機密（HIPAA）SQL Server標準データとログファイルを保護する方法

私は電子保護された健康情報（ePHIまたはPHI）を扱っており、HIPAA規制では、許可されたユーザーのみがePHIにアクセスできるようにしています。列レベルの暗号化は、一部のデータにとっては価値があるかもしれませんが、名前などのPHIフィールドの一部を検索するような機能が必要です。

透過的データ暗号化（TDE）は、データベースとログファイルを暗号化するためのSQL Server 2008の機能です。私が理解しているように、これにより、MDF、LDF、またはバックアップファイルへのアクセスを取得したユーザーは、ファイルが暗号化されているため、ファイルに対して何もできなくなります。TDEはSQL Serverのエンタープライズバージョンと開発者バージョンにのみ搭載されており、エンタープライズは特定のシナリオではコストがかかりすぎます。SQL Server Standardで同様の保護を取得するにはどうすればよいですか？データベースとバックアップファイルを暗号化する方法はありますか（サードパーティツールはありますか）？または、ディスクが別のマシン（LinuxまたはWindows）に接続されている場合、ファイルが使用されないようにする方法はありますか？

同じマシンからファイルへの管理者アクセスは問題ありませんが、ディスクが取り外されて別のマシンに接続された場合の問題を防止したいだけです。そこにあるこの解決策のいくつかは何ですか？

HIPAAの一般的な提案は、PCIデータセキュリティ標準（PCI-DSS）に従うことです。ただし、「PHI」と言う「カード所有者情報」または「アカウント情報」と言うところは例外です。私の会社（ヘルスケア業界、PHIを扱う）は、PCI-DSSを主要な出発点として、常識の健全な量（たとえば、データを常に暗号化する（またはセキュリティで保護されたネットワークに限定する）を常に行う）として使用します。

ある種の列レベルの暗号化は、機密データを扱う場合にはほとんど常に良い考えであり、訴訟の潜在的なコストを考えると、考慮すべきことが山ほどあります。

データベーステーブルのデータを暗号化する必要があるPHIを保護する必要があります。最善の方法は、列レベル内のデータを暗号化することです。これらのフィールドでの検索は高価になりますが、それは高度なセキュリティのコストです。

私の本「Securing SQL Server」の第2章で、さまざまなデータ暗号化オプションについて説明しています。