我应该使用 BitLocker 加密操作系统磁盘以符合 HIPAA 标准吗

Question

我正在考虑在 Azure VM 上托管符合 HIPAA 标准的 Web 应用程序。对于数据库，现在我倾向于使用带有 SQL 2014 标准版的 VM。

由于标准版不提供 TDE，我将只使用 BitLocker 来加密整个驱动器。但是，根据我所读到的内容，如果不使用某种第三方服务（如CloudLink），就不可能对 Azure VM 上的操作系统驱动器进行加密。

然而，来自 MSDN 的这篇文章暗示可以使用 BitLocker 来加密数据驱动器。因此，我想我的问题有两个方面：

1) 是否可以在 Azure VM 上使用 BitLocker 加密数据驱动器？

2) 如果我使用 SQL Standard 获得 Azure VM，是否需要加密操作系统驱动器以保持 HIPAA 合规性？

Answer 1

免责声明：我不是律师。

首先，一些必读的内容：

Microsoft Azure 信任中心

HIPAA 商业伙伴协议 (BAA)

HIPAA 和 HITECH 法案是适用于有权访问患者信息（称为受保护的健康信息或 PHI）的医疗保健实体的美国法律。在许多情况下，对于一家涵盖的医疗保健公司使用 Azure 等云服务，服务提供商必须在书面协议中同意遵守 HIPAA 和 HITECH 法案中规定的某些安全和隐私条款。为了帮助客户遵守 HIPAA 和 HITECH 法案，Microsoft 向客户提供 BAA 作为合同附录。

Microsoft 目前向拥有批量许可/企业协议 (EA) 或与 Microsoft 就范围内服务进行了仅 Azure EA 注册的客户提供 BAA。Azure only EA 不依赖于座位大小，而是依赖于对 Azure 的年度货币承诺，允许客户获得比现收现付定价更高的折扣。

在签署 BAA 之前，客户应阅读 Azure HIPAA 实施指南。本文档旨在帮助对 HIPAA 和 HITECH 法案感兴趣的客户了解 Azure 的相关功能。目标受众包括隐私官、安全官、合规官以及客户组织中负责 HIPAA 和 HITECH 法案实施和合规的其他人员。该文档涵盖了构建符合 HIPAA 的应用程序的一些最佳实践，并详细介绍了 Azure 处理安全漏洞的规定。虽然 Azure 包含有助于实现客户隐私和安全合规性的功能，但客户有责任确保他们对 Azure 的特定使用符合 HIPAA、HITECH 法案和其他适用的法律和法规，

客户应联系其 Microsoft 客户代表以签署协议。

您可能需要与您的云提供商 (Azure) 签署 BAA。请咨询您的合规代表。

这是Azure HIPAA 实施指南。

可以以符合 HIPAA 和 HITECH 法案要求的方式使用 Azure。

Azure VM、Azure SQL 和在 Azure VM 中运行的 SQL Server 实例都在此范围内并受支持。

Bitlocker 足以加密静态数据。它以一种满足 HIPAA 要求（以及其他类似组织的要求）的方式使用 AES 加密来加密静态数据。

此外，SQL Server 不会在操作系统驱动器上存储未加密的敏感数据，除非您将 SQL 配置为这样做……例如将 TempDB 配置为存在于操作系统驱动器或其他东西上。

假设您已经通过其他方式（例如 TDE 或 Bitlocker）满足了对静态数据加密的要求，则不严格要求对单个数据库中的单元格/字段/列进行加密。

您选择如何管理 Bitlocker 加密密钥可能会出现，因为它不会存在于 TPM 芯片或可移动 USB 驱动器中，因为您无法访问物理机。（考虑让系统管理员在每次服务器重新启动时手动输入密码来解锁数据驱动器。）这是 CloudLink 等服务的主要吸引力，因为它们为您管理神圣的加密密钥。

Answer 2

回答您的评论：如果您在 D: 上安装 SQL Server 并且 Windows 在 C: 上运行，则 SQL 数据将存在于：MDF 和 LDF 文件（在 D: 上）、TempDB（在 D: 上）和内存中。在严重的低内存状态下，数据可能会被交换到页面文件，该文件可能位于 C: 上。锁定内存中的页面可能会有所帮助。SQL 2014 应该支持这一点。请参阅http://support.microsoft.com/kb/918483。