Haruskah saya mengenkripsi disk OS dengan BitLocker untuk kepatuhan HIPAA

Saya mencari hosting aplikasi web yang sesuai HIPAA di Azure VM. Untuk database, saat ini saya condong ke arah menggunakan VM dengan Edisi Standar SQL 2014.

Karena TDE tidak tersedia dengan Edisi Standar, saya hanya akan menggunakan BitLocker untuk mengenkripsi seluruh drive. Menurut apa yang saya baca, bagaimanapun, tidak mungkin untuk mengenkripsi drive OS pada Azure VM tanpa menggunakan semacam layanan pihak ketiga (seperti CloudLink ).

Artikel dari MSDN ini menyiratkan bahwa adalah mungkin, bagaimanapun, untuk menggunakan BitLocker untuk mengenkripsi drive data. Karena itu, saya kira pertanyaan saya ada dua:

1) Apakah mungkin mengenkripsi drive data dengan BitLocker pada Azure VM?

2) Jika saya mendapatkan Azure VM dengan SQL Standard, apakah perlu mengenkripsi drive OS agar tetap mematuhi HIPAA?

— badai
sumber

Jika itu membantu siapa pun untuk menjawab, apa pun yang menyentuh informasi kesehatan yang dilindungi perlu dienkripsi. Oleh karena itu, jika saya menginstal SQL Server pada drive D: \ dan Windows berjalan pada drive C: \, apakah ada data yang diproses oleh SQL Server berada di C: \, bahkan sementara?

— Blizz

Penafian: Saya bukan pengacara.

Pertama, beberapa bacaan wajib:

Microsoft Azure Trust Center

Perjanjian Rekanan Bisnis HIPAA (BAA)

HIPAA dan HITECH Act adalah undang-undang Amerika Serikat yang berlaku untuk entitas layanan kesehatan dengan akses ke informasi pasien (disebut Informasi Kesehatan yang Dilindungi, atau PHI). Dalam banyak keadaan, bagi perusahaan kesehatan yang dilindungi untuk menggunakan layanan cloud seperti Azure, penyedia layanan harus menyetujui dalam perjanjian tertulis untuk mematuhi ketentuan keamanan dan privasi tertentu yang ditetapkan dalam HIPAA dan Undang-Undang HITECH. Untuk membantu pelanggan mematuhi HIPAA dan UU HITECH, Microsoft menawarkan BAA kepada pelanggan sebagai tambahan kontrak.

Microsoft saat ini menawarkan BAA kepada pelanggan yang memiliki Volume Licensing / Enterprise Agreement (EA), atau pendaftaran EA hanya Azure di tempat dengan Microsoft untuk layanan dalam lingkup. EA hanya Azure tidak tergantung pada ukuran kursi, melainkan pada komitmen moneter tahunan untuk Azure yang memungkinkan pelanggan untuk mendapatkan diskon atas pembayaran saat Anda menentukan harga.

Sebelum menandatangani BAA, pelanggan harus membaca Panduan Implementasi Azure HIPAA. Dokumen ini dikembangkan untuk membantu pelanggan yang tertarik dengan HIPAA dan UU HITECH untuk memahami kemampuan Azure yang relevan. Audiens yang dituju meliputi petugas privasi, petugas keamanan, petugas kepatuhan, dan lainnya di organisasi pelanggan yang bertanggung jawab atas implementasi dan kepatuhan HIPECH dan UU HITECH. Dokumen tersebut mencakup beberapa praktik terbaik untuk membangun aplikasi yang sesuai dengan HIPAA, dan merinci ketentuan Azure untuk menangani pelanggaran keamanan. Sementara Azure menyertakan fitur untuk membantu memungkinkan privasi dan kepatuhan keamanan pelanggan, pelanggan bertanggung jawab untuk memastikan penggunaan khusus Azure sesuai dengan HIPAA, UU HITECH, dan hukum dan peraturan lain yang berlaku,

Pelanggan harus menghubungi perwakilan akun Microsoft mereka untuk menandatangani perjanjian.

Anda mungkin diminta untuk menandatangani BAA dengan penyedia cloud Anda (Azure.) Tanyakan kepada perwakilan kepatuhan Anda.

Berikut adalah Panduan Implementasi Azure HIPAA .

Dimungkinkan untuk menggunakan Azure dengan cara yang sesuai dengan persyaratan HIPAA dan HITECH Act.

VM Azure, dan Azure SQL, serta instance SQL Server yang berjalan dalam Azure VMs, semuanya dalam cakupan dan didukung di sini.

Bitlocker cukup untuk enkripsi data saat istirahat. Ia menggunakan enkripsi AES dengan cara yang memenuhi persyaratan HIPAA (serta persyaratan organisasi serupa lainnya) untuk enkripsi data saat istirahat.

Selain itu, SQL Server tidak akan menyimpan data sensitif yang tidak dienkripsi pada drive OS kecuali Anda mengkonfigurasi SQL untuk melakukannya ... seperti misalnya mengkonfigurasi TempDB agar hidup di drive OS atau sesuatu.

Enkripsi sel / bidang / kolom dalam basis data individual tidak diperlukan dengan anggapan Anda telah memenuhi persyaratan untuk enkripsi data secara diam-diam dengan cara lain, misalnya TDE atau Bitlocker.

Bagaimana Anda memilih untuk mengelola kunci enkripsi Bitlocker dapat muncul, karena itu tidak akan hidup di dalam chip TPM atau pada drive USB yang dapat dilepas karena Anda tidak memiliki akses ke mesin fisik. (Pertimbangkan memiliki sysadmin secara manual memasukkan kata sandi untuk membuka kunci drive data setiap kali server reboot.) Ini adalah semacam penarikan utama ke layanan seperti CloudLink, karena mereka mengelola kunci enkripsi yang sakral untuk Anda.

— Ryan Ries
sumber

Tidak ada persyaratan untuk mengenkripsi data saat istirahat sama sekali dan tunduk pada HIPAA. Data perlu dilindungi, enkripsi adalah salah satu cara untuk melakukan itu, tetapi itu bukan satu-satunya cara. Persyaratan enkripsi lebih sesuai untuk data yang siap diangkut (pada CD, kunci USB, laptop, dll.). Ketika data Anda dibaut ke lantai pada manusia yang terperangkap di pusat data kelas satu, enkripsi menjadi jauh lebih tidak perlu. Sebaliknya Anda hanya perlu memiliki mekanisme lain untuk mengurangi risiko paparan data (yaitu mengamankan server). TDE tidak banyak membantu ketika mereka memiliki kata sandi SSH Anda, bukan?

— Will Hartung

Peraturan Keamanan HIPAA gagal untuk secara eksplisit menyebutkan banyak hal. Ini (dan semua doktrin kepatuhan serupa lainnya) sengaja dibuat kabur dalam upaya untuk melampaui teknologi. Tetapi apa yang dikatakannya secara eksplisit adalah bahwa Anda harus menerapkan spesifikasi yang dapat dialamatkan jika masuk akal dan tepat untuk melakukannya. Jadi, Anda perlu meyakinkan auditor Anda bahwa mengenkripsi data Anda adalah kegiatan yang tidak masuk akal dan tidak pantas untuk Anda.

— Ryan Ries

Dan memang kami memilih untuk tidak mengenkripsi karena boot-out dingin yang mematikan lebih penting (server akan muncul sendiri setelah daya bersepeda gedung). Seperti yang harus Anda ketahui, enkripsi disk apa pun yang memungkinkan boot dingin padam secara inheren rentan terhadap serangan.

— joshudson

Terima kasih, jawaban ini sangat membantu. Terakhir, adakah yang bisa mengkonfirmasi bahwa mungkin untuk mengenkripsi disk data pada Azure VM?

— Blizz

Menjawab komentar Anda: Jika Anda menginstal SQL Server pada D: dan Windows berjalan pada C :, data SQL akan hidup: file MDF dan LDF (pada D :), di TempDB (pada D :), dan di Memori. Mungkin dalam kondisi memori sangat rendah untuk data ditukar ke file halaman, yang mungkin hidup di C :. Mengunci halaman dalam memori dapat membantu. SQL 2014 harus mendukung ini. Lihat http://support.microsoft.com/kb/918483 .

— Katherine Villyard
sumber