mysql - HIPAA 合规性的数据库要求是什么？

Question

我将 Ruby on Rails 4.2 与 mySql 一起用于我的 HIPAA 合规应用程序，我需要了解此应用程序的技术数据库要求。

我们真的需要加密所有数据库值，例如患者姓名等吗？

Answer 1

是如果您希望您的 Rails 应用符合 HIPAA 规范，则必须加密与患者和医生相关的所有详细信息(姓名、电子邮件、电话、地址)。

以下 2 个 Ruby gem 对你很有帮助。

属性加密:https://github.com/shuber/attr_encrypted

paper_trail:https://github.com/airblade/paper_trail

HIPAA 是一项不寻常的法律，因为它提出了很多建议(可寻址的项目)和一些断言(必需的项目)，但最终由每个组织自行决定他们需要做什么才能成为兼容。这会产生很大的灵 active ，也会产生很大的不确定性。一般来说，要符合 HIPAA 标准，网站必须至少确保以下所有 protected 健康信息 (ePHI):

传输加密:在通过 Internet 传输时始终加密

备份:永不丢失，即应该备份并且可以恢复

授权:只有经过授权的人员才能使用独特的、经过审核的访问控制访问

完整性:未被篡改或更改

存储加密:存储或归档时应加密

处置:不再需要时可以永久处置

Omnibus/HITECH:位于与您签订 HIPAA 业务伙伴协议(protocol)的公司的网络服务器上(或者托管在内部，并且这些服务器根据 HIPAA 安全规则得到妥善保护要求)。