संवेदनशील (HIPAA) SQL सर्वर मानक डेटा और लॉग फ़ाइलों को कैसे सुरक्षित रखें


11

मैं इलेक्ट्रॉनिक संरक्षित स्वास्थ्य जानकारी (ePHI या PHI) के साथ काम कर रहा हूं और HIPAA नियमों की आवश्यकता है कि केवल अधिकृत उपयोगकर्ता ही ePHI तक पहुंच सकते हैं। कुछ डेटा के लिए स्तंभ-स्तरीय एन्क्रिप्शन का महत्व हो सकता है, लेकिन मुझे कुछ PHI फ़ील्ड जैसे नाम जैसे खोज करने की क्षमता चाहिए।

पारदर्शी डेटा एन्क्रिप्शन (TDE) डेटाबेस और लॉग फ़ाइलों को एन्क्रिप्ट करने के लिए SQL Server 2008 की एक विशेषता है। जैसा कि मैं समझता हूं कि यह किसी ऐसे व्यक्ति को रोकता है जो एमडीएफ, एलडीएफ या बैकअप फ़ाइलों तक पहुंच प्राप्त करता है, क्योंकि वे फाइलों के साथ कुछ भी करने में सक्षम हैं क्योंकि वे एन्क्रिप्टेड हैं। TDE केवल SQL सर्वर के एंटरप्राइज़ और डेवलपर संस्करणों पर है और एंटरप्राइज़ मेरे विशेष परिदृश्य के लिए लागत-निषेधात्मक है। मैं SQL सर्वर मानक पर समान सुरक्षा कैसे प्राप्त कर सकता हूं? क्या डेटाबेस और बैकअप फ़ाइलों को एन्क्रिप्ट करने का एक तरीका है (क्या कोई तृतीय-पक्ष उपकरण है)? या बस के रूप में अच्छा है, क्या फ़ाइलों को उपयोग करने से रोकने का एक तरीका है यदि डिस्क किसी अन्य मशीन (लिनक्स या विंडोज़) से जुड़ी हुई थी?

एक ही मशीन से फाइलों तक प्रशासक की पहुंच ठीक है, लेकिन मैं बस किसी भी मुद्दे को रोकना चाहता हूं अगर डिस्क को हटा दिया गया था और किसी अन्य मशीन पर हुक किया गया था। इसके लिए कुछ समाधान क्या हैं जो वहां हैं?


4
BitLocker और Least Privilidge ACLs HIPPA (इसे लिखने के समय) के लिए पर्याप्त है। आप शायद अधिक उन्नत नियंत्रण चाहते हैं, लेकिन यदि पहुँच नियंत्रण ठीक से कॉन्फ़िगर किया गया है, तो सेल स्तर एन्क्रिप्शन की आवश्यकता नहीं है। (आपके पर्यावरण के विस्तृत ज्ञान के बिना दी गई सामान्य सलाह और क्षतिपूर्ति का मतलब नहीं है)। अधिक गंभीर नोट पर; यदि आप एसक्यूएल सुरक्षा नहीं जानते हैं, तो कृपया ईपीएच सुरक्षा को कॉन्फ़िगर करने वाला एकमात्र व्यक्ति न बनें, कोई ऐसा व्यक्ति प्राप्त करें जो वास्तव में अपना सामान जानता हो।
क्रिस एस

@ क्रिस एस, बहुत बहुत धन्यवाद। मैंने BitLocker के बारे में सुना था, लेकिन यह नहीं जानता था कि यह क्या था। मैं अब करता हूं और यह वही है जिसकी मुझे तलाश थी।
क्वीसी

जवाबों:


8

HIPAA के लिए सामान्य सुझाव PCI डेटा सिक्योरिटी स्टैंडर्ड (PCI-DSS) का पालन करना है , हर जगह को छोड़कर वे "कार्डधारक सूचना" या "खाता जानकारी" कहते हैं, जिसे आप "PHI" कहते हैं। मेरी कंपनी (हेल्थकेयर इंडस्ट्री, PHI से निपटने) PCI-DSS को हमारे प्राथमिक शुरुआती बिंदु के रूप में उपयोग करती है, साथ ही सामान्य ज्ञान की एक स्वस्थ खुराक के साथ (उदाहरण के लिए डेटा STAYS एन्क्रिप्टेड (या सुरक्षित नेटवर्क तक ही सीमित) सुनिश्चित करता है)।

संवेदनशील डेटा के साथ काम करते समय किसी प्रकार का कॉलम-स्तर एन्क्रिप्शन लगभग हमेशा एक अच्छा विचार है, और एक मुकदमा की संभावित लागत को देखते हुए यह चीजों पर विचार करने के लिए उच्च है।


जबकि मैं उत्तर के रूप में BitLocker का उपयोग करने के लिए अपने प्रश्न पर टिप्पणी को पसंद करता हूं, उन्होंने इसे anwer के रूप में पोस्ट नहीं किया था, इसलिए मैं आपका अंकन कर रहा हूं क्योंकि आपने मुझे विषय पर अधिक जानकारी के साथ एक महान दस्तावेज़ की ओर इशारा किया है। हालांकि कॉलम-स्तर एन्क्रिप्शन एक अच्छा विचार होगा, हालांकि, यह सभी मामलों में व्यावहारिक नहीं है जैसे कि जब आपको इस पर खोज करने की आवश्यकता होती है।
Quesi

3

आपको PHI की सुरक्षा करने की आवश्यकता है, जिसके लिए आपको डेटाबेस तालिका में डेटा एन्क्रिप्ट करना होगा। कॉलम स्तर के भीतर डेटा को एन्क्रिप्ट करना यदि आपकी सबसे अच्छी शर्त है। इन क्षेत्रों पर खोज करना महंगा होने जा रहा है, लेकिन यह उच्च सुरक्षा की लागत है।

मैं अपनी पुस्तक " सिक्योरिंग SQL सर्वर " के अध्याय 2 में विभिन्न प्रकार के डेटा एन्क्रिप्शन विकल्पों के बारे में बात करता हूं।


क्या "लाइक" क्वेरी का उपयोग करके एन्क्रिप्टेड फ़ील्ड पर खोज करना संभव है?
क्वीसी

निश्चित रूप से, आपको पूरे कॉलम को डिक्रिप्ट करना होगा, इसे खोजें और फिर आवश्यक पंक्तियों को वापस करें।
मर्डनी

पूरे कॉलम को डिक्रिप्ट करें। ओह! यही आप "महंगा" से मतलब है।
क्स्सी

1
हां, जीवन को आसान बनाने के लिए सुरक्षा नहीं की जाती है। डेटा की सुरक्षा पहला विचार है, डेटा तक आसान पहुंच दूसरी है। यदि डेटा खोज योग्य बनाते समय संभव हो, तो आप डेटा को हैश कर सकते हैं और हैश को स्टोर कर सकते हैं क्योंकि एन्क्रिप्टेड डेटा की तुलना में हैश की खोज करना बहुत आसान है। हालाँकि LIKE का उपयोग करने के लिए दोनों में से कोई भी अच्छा काम नहीं करेगा। यदि आप PHI को एन्क्रिप्ट नहीं करते हैं और आप ऑडिट किए जाते हैं तो आप ऑडिट को विफल कर देंगे।
मर्डनी
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.