от годового денежного обязательства Azure, которое позволяет клиенту получать скидку за плату по мере вашего ценообразования.
Перед подписанием BAA клиенты должны ознакомиться с Руководством по внедрению HIPAA Azure. Этот документ был разработан, чтобы помочь клиентам, которые заинтересованы в HIPAA и HITECH Act, понять соответствующие возможности Azure. Предполагаемая аудитория - это сотрудники по вопросам конфиденциальности, сотрудники службы безопасности, сотрудники, отвечающие за соблюдение нормативных требований, и другие сотрудники организаций-заказчиков, ответственные за реализацию и соблюдение законов HIPAA и HITECH. В этом документе рассматриваются некоторые из лучших методов создания приложений, совместимых с HIPAA, и подробно описываются положения Azure для устранения нарушений безопасности. Хотя Azure включает функции, помогающие обеспечить соблюдение конфиденциальности и безопасности клиента, клиенты несут ответственность за обеспечение того, чтобы их конкретное использование Azure соответствовало HIPAA, закону HITECH и другим применимым законам и нормативным актам, и им следует проконсультироваться со своими собственными юридическими консультантами.
Клиенты должны связаться со своим представителем учетной записи Microsoft, чтобы подписать соглашение.
От вас может потребоваться подписать BAA с вашим облачным провайдером (Azure.) Попросите вашего представителя по соответствию.
Вот руководство по внедрению Azure HIPAA.
Azure можно использовать так, чтобы это соответствовало требованиям Закона HIPAA и HITECH.
Виртуальные машины Azure, а также экземпляры Azure SQL и SQL Server, работающие в виртуальных машинах Azure, все находятся в области действия и поддерживаются здесь.
Bitlocker достаточно для шифрования данных в состоянии покоя. Он использует шифрование AES таким образом, чтобы удовлетворить требования HIPAA (а также требования других аналогичных организаций) для шифрования данных в состоянии покоя.
Кроме того, SQL Server не будет хранить незашифрованные, конфиденциальные данные на диске ОС, если вы не настроите для этого SQL... как, например, настройка TempDB для работы на диске ОС или что-то в этом роде.
Шифрование ячеек / полей / столбцов в отдельных базах данных строго не требуется, если вы уже выполнили требования для шифрования данных в состоянии покоя другими способами, например, TDE или Bitlocker.
Вы можете выбрать способ управления ключом шифрования Bitlocker, поскольку он не будет находиться внутри микросхемы TPM или на съемном USB-накопителе, поскольку у вас нет доступа к физической машине. (Подумайте о том, чтобы системный администратор вручную вводил пароль для разблокировки диска с данными каждый раз, когда сервер перезагружается.) Это своего рода основное преимущество таких служб, как CloudLink, поскольку они управляют этим священным ключом шифрования для вас.
Ответ на ваш комментарий: Если вы устанавливаете SQL Server на D: и Windows работает на C:, данные SQL будут жить в файлах MDF и LDF (на D:), в TempDB (на D:) и в памяти. В состоянии жесткой нехватки памяти данные могут быть перенесены в файл подкачки, который может находиться на C:. Блокировка страниц в памяти может помочь. SQL 2014 должен поддерживать это. См. http://support.microsoft.com/kb/918483.