Hoe versleutel ik patiëntgegevens (ePHI) in rust voor HIPAA?
het heygrc team
Schakel versleuteling in rust in voor elke opslag die elektronische beschermde gezondheidsinformatie (ePHI) bevat (de database, buckets, volumes, back-ups), of documenteer waarom een equivalente beveiligingsmaatregel is geïmplementeerd. De versleutelingsspecificatie van HIPAA (164.312(a)(2)(iv)) is afweegbaar: implementeer deze waar redelijkerwijs mogelijk, of registreer een equivalent, in plaats van deze over te slaan.
Versleuteling inschakelen voor de opslag
Configureer databases, buckets en volumes met versleuteling in rust. Voor beheerde opslag is dit meestal één instelling; de valkuil is een opslag die standaard niet versleuteld is (een RDS-instantie, een raw volume).
Dek ook de kopieën af
Back-ups, snapshots en exports van ePHI hebben dezelfde bescherming nodig als de primaire opslag, zodat een kopie niet onbeschermd ergens opzij blijft staan.
Documenteer een afweegbare beslissing
Als je een bepaalde opslag echt niet kunt versleutelen, betekent de afweegbare aard van de specificatie dat je registreert waarom dit niet kan en welke equivalente maatregel de gegevens beschermt, in plaats van de beslissing impliciet te laten.
resource "aws_db_instance" "patient_records" { engine = "postgres"+ storage_encrypted = true}Versleuteling in rust is ingeschakeld voor de database die ePHI bevat, wat een RDS-instantie standaard niet doet.