Поставщики членства и соответствие требованиям HIPAA

Question

Кто-нибудь знает, соответствуют ли предоставленные поставщикам членства SQL и Active Directory в ASP.NET 2.0+ совместимыми с HIPAA?

Разъяснение:

Я понимаю, что HIPAA мандаты информации о пациенте быть надежно закреплена и что некоторые политики будут приняты для обеспечения доступа к этой информации. Могут ли Microsoft SQL и AD Membership Providers использоваться для обработки аутентификации пользователей, обращающихся к этой информации? Я ожидаю, что там будут какие-то политики, которые необходимо установить как длина и сложность пароля, но есть ли что-то наследуемое о том, как они хранят информацию, которая лишает их права на авторизацию? Какие бывают проблемы или вещи, на которые нужно обратить внимание?

Answer 1

Это зависит от того, что вы хотите с ними делать, но, короче говоря, да. HIPAA - все о стандартах для защиты ваших данных; стандарты не являются особенно суровыми, если у вас есть способ обеспечить безопасность. Таким образом, это очень похоже на ISO 9001; пока вы определяете политику безопасности и придерживаетесь ее, вы в порядке. Указанные поставщики - эффективные инструменты.

Таким образом, вам может потребоваться сделать некоторые дополнительные сведения с вашими данными, чтобы убедиться, что он доступен только из вашего приложения; вероятно, будет необходим некоторый уровень предварительного шифрования. Просто поймите, что это, вероятно, не должно быть ТЯЖЕЛЫМ шифрованием; очень светлый, если вы согласны с его применением.

Answer 2

Я бы сказал, что из коробки это не HIPAA совместимый.

. Чтобы узнать, как создать новое веб-приложение, используя только страницу default.aspx и, возможно, страницу входа в систему. Затем нажмите «Настройка ASP.NET» на панели инструментов Solution Explorer, чтобы запустить приложение конфигурации (вы также можете сделать это из IIS, если там размещен ваш сайт). Настройте значения по умолчанию, решив использовать AspNetSqlProvider для всех функций.

Это создаст ASPNETDB.MDF в вашей папке App_Data. Щелкните его правой кнопкой мыши и выберите «Открыть». Это откроет его в Server Explorer, где вы сможете посмотреть все созданные таблицы.

Вы обнаружите, что пароль хранится в таблице aspnet_Membership вместо обычного текста. Это хорошая вещь. Однако адрес электронной почты также сохраняется в ящике. Если я помню свой тренинг HIPAA четыре года назад, это PII, и он должен по крайней мере сделать вид особенным. Как бы то ни было, любой, кто имеет доступ к базе данных, может найти адрес электронной почты любого участника.

---

Редактировать на основе обновления:

Если вы только говорить об их использовании для аутентификации и авторизации, я бы сказал, что ты в порядке. Вам нужно будет игнорировать адрес электронной почты.

Answer 3

Надеюсь, что это так;) В настоящее время мы используем Поставщик членства 2.0 с ADAM LDAP в компании медицинского страхования, в которой я работаю. HIPAA и PHI - это название игры здесь, и эта настройка прошла через наш юридический отдел.