Devo crittografare il disco del sistema operativo con BitLocker per la conformità HIPAA


11

Sto cercando di ospitare un'applicazione Web conforme a HIPAA nelle macchine virtuali di Azure. Per il database, in questo momento mi sto orientando verso l'utilizzo di una VM con SQL 2014 Standard Edition.

Poiché TDE non è disponibile con Standard Edition, ho intenzione di utilizzare BitLocker per crittografare l'intero disco. Secondo quanto ho letto, tuttavia, non è possibile crittografare l'unità del sistema operativo in una macchina virtuale di Azure senza usare un qualche tipo di servizio di terze parti (come CloudLink ).

Questo articolo di MSDN implica che è possibile, tuttavia, utilizzare BitLocker per crittografare l'unità dati. Pertanto, suppongo che la mia domanda sia duplice:

1) È possibile crittografare l'unità dati con BitLocker in una macchina virtuale di Azure?

2) Se ottengo una macchina virtuale di Azure con SQL Standard, sarà necessario crittografare l'unità del sistema operativo per rimanere conforme a HIPAA?


Se aiuta chiunque a rispondere, tutto ciò che tocca le informazioni sanitarie protette deve essere crittografato. Pertanto, se installo SQL Server sull'unità D: \ e Windows viene eseguito sull'unità C: \, i dati elaborati da SQL Server risiederanno mai su C: \, anche temporaneamente?
Blizz

Risposte:


13

Disclaimer: non sono un avvocato.

Innanzitutto, alcune letture richieste:

Centro protezione Microsoft Azure

HIPAA Business Associate Agreement (BAA)

HIPAA e HITECH Act sono leggi degli Stati Uniti che si applicano alle entità sanitarie con accesso alle informazioni sui pazienti (chiamate informazioni sanitarie protette o PHI). In molte circostanze, affinché un'azienda di assistenza sanitaria coperta utilizzi un servizio cloud come Azure, il fornitore di servizi deve concordare un accordo scritto per aderire a determinate disposizioni di sicurezza e privacy stabilite in HIPAA e dalla legge HITECH. Per aiutare i clienti a conformarsi a HIPAA e alla legge HITECH, Microsoft offre un BAA ai clienti come aggiunta al contratto.

Microsoft attualmente offre il BAA ai clienti che hanno stipulato un contratto multilicenza / accordo aziendale (EA) o una registrazione EA solo Azure con Microsoft per i servizi nell'ambito. L'EA solo per Azure non dipende dalla dimensione del posto, piuttosto da un impegno monetario annuale per Azure che consente a un cliente di ottenere uno sconto sulla retribuzione man mano che procedi con i prezzi.

Prima di firmare il BAA, i clienti devono leggere le Linee guida per l'implementazione di HIPAA di Azure. Questo documento è stato sviluppato per aiutare i clienti interessati a HIPAA e alla legge HITECH a comprendere le funzionalità pertinenti di Azure. Il pubblico previsto comprende responsabili della privacy, responsabili della sicurezza, responsabili della conformità e altri nelle organizzazioni dei clienti responsabili dell'implementazione e della conformità di HIPAA e HITECH Act. Il documento tratta alcune delle migliori pratiche per la creazione di applicazioni conformi a HIPAA e descrive in dettaglio le disposizioni di Azure per la gestione delle violazioni della sicurezza. Mentre Azure include funzionalità che aiutano a garantire la privacy e la conformità della sicurezza dei clienti, i clienti sono responsabili di garantire che il loro particolare utilizzo di Azure sia conforme a HIPAA, HITECH Act e altre leggi e normative applicabili,

I clienti devono contattare il proprio rappresentante account Microsoft per firmare l'accordo.

Potrebbe essere necessario firmare un BAA con il proprio provider cloud (Azure). Chiedere al proprio rappresentante (i) di conformità.

Ecco le istruzioni per l'implementazione di Azure HIPAA .

È possibile usare Azure in modo conforme ai requisiti HIPAA e HITECH Act.

Le macchine virtuali di Azure e le istanze di Azure SQL e SQL Server in esecuzione nelle macchine virtuali di Azure sono tutte nell'ambito e supportate qui.

Bitlocker è sufficiente per la crittografia dei dati a riposo. Utilizza la crittografia AES in un modo che soddisfa i requisiti HIPAA (nonché i requisiti di altre organizzazioni simili) per la crittografia dei dati a riposo.

Inoltre, SQL Server non memorizzerà i dati sensibili non crittografati sull'unità del sistema operativo a meno che non si configuri SQL per farlo ... come ad esempio la configurazione di TempDB per vivere sull'unità del sistema operativo o qualcosa del genere.

La crittografia di celle / campi / colonne all'interno di singoli database non è strettamente necessaria supponendo che abbiate già soddisfatto i requisiti per la crittografia dei dati inattivi in ​​altri modi, ad esempio TDE o Bitlocker.

Il modo in cui scegli di gestire la chiave di crittografia Bitlocker potrebbe venire fuori, dal momento che non vivrà all'interno di un chip TPM o su un'unità USB rimovibile poiché non hai accesso al computer fisico. (Considera di avere un amministratore di sistema che inserisca manualmente una password per sbloccare l'unità dati ogni volta che il server si riavvia.) Questa è una sorta di attrazione principale per servizi come CloudLink, poiché gestiscono la chiave di crittografia sacra per te.


8
Non è necessario crittografare affatto i dati a riposo ed essere conformi a HIPAA. I dati devono essere protetti, la crittografia è un modo per farlo, ma non è l'unico modo. Il requisito di crittografia è più appropriato per i dati facilmente trasportati (su CD, chiavi USB, laptop, ecc.). Quando i tuoi dati sono bloccati al suolo nel data center di prima classe man intrappolato, la crittografia diventa molto meno necessaria. Piuttosto devi semplicemente avere altri meccanismi per mitigare il rischio di esposizione dei dati (cioè proteggere i server). TDE non aiuta molto quando hanno la tua password SSH, vero?
Will Hartung,

6
La regola di sicurezza HIPAA non menziona esplicitamente molte cose. Esso (e tutte le altre dottrine di conformità simili) sono volutamente vaghi nel tentativo di trascendere la tecnologia. Ma ciò che dice esplicitamente è che è necessario implementare una specifica indirizzabile se è ragionevole e appropriato farlo. Quindi dovrai convincere i tuoi auditor che la crittografia dei tuoi dati è un'attività irragionevole e inappropriata per te.
Ryan Ries,

1
E infatti abbiamo scelto di non crittografare perché l'avvio a freddo delle luci è più importante (i server verranno fuori da soli dopo aver spento e riacceso l'edificio). Come dovresti sapere, qualsiasi crittografia del disco che consente l'avvio a freddo delle luci è intrinsecamente vulnerabile agli attacchi.
joshudson,

Grazie questa risposta è estremamente utile. Infine, qualcuno può confermare che è possibile crittografare il disco dati in una macchina virtuale di Azure?
Blizz

7

Rispondere al tuo commento: se installi SQL Server su D: e Windows gira su C :, i dati SQL vivranno in: i file MDF e LDF (su D :), in TempDB (su D :) e in Memoria. In uno stato di memoria insufficiente è possibile che i dati vengano scambiati con il file di paging, che può risiedere su C :. Il blocco delle pagine in memoria può essere d'aiuto. SQL 2014 dovrebbe supportare questo. Vedi http://support.microsoft.com/kb/918483 .

Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.