标准在SQL Server中SOX/HIPAA对数据进行加密200X

Question

如果有对数据库加密敏感数据，符合W/SOX或HIPAA任何标准我想知道。或者SQLServer中的加密函数是否必要？或在业务逻辑中处理。

我们有任何意见或链接。

Answer 1

首先，谷歌对HIPAA合规

然后，阅读像这样的文章：http://www.developer.com/java/ent/article.php/3301011/HIPAA-Security-Rule---What-Software-Developers-Should-Know.htm

这http://www.hipaa.ihs.gov/index.cfm?module=compliance_packet

最后，谈谈贵公司的法律顾问。由于整个HIPAA合规策略基于StackOverflow上的响应，未能妥善保护PHI会使您的公司损失数百万美元。

Answer 2

在我所在的一家公司，他们遵守信用卡保护规定，创建了一把钥匙，然后用大锤销毁了硬盘，这样就没有人能够获得创建该钥匙的信息。

虽然他们使用的Oracle数据库他们创建自己的密钥来加密的信用卡。

对于HIPAA合规性，我不会相信数据库所做的任何加密，因为它可能没有您需要的安全性，并且您的公司处于任何故障的状态。

最好的办法是控制自己的关键，而不是在数据库或服务器的关键。

在应用程序或服务器应用程序启动时是否需要输入密钥，但正如S.Lott指出的那样，您的法律顾问需要参与审查设计以确保涵盖所有问题。

Answer 3

SQL Server 2008加密API已通过Common Criteria合规性认证：Common Criteria Certification。