mysql - 使用 MySQL 中的 View 维护 HIPAA 合规性

Question

问题

我们有一个大型网络应用程序，用于存储和显示与 HIPAA 相关的敏感数据。我们目前正在研究提高 HIPAA 合规性并降低违规风险的方法。

目前，有一些功能和报告没有根据登录人员的权限正确限制客户信息(例如，客户搜索功能和某些遗留报告)。

可能的解决方案

从程序的角度处理问题

我们总是可以重写导致不合规的代码部分。问题是，考虑到应用程序的规模，这种方法很容易出错 - 可能会遗漏一些东西。

改变数据库以限制返回的数据

我们可以更改 MySQL 数据库结构以反射(reflect)应用程序所需的必要权限限制。这样一来，没有人可以看到他们不应该看到的数据，因为数据库不会返回他们不应该看到的数据。

我的问题

该应用程序本身有近 300 个表，其中大部分存储某种敏感数据。是否可以(可行)使用 MySQL View 来限制数据访问？

如果是这样，最好的方法是什么？

Answer 1

您可以使用 View 来限制或显示您想要的任何数据，只需调整 View 中使用的查询即可。

您需要将原始表重命名为“原始表”之类的名称，然后将您的 View 命名为原始表的名称。

您的程序不会知道或关心它现在访问的是 View 而不是表。它将像以前一样继续拉取数据。您还可以为不希望为其返回实际值的字段包含空白值或默认值。例如(如果您有一个字段“DOB”并且您不再希望返回出生日期，您可以简单地将“01-01-2001”写为 DOB)。

您可以使用 MYSQL 网站上的示例来创建 View 。

CREATE TABLE t (qty INT, price INT);
mysql> INSERT INTO t VALUES(3, 50);
mysql> CREATE VIEW v AS SELECT qty, price, qty*price AS value FROM t;
mysql> SELECT * FROM v;

http://dev.mysql.com/doc/refman/5.0/en/create-view.html