J'utilise Ruby on Rails 4.2 avec mySql pour mon application de conformité HIPAA et j'ai besoin de connaître les bases de données techniques requises pour cette application.Quelles sont les exigences de base de données pour la conformité HIPAA?
avons-nous vraiment besoin de crypter toutes les valeurs de la base de données telles que le nom du patient, etc.?
Oui Vous devez crypter tous les détails (nom, adresse e-mail, numéro de téléphone, adresse) liés au patient et aux médecins si vous souhaitez que votre application Rails soit conforme HIPAA.
Ci-dessous 2 gemmes rubis sont très utiles pour vous.
attr_encrypted: https://github.com/shuber/attr_encrypted
paper_trail: https://github.com/airblade/paper_trail
HIPAA est une loi inhabituelle en ce qu'elle fait beaucoup de recommandations (articles adressables) et quelques assertions (éléments nécessaires), mais à la fin il est Cela permet à chaque organisation de déterminer par elle-même ce qu'elle doit faire pour être conforme. Cela crée beaucoup de flexibilité et beaucoup d'incertitude. En général, pour être conforme à la HIPAA, un site Web doit au minimum faire en sorte que toutes les informations de santé protégées (ePHI) ci-dessous:
cryptage de transport: est toujours crypté car il est transmis sur Internet
Sauvegarde: Ne jamais être perdu, c.-à-d.devrait être sauvegardé et peut être récupéré
Autorisation: est accessible uniquement par le personnel autorisé à l'aide de contrôles d'accès uniques, vérifiés
Intégrité: est-ce pas falsifié ou altéré
chiffrement de stockage: Doit être chiffré lors de son stockage ou de son archivage
Elimination: Peut être définitivement éliminés quand on n'a plus besoin
Omnibus/HITECH: est situé sur les serveurs Web d'une entreprise avec qui vous avez signé un contrat d'affaires HIPAA associé (ou il est hébergé dans la maison et les serveurs sont correctement fixés par la Règles de sécurité HIPAA).
Les exigences HIPAA pas assez fort. En bref, il déclare que vous devez crypter les dossiers médicaux au repos et vous ne pouvez pas utiliser une primitive cassée, ce qui est évident. Celui qui audite votre système aime probablement voir AES. Cela est trivial à prendre en charge et une instance Amazon RDS MySQL prend déjà en charge cette fonction avec les fonctions aes_encrypt() et aes_decrypt(). Lorsque HIPAA et PCI-DSS sont en deçà, c'est qu'ils n'indiquent pas quel mode de fonctionnement doit être utilisé. En fait, aes_encrypt() de MySQL utilise le mode ECB, ce qui est horrible. En outre, il existe des problèmes d'application de la sécurité lors de l'utilisation du chiffrement sur cette couche. aes_encrypt() est facile à casser en configurant mysql pour consigner toutes les requêtes. La clé AES doit être intégrée dans votre application. Si elle est compromise, l'attaquant pourrait lire la valeur d'un fichier de configuration et accéder aux enregistrements. Il s'agit de deux points de défaillance qui peuvent être évités en cryptant les données dans votre application et en transmettant ensuite le texte chiffré à la base de données. Mais HIPAA ne se soucie pas de ce problème. Les autres exigences de HIPAA, telles que l'exigence d'un CISSP pour analyser votre application, sont plus importantes.
Je vous exhorte à mettre en œuvre un système sécurisé, mais HIPAA n'a pas été conçu assez bien pour s'en occuper.