Creazione di un "server delle chiavi" (conformità HIPAA con AWS)

Question

Creazione di un "server delle chiavi" (conformità HIPAA con AWS)

#1 da (3 voti)

8

Sono parte di una piccola azienda che sta implementando la conformità HIPAA. Cercheremo consulenti legali, ecc. Quindi qualsiasi cosa sentita qui non sarà presa come consulenza legale, ecc. Voglio solo rimbalzare qualche idea da voi ragazzi.

Lo spirito di base di HIPAA da quello che ho letto:

Assicurarsi che solo le persone autorizzate possano accedere a PHI.
Assicurati che i dati nel trasporto e a riposo siano crittografati.

Ho fatto qualche ricerca su google (whitepaper AWS, hosting di hipaa, ecc.) e mi stavo chiedendo cosa ne pensate del seguente schema:

Esegue il rails del codice dell'applicazione front-end (Heroku / AWS) che gestisce tutto il client richiede, tutto il phi inviato su HTTPS.
Dati inviati a un server di crittografia centralizzato per essere crittografati.
Il server di crittografia invia dati crittografati al server di database (probabilmente AWS).

Questo mi permetterebbe di scaricare la maggior parte della solidificazione del server sul server di crittografia, oltre a separare le chiavi dai dati. Qualcuno ha qualche esperienza / intuizione nella creazione di un sistema come questo? O anche un sistema come questo per HIPAA in particolare? È anche una buona idea dal punto di vista della sicurezza? Inoltre ho avuto difficoltà a trovare un'azienda che ospita semplicemente un "server di crittografia", ci sono aziende specializzate in qualcosa del genere?

encryption webserver key-management hipaa

posta Matt 15.12.2011 - 19:26

fonte

1 risposta

Leggi altre domande sui tag encryption webserver key-management hipaa

Quali sono le tecniche per rilevare le attività di chiamata / beaconing del malware? Disclosure e accordo sulla sicurezza Business-to-Business

score 3 · Accepted Answer

I requisiti HIPAA non sono abbastanza forti. In breve, afferma che è necessario crittografare le cartelle cliniche a riposo e non è possibile utilizzare una primitiva rotta, il che è ovvio. Chiunque verifichi il tuo sistema probabilmente gradisce vedere AES. Questo è banale da supportare e un'istanza MySQL di Amazon RDS supporta già questa funzionalità con le funzioni aes_encrypt () e aes_decrypt ().

Laddove HIPAA e PCI-DSS falliscono è che non stabiliscono quale modalità di funzionamento dovrebbe essere utilizzata. Infatti, aes_encrypt () di MySQL usa la modalità ECB, che è orribile. Inoltre, ci sono problemi con l'applicazione della sicurezza quando si utilizza la crittografia a questo livello. aes_encrypt () è facile da interrompere configurando mysql per registrare tutte le query. La chiave AES deve essere incorporata nell'applicazione, quindi se viene compromessa, l'utente malintenzionato può leggere il valore da un file di configurazione e accedere ai record. Si tratta di due punti di errore che possono essere evitati crittografando i dati all'interno dell'applicazione e quindi trasmettendo il testo cifrato al database. Ma HIPAA non si preoccupa di questo problema. Gli altri requisiti di HIPAA, come richiedere un CISSP per analizzare la tua applicazione, sono più importanti.

Quindi nessuno deve darti da mangiare questa funzione di sicurezza masturbatoria. Vi esorto ad implementare un sistema sicuro, ma HIPAA non è stato progettato abbastanza bene da preoccupare.