전자 보호 건강 정보 (ePHI 또는 PHI)를 처리하고 있으며 HIPAA 규정에 따라 승인 된 사용자 만 ePHI에 액세스 할 수 있습니다. 열 수준 암호화는 일부 데이터에 가치가 있지만 이름과 같은 일부 PHI 필드에서 검색하는 것과 같은 기능이 필요합니다.
TDE (투명한 데이터 암호화)는 데이터베이스 및 로그 파일을 암호화하기위한 SQL Server 2008의 기능입니다. 내가 알기로는 MDF, LDF 또는 백업 파일에 액세스하는 사람이 파일이 암호화되어 있기 때문에 파일로 무엇이든 할 수 없습니다. TDE는 엔터프라이즈 및 개발자 버전의 SQL Server에만 있으며 엔터프라이즈는 특정 시나리오에서 비용이 많이 듭니다. SQL Server Standard에서 유사한 보호를 받으려면 어떻게해야합니까? 데이터베이스 및 백업 파일을 암호화하는 방법이 있습니까 (타사 도구가 있습니까)? 또는 디스크가 다른 머신 (리눅스 또는 윈도우)에 연결된 경우 파일이 사용되는 것을 막을 수있는 방법이 있습니까?
동일한 컴퓨터에서 파일에 대한 관리자 액세스는 괜찮지 만 디스크를 제거하고 다른 컴퓨터에 연결 한 경우 문제를 방지하고 싶습니다. 거기에 대한 해결책은 무엇입니까?
답변
HIPAA에 대한 일반적인 제안은 PCI 카드 보안 표준 (PCI-DSS) 을 따르는 것입니다. “카드 소지자 정보”또는 “계정 정보”라고 말한 곳은 “PHI”라고합니다. 우리 회사 (PHI을 다루는 의료 산업은) (예를 들어, 확실 데이터 만들기 상식의 건강한 복용량과 함께, 우리의 기본 출발점으로 PCI-DSS를 사용하는 유지는 암호화 (또는 항상) 보안 네트워크에 한정).
민감한 데이터를 다룰 때 일종의 열 수준 암호화는 거의 항상 좋은 생각이며, 소송의 잠재적 비용을 고려할 때 고려해야 할 사항이 높습니다.
답변
데이터베이스 테이블의 데이터를 암호화해야하는 PHI를 보호해야합니다. 최선의 방법으로 열 수준 내에서 데이터를 암호화합니다. 이러한 필드를 검색하는 것은 비용이 많이 들지만 보안 비용이 많이 듭니다.
필자의 책 ” Secureing SQL Server “의 2 장에서 다양한 데이터 암호화 옵션에 대해 이야기합니다.