Abbiamo diverse applicazioni desktop che vengono utilizzate dai client su computer desktop non connessi. Le istanze dell'applicazione vengono utilizzate da più utenti protetti da nome utente e password. Il problema è che questi utenti condividono lo stesso account di Windows e quindi hanno lo stesso livello di sicurezza nel sistema operativo. Oltre a ciò, queste applicazioni memorizzano i dati sensibili sulla privacy in un database locale (LocalDB).
In un mondo ideale le applicazioni dovrebbero essere collegate a un server sicuro che memorizza i dati, ma questo non è possibile. Quale sarebbe l'approccio migliore per migliorare la sicurezza della gestione dei dati sensibili sulla privacy in un'applicazione Windows locale? Queste applicazioni dovrebbero in teoria essere conformi alle normative sulla privacy in Europa e Hipaa negli Stati Uniti.
Citato dalla legge sulla portabilità e responsabilità delle assicurazioni sanitarie del 1996 (HIPAA):
A covered entity must, in accordance with §164.306… Implement a mechanism to encrypt and decrypt electronic protected health information.” (45 CFR § 164.312(a)(2)(iv))
La crittografia dei dati in un database locale non è semplice, perché la nostra soluzione corrente (LocalDB) non la supporta. La domanda più difficile è dove dovremmo memorizzare le chiavi di crittografia su un computer desktop?