защита конфиденциальных данных пользователя, здравоохранение SaaS - PullRequest
2 голосов
/ 23 января 2012

Я занимаюсь разработкой SaaS в здравоохранении. Пользователи доверяют моему SaaS свою личную медицинскую информацию.

Я ожидаю, что моя платформа (на основе LAMP) рано или поздно будет взломана, и я ищу способы минимизировать утечку данных.

В настоящее время у меня есть
- пароли пользователей хешированы и засолены
- реальные имена пользователей, номера телефонов указаны в текстовом формате
- личные медицинские данные пользователя в виде простого текста

Я ищу несколько указателей, где искать эту тему. Все комментарии приветствуются!

Ответы [ 2 ]

1 голос
/ 23 января 2012

Звучит так, будто вы над головой, и ожидание взлома безопасности недопустимо. Зайдите на веб-сайт US HHS - конфиденциальность медицинской информации и, как минимум, начните знакомиться с требованиями к управлению данными в США.

0 голосов
/ 10 июля 2012

Есть немного проблем с тем, что вы перечислили до сих пор.

Во-первых, вам, вероятно, нужно сделать больше, чем просто подсчитать и хешировать свой пароль.Вы должны использовать адаптивный алгоритм хеширования, например bcrypt .Обычно хэши спроектированы так, чтобы быть очень быстрыми, что не является очень безопасным свойством, потому что оно допускало атаки методом перебора.Такие вещи, как bcrypt, предназначены для того, чтобы предотвращать эти атаки гораздо медленнее (но при этом быть достаточно быстрыми, чтобы не вызывать проблем с производительностью).

Далее, не может хранить медицинские данные в виде простого текста.Многие медицинские учреждения даже не рассматривают возможность использования вашего программного обеспечения, если все данные «в состоянии покоя» не зашифрованы.Это означает, что вам нужно хранить все ваши данные в зашифрованном виде.Это, очевидно, относится и к отправке данных.

Для получения дополнительной информации ознакомьтесь с HIPAA , в котором говорится о том, что вы можете, чего не должны и не должны делать с медицинскими данными.Соблюдение требований HIPAA почти наверняка будет требованием, если вы хотите продавать это программное обеспечение где угодно.

Что касается более личной заметки, вам следует придерживаться предложения об обмене Healthcare Industry .Было бы неплохо задать такие вопросы, так как многие специалисты, работающие в сфере здравоохранения, помогут вам.

...