Creando un "servidor de claves" (conformidad de HIPAA con AWS)

Question

Creando un "servidor de claves" (conformidad de HIPAA con AWS)

#1 de rook (3 votos)

8

Soy parte de una pequeña empresa que implementará el cumplimiento de HIPAA. Buscaremos asesoría legal, etc., por lo que cualquier cosa que se escuche aquí no se tomará como asesoría legal, etc. Solo quiero compartir algunas ideas con ustedes.

El espíritu básico de HIPAA de lo que he leído:

Asegúrese de que solo las personas autorizadas puedan acceder a la PHI.
Asegúrese de que los datos en transporte y en reposo estén encriptados.

He hecho un poco de googlear (AWS whitepaper, hipaa hosting, etc.) y me preguntaba qué pensaban ustedes del siguiente esquema:

Código de aplicación de front-end Rails (Heroku / AWS) que maneja todos las solicitudes del cliente, toda la phi enviada a través de HTTPS.
Los datos enviados a un servidor de cifrado centralizado se cifrarán.
El servidor de cifrado envía los datos cifrados al servidor de base de datos (AWS probablemente).

Esto me permitiría descargar la mayor parte del fortalecimiento del servidor en el servidor de cifrado, así como separar las claves de los datos. ¿Alguien tiene alguna experiencia o conocimiento en la configuración de un sistema como este? ¿O incluso un sistema como este para HIPAA específicamente? ¿Es incluso una buena idea desde el punto de vista de la seguridad? También me ha costado mucho encontrar una empresa que simplemente tenga un "servidor de cifrado", ¿hay empresas que se especialicen en algo así?

key-management encryption webserver hipaa

pregunta Matt 15.12.2011 - 19:26

fuente

1 respuesta

Lea otras preguntas en las etiquetas key-management encryption webserver hipaa

SSH Diccionarios de fuerza bruta ¿Cuáles son las técnicas para detectar las actividades de inicio / balizamiento de llamadas de malware?

score 3 · Accepted Answer

Los requisitos de HIPAA no son lo suficientemente fuertes. En resumen, indica que debe cifrar los registros médicos en reposo y no puede usar una primitiva rota, lo cual es obvio. Quienquiera que audite tu sistema probablemente quiera ver AES. Es trivial de admitir, y una instancia de MySQL de Amazon RDS ya lo admite de forma inmediata con las funciones aes_encrypt () y aes_decrypt ().

Donde HIPAA y PCI-DSS se quedan cortos es que no establecen qué modo de operación se debe usar. De hecho, aes_encrypt () de MySQL usa el modo ECB, lo cual es horrible. Además, hay problemas para hacer cumplir la seguridad cuando se usa el cifrado en esta capa. aes_encrypt () es fácil de romper configurando mysql para registrar todas las consultas. La clave AES debe estar incrustada en su aplicación para que, si se encuentra comprometida, el atacante pueda leer el valor de un archivo de configuración y acceder a los registros. Estos son dos puntos de falla que pueden evitarse cifrando los datos dentro de su aplicación y luego transmitiendo texto cifrado a la base de datos. Pero a HIPAA no le importa este problema. Los otros requisitos de HIPAA, como exigir que un CISSP analice su aplicación son más importantes.

Así que nadie necesita alimentarte con cuchara esta función de seguridad masturbatoria. Le insto a que implemente un sistema seguro, pero HIPAA no se diseñó lo suficientemente bien como para preocuparse.