HIPAAコンプライアンスのためにMySQLを保護します

MySQL HIPAA準拠を維持するには、強力なパスワード、ロールベースのアカウント、およびログイン特権の制限を強制することにより、ユーザーアクセス制御を構成します。 1.強力な認証とアクセス制限を実装して、認定ユーザーのみがPHIにアクセスできるようにします。 2. TDEまたはファイルシステム暗号化を使用して安静時の暗号化を有効にし、輸送中のデータにTLS 1.2を施行します。 3. MySQLエンタープライズ監査などのツールを使用して、詳細な監査ログを維持し、異常を監視し、ログストレージを保護します。 4.定期的な暗号化されたバックアップを実行し、安全に保存し、回復プロセスをテストして、データの可用性と整合性を確保します。

MySQL HIPAAに準拠しているだけでなく、ボックスをチェックすることだけではありません。これは、アプリケーションやサービスに使用できる一方で、患者データが保護されたままであることを確認することです。保護された健康情報（PHI）を処理する場合、MySQLはHIPAAの厳格なセキュリティおよびプライバシールールを満たす方法で構成および維持する必要があります。

HIPAAコンプライアンスのためにMySQLを保護する際に焦点を当てる重要な領域は次のとおりです。

1。ユーザーアクセス制御と認証

認定ユーザーのみがMySQLに保存されているPHIにアクセスできることを確認する必要があります。それは、最初から強力なアクセスコントロールを設定することを意味します。

• 強力なパスワードを使用して、パスワードポリシーを実施します。 MySQL 8.0は、 validate_passwordなどのプラグインを介してパスワード筋力チェックをサポートしています。
• さまざまな役割の個別のユーザーアカウントを作成します。全員がルートアカウントを使用しないでください。
• ログイン特権を制限する：ホストを接続できるホストと、各ユーザーがアクセスできるデータベースまたはテーブルを制限します。
• セッションのタイムアウトとアイドル制限を設定して、非アクティブセッションを自動的に切断します。

たとえば、すべてのデータベースへのWebアプリにフルアクセスを提供する代わりに、必要な特定のテーブルにのみ読み取り/書き込みアクセスを備えた専用ユーザーを作成します。

2。安静時および輸送中のデータ暗号化

HIPAAは、保存されているときとネットワークを横切って移動しているときの両方で、機密データの暗号化が必要です。

安静時：
透明なデータ暗号化（TDE）を有効にして、それをサポートするバージョンを使用している場合（MySQL Enterpriseや特定のPerconaビルドなど）。それ以外の場合は、MySQLがデータファイルを保存するファイルシステムまたはボリュームを暗号化できます。

輸送中：
MySQLへの接続には常にTLSを使用してください。これにより、ネットワークトラフィックがクエリのコンテンツやログイン資格情報を見るのを誰でも嗅ぐことができなくなります。 PHIを処理するユーザーアカウントのREQUIRE SSLとすることにより、これを実施できます。

また、古いTLSバージョンまたは弱いTLSバージョンを無効にします - TLS 1.2以上に固執します。

3。監査ロギングと監視

HIPAAは、誰がどのデータといつアクセスしたかを追跡することを義務付けています。つまり、PHIに関連するすべてのデータベースアクティビティを記録することを意味します。

• 一般的なクエリログまたはバイナリログ（ニーズに応じて）を有効にして、データベースアクティビティをキャプチャします。
• MySQLエンタープライズ監査または同様のプラグインを使用して、ログインの試みとクエリのより詳細な追跡を取得します。
• パフォーマンスの問題を回避するために、ログを安全に保管し、定期的に回転させます。
• 疑わしい動作についてログを監視する - ログインの失敗、大規模なデータのエクスポートなど。

可能であればアラートを設定します。たとえば、誰かがフィルタリングなしでSELECT * FROM patientsを実行しようとする場合、それは赤い旗かもしれません。

4.定期的なバックアップと災害復旧

HIPAAは、機密性だけでなく、可用性と完全性もカバーしています。したがって、信頼できるバックアップとテスト済みの回復計画が必要です。

• mysqldump 、 mysqlbackup 、または物理的なスナップショットツールなどのツールを使用して、定期的なバックアップをスケジュールします。
• バックアップファイルを暗号化し、安全な場所、できればオフサイトまたは暗号化されたクラウドストレージに保存します。
• 復元プロセスを定期的にテストします。バックアップするだけでは十分ではありません。必要に応じて迅速に回復できることを知る必要があります。
• 偶発的な削除または腐敗の場合に備えて、バックアップの複数のバージョンを保持します。

バックアップに自動化されたスクリプトを使用している場合は、何かが失敗するかどうかがわかるように、エラーチェックと通知機能が含まれていることを確認してください。

それは基本的にそれです。 HIPAAコンプライアンスのためにMySQLを保護するには、エキゾチックなツールは必要ありませんが、特にアクセス制御、暗号化、ロギングを中心に細部に注意を払います。これらの手順はあまり複雑ではありませんが、スキップしても監査や違反中に露出する可能性があります。

以上がHIPAAコンプライアンスのためにMySQLを保護しますの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。