FHIR: Spark.Net: Обеспечение соответствия хранилища MongoDB HIPAA

Question

Я ищу способы сделать хранилище Mongo, используемое Spark.Net HIPAA-совместимым. Достаточно ли хорошо использование SSL-транспорта MongoDB для шифрования данных по сети и использование Gazzang для данных в состоянии покоя? Существуют ли другие варианты для данных в состоянии покоя, в то же время позволяя индексировать определенные свойства в JSON?

Answer 1

Учитывая соответствие HIPAA ряду требований в отношении конфиденциальности и безопасности, я бы предположил, что вы также получаете профессиональные советы о том, как их соблюдать. Существуют физические и технические требования, которые выходят за рамки программного обеспечения базы данных, но шифрование данных в движении и в состоянии покоя отметит некоторые из полей.

Я добавлю заявление об отказе от ответственности, что "я не юрист или эксперт HIPAA", поэтому вам придется изучить / подтвердить конкретные сведения о соответствии для вашего варианта использования.

Шифрование данных в движении

• Бинарные дистрибутивы MongoDB по умолчанию в настоящее время не включают поддержку SSL. Вы можете создать исходный код с поддержкой SSL или получить коммерческую лицензию для MongoDB Enterprise.

• Вы должны убедиться, что режим SSL установлен на requireSSL и включить certificate validation с сертификатами х.509.

• Я считаю, что вам нужно использовать алгоритм шифрования, соответствующий Федеральному стандарту обработки информации (FIPS). Режим FIPS в настоящее время поддерживается только в MongoDB Enterprise.

Шифрование данных в покое

MongoDB (по состоянию на 2.6) не имеет встроенной поддержки для шифрования данных в состоянии покоя, однако существует ряд сторонних партнерских решений, которые в настоящее время включают:

• Шифрование диска BitLocker
• Vormetric Data Security Platform
• IBM Guardium Data Encryption

Вышеуказанные решения могут быть использованы для прозрачного шифрования каталогов данных, используемых MongoDB, так что вы по-прежнему имеете полный доступ к функциям запросов и индексирования.

Вполне вероятно, что к некоторым данным, которые вы храните, могут предъявляться более строгие требования (например, в отношении конфиденциальности или редактирования определенных полей), поэтому может быть реализована дополнительная логика приложения.

Связанная информация

• В документе MongoDB Security Architecture подробно рассказывается о параметрах безопасности и аудита.
• Раздел " Безопасность " руководства MongoDB содержит некоторые сведения о передовых методах и конфигурации.