В одной из компаний, где я работал, по обеспечению соблюдения требований по защите кредитных карт они создали ключ, а затем уничтожили этот жесткий диск кувалдой, чтобы никто не мог получить информацию, которая использовалась при создании этого ключа.
Хотя они использовали базу данных Oracle, они создали свой собственный ключ для шифрования кредитных карт.
В отношении соответствия HIPAA я бы не стал доверять никакому шифрованию, выполняемому базой данных, так как она может не обеспечивать необходимую безопасность, и ваша компания готова к любым сбоям.
Лучше всего контролировать ключ самостоятельно, а не иметь ключ в базе данных или на сервере.
Иметь ключ, который необходимо ввести при запуске приложения или серверного приложения, но, как отметил С.Лотт, вашему юрисконсульту нужно будет принять участие в рассмотрении проекта, чтобы убедиться, что все проблемы покрыты.