「キーサーバー」の作成（AWSとのHIPAA準拠）
私はHIPAAコンプライアンスを実装しようとしている小さな会社の一部です。弁護士等を募集しておりますので、法的アドバイス等は一切受け付けません。
私が読んだことからのHIPAAの基本的な精神：
- 許可された人だけがPHIにアクセスできるようにします。
- 転送中および保存中のデータが暗号化されていることを確認します。
私はいくつかのグーグル（AWSホワイトペーパー、hipaaホスティングなど）を実行し、皆さんが次のスキームについてどう思っているのか疑問に思っていました。
- すべてのクライアントリクエストを処理するRailsフロントエンドアプリケーションコード（Heroku/AWS）。すべてのファイはHTTPS経由で送信されます。
- 集中化された暗号化サーバーに送信されて暗号化されるデータ。
- 暗号化サーバーは、暗号化されたデータをデータベースサーバー（おそらくAWS）に送信します。
これにより、サーバーの強化のほとんどを暗号化サーバーにオフロードしたり、キーをデータから分離したりできます。このようなシステムをセットアップした経験や洞察はありますか？または、HIPAAのためのこのようなシステムでさえ具体的には？セキュリティの観点からも良い考えですか？また、単に「暗号化サーバー」をホストしている会社を見つけるのに苦労しています。そのようなことに特化している会社はありますか？
HIPAA要件は、十分に強力ではありません。簡単に言うと、保存されている医療記録を暗号化する必要があり、壊れたプリミティブを使用できないことは明らかです。システムを監査する人は、おそらくAESを見たいと思うでしょう。これは簡単にサポートできます。AmazonRDS MySQLインスタンスは、すでにaes_encrypt（）およびaes_decrypt（）関数を使用して、これをすでにサポートしています。
HIPAAとPCI-DSSが不十分なのは、どの動作モードを使用する必要があるのかが明記されていない場合です。実際、MySQLのaes_encrypt（）はECBモードを使用しています。これは恐ろしいことです。さらに、この層で暗号化を使用するときにセキュリティを強制することには問題があります。 aes_encrypt（）は、すべてのクエリをログに記録するようにmysqlを設定することで簡単に破られます。 AESキーはアプリケーションに埋め込まれている必要があるため、攻撃された場合、攻撃者は構成ファイルから値を読み取り、レコードにアクセスできます。これは、アプリケーション内のデータを暗号化し、暗号化テキストをデータベースに送信することで回避できる2つの障害ポイントです。しかし、HIPAAはこの問題を気にしません。アプリケーションの分析にCISSPを要求するなど、HIPAAの他の要件はより重要です。
したがって、この自慰行為のセキュリティ機能をスプーンで与える必要はありません。安全なシステムを実装することをお勧めしますが、HIPAAは十分に配慮された設計ではありませんでした。