Dois-je chiffrer le disque du système d'exploitation avec BitLocker pour la conformité HIPAA

11

Je cherche à héberger une application Web compatible HIPAA sur les machines virtuelles Azure. Pour la base de données, je penche actuellement vers l'utilisation d'une machine virtuelle avec SQL 2014 Standard Edition.

Étant donné que TDE n'est pas disponible avec Standard Edition, je vais simplement utiliser BitLocker pour crypter l'intégralité du lecteur. Selon ce que j'ai lu, cependant, il n'est pas possible de chiffrer le lecteur du système d'exploitation sur une machine virtuelle Azure sans utiliser une sorte de service tiers (comme CloudLink ).

Cet article de MSDN implique qu'il est cependant possible d'utiliser BitLocker pour chiffrer le lecteur de données. Par conséquent, je suppose que ma question est double:

1) Est-il possible de chiffrer le lecteur de données avec BitLocker sur une machine virtuelle Azure?

2) Si j'obtiens une machine virtuelle Azure avec SQL Standard, sera-t-il nécessaire de chiffrer le lecteur du système d'exploitation afin de rester conforme à la norme HIPAA?

sql-server azure encryption hipaa blizz
la source
Si cela aide quelqu'un à répondre, tout ce qui touche aux informations de santé protégées doit être crypté. Par conséquent, si j'installe SQL Server sur le lecteur D: \ et que Windows s'exécute sur le lecteur C: \, les données traitées par SQL Server résideront-elles un jour sur C: \, même temporairement?
blizz

Réponses:

13

Avertissement: je ne suis pas avocat.

Tout d'abord, quelques lectures obligatoires:

Microsoft Azure Trust Center

Accord de partenariat commercial HIPAA (BAA)

La HIPAA et la loi HITECH sont des lois des États-Unis qui s'appliquent aux entités de soins de santé ayant accès aux informations sur les patients (appelées Protected Health Information ou PHI). Dans de nombreuses circonstances, pour qu'une entreprise de soins de santé couverte utilise un service cloud comme Azure, le fournisseur de services doit accepter dans un accord écrit de respecter certaines dispositions de sécurité et de confidentialité énoncées dans la HIPAA et la loi HITECH. Pour aider les clients à se conformer à HIPAA et à la loi HITECH, Microsoft propose un BAA aux clients comme avenant au contrat.

Microsoft propose actuellement le BAA aux clients qui ont un accord de licence en volume / entreprise (EA), ou une inscription EA uniquement Azure en place avec Microsoft pour les services dans le champ d'application. L'EA Azure uniquement ne dépend pas de la taille du siège, mais plutôt d'un engagement monétaire annuel envers Azure qui permet à un client d'obtenir une remise sur le paiement au fur et à mesure de la tarification.

Avant de signer le BAA, les clients doivent lire le document Azure HIPAA Implementation Guidance. Ce document a été développé pour aider les clients intéressés par HIPAA et la loi HITECH à comprendre les capacités pertinentes d'Azure. Le public visé comprend les responsables de la protection de la vie privée, les responsables de la sécurité, les responsables de la conformité et d'autres membres des organisations de clients responsables de la mise en œuvre et de la conformité à la loi HIPAA et HITECH. Le document couvre certaines des meilleures pratiques pour la création d'applications compatibles HIPAA et détaille les dispositions Azure pour la gestion des violations de sécurité. Bien qu'Azure inclut des fonctionnalités pour aider à activer la conformité des clients en matière de confidentialité et de sécurité, les clients sont responsables de veiller à ce que leur utilisation particulière d'Azure soit conforme à HIPAA, à la loi HITECH et à d'autres lois et réglementations applicables,

Les clients doivent contacter leur représentant de compte Microsoft pour signer l'accord.

Vous devrez peut-être signer un BAA avec votre fournisseur de cloud (Azure.) Demandez à votre (vos) représentant (s) de conformité.

Voici le guide d'implémentation Azure HIPAA .

Il est possible d'utiliser Azure d'une manière conforme aux exigences HIPAA et HITECH Act.

Les machines virtuelles Azure, et Azure SQL et les instances SQL Server exécutées dans les machines virtuelles Azure, sont toutes dans la portée et prises en charge ici.

Bitlocker est suffisant pour le cryptage des données au repos. Il utilise le cryptage AES d'une manière qui satisfait aux exigences HIPAA (ainsi qu'aux exigences d'autres organisations similaires) pour le cryptage des données au repos.

En outre, SQL Server ne stockera pas de données sensibles non chiffrées sur le lecteur du système d'exploitation, sauf si vous configurez SQL pour le faire ... comme par exemple la configuration de TempDB pour vivre sur le lecteur du système d'exploitation ou quelque chose du genre.

Le cryptage des cellules / champs / colonnes dans les bases de données individuelles n'est pas strictement requis en supposant que vous avez déjà satisfait aux exigences de cryptage des données au repos par d'autres moyens, par exemple TDE ou Bitlocker.

La façon dont vous choisissez de gérer la clé de chiffrement Bitlocker peut apparaître, car elle ne vivra pas à l'intérieur d'une puce TPM ou sur un lecteur USB amovible car vous n'avez pas accès à la machine physique. (Envisagez de demander à un administrateur système d'entrer manuellement un mot de passe pour déverrouiller le lecteur de données à chaque redémarrage du serveur.) C'est en quelque sorte le principal attrait pour des services tels que CloudLink, car ils gèrent cette clé de cryptage sacrée pour vous.

Ryan Ries
la source
8
Il n'y a aucune obligation de chiffrer les données au repos et d'être conforme à la HIPAA. Les données doivent être protégées, le cryptage est une façon de le faire, mais ce n'est pas la seule. L'exigence de chiffrement est plus appropriée pour les données facilement transportées (sur CD, clés USB, ordinateurs portables, etc.). Lorsque vos données sont verrouillées au sol dans un centre de données de première classe piégé par l'homme, le cryptage devient beaucoup moins nécessaire. Il vous suffit plutôt de disposer d'autres mécanismes pour atténuer le risque d'exposition des données (c'est-à-dire sécuriser les serveurs). TDE n'aide pas beaucoup quand ils ont votre mot de passe SSH, n'est-ce pas?
Will Hartung
6
La règle de sécurité HIPAA ne mentionne pas explicitement beaucoup de choses. Elle (et toutes les autres doctrines de conformité similaires) sont délibérément vagues dans une tentative de transcender la technologie. Mais ce qu'il dit explicitement, c'est que vous devez implémenter une spécification adressable s'il est raisonnable et approprié de le faire. Vous devrez donc convaincre vos auditeurs que le chiffrement de vos données est une activité déraisonnable et inappropriée pour vous.
Ryan Ries
1
Et en effet, nous avons choisi de ne pas chiffrer, car le démarrage à froid éteint est plus important (les serveurs apparaîtront d'eux-mêmes après avoir redémarré le bâtiment). Comme vous devez le savoir, tout chiffrement de disque qui permet un démarrage à froid éteint est intrinsèquement vulnérable aux attaques.
joshudson
Merci cette réponse est extrêmement utile. Enfin, quelqu'un peut-il confirmer qu'il est possible de chiffrer le disque de données sur une machine virtuelle Azure?
blizz
7

Réponse à votre commentaire: Si vous installez SQL Server sur D: et que Windows s'exécute sur C :, les données SQL vivront dans: les fichiers MDF et LDF (sur D :), dans TempDB (sur D :) et dans la mémoire. Dans un état de mémoire insuffisante, il est possible que les données soient échangées vers le fichier d'échange, qui peut vivre sur C :. Le verrouillage des pages en mémoire peut être utile. SQL 2014 devrait prendre en charge cela. Voir http://support.microsoft.com/kb/918483 .

Katherine Villyard
la source