โครงสร้างพื้นฐานของเราโฮสต์บน Google Cloud และใช้อินสแตนซ์ postgresql ผ่าน Cloud SQL
ฉันต้องกำหนดค่าการบันทึกเพื่อให้สอดคล้องกับ HIPAA ฉันได้อ่าน 2 บทความจากเอกสารประกอบของ Google:
https://cloud.google.com/logging/docs/audit/configure-data-access#config-console https://cloud.google.com/sql/docs/postgres/pg-audit#overview
การพูดคุยครั้งแรกเกี่ยวกับการเปิดใช้งานบันทึกการตรวจสอบจากภายใน IAM ที่นี่ฉันสามารถเลือก Cloud SQL และเปิดใช้งานบันทึก r+w สำหรับข้อมูลและผู้ดูแลระบบ
ครั้งที่สองพูดถึง PgAudit และตั้งค่าสถานะต่อไปนี้ pgaudit.log=ทั้งหมด
ฉันมีคำถามสองสามข้อ:
ทั้งหมด หรือมีค่าอื่นที่เหมาะสมตามที่กล่าวไว้ใน ลิงค์นี้ แบ่งปันโดย @Mousumi , PgAudit ขอแนะนำ
วิธีที่แนะนำสำหรับการตรวจสอบใน Cloud SQL สำหรับ PostgreSQL คือส่วนขยาย pgAudit; ดู การตรวจสอบ PostgreSQL โดยใช้ pgAudit.
ก็อย่างที่กล่าวไป ที่นี่สำหรับ Cloud SQL และผลิตภัณฑ์อื่นๆ ที่รองรับ Google จะทำข้อตกลงผู้ร่วมธุรกิจ (BAA) กับลูกค้าตามความจำเป็นภายใต้ HIPAA อย่างไรก็ตาม ในท้ายที่สุด ลูกค้าต้องรับผิดชอบในการประเมินการปฏิบัติตาม HIPAA ของตนเอง เนื่องจากขาดการรับรองใด ๆ ที่ได้รับการยอมรับจาก HHS ของสหรัฐอเมริกาสำหรับ HIPAA
เพื่อตอบคำถามแรก:
มีบันทึกการตรวจสอบสองประเภทสำหรับ IAM:
บันทึกเหล่านี้ส่วนใหญ่จะใช้ในการตรวจสอบ การดำเนินงานด้านการบริหารและบำรุงรักษา ทำบนอินสแตนซ์ Cloud SQL
ในทางตรงกันข้าม การตรวจสอบฐานข้อมูลใน Cloud SQL สำหรับ PostgreSQL มีให้ใช้งานผ่านส่วนขยาย pgAudit แบบโอเพนซอร์ส เมื่อใช้ส่วนขยายนี้ คุณสามารถเลือกบันทึกและติดตามการทำงานของ SQL ที่ดำเนินการกับอินสแตนซ์ฐานข้อมูลที่กำหนดได้ ส่วนขยายช่วยให้คุณมีความสามารถในการตรวจสอบเพื่อตรวจสอบและบันทึกชุดย่อยที่เลือกของการดำเนินการ ส่วนขยาย pgAudit ใช้กับ ดำเนินการคำสั่ง SQL และแบบสอบถาม. สำหรับรายละเอียด คุณสามารถดูได้ที่ ลิงค์.
และเพื่อตอบคำถามที่สอง:
ส่วนขยายการตรวจสอบ PostgreSQL (pgAudit) ให้การบันทึกเซสชันและ/หรือการตรวจสอบออบเจกต์อย่างละเอียดผ่านเครื่องมืออำนวยความสะดวกในการบันทึก PostgreSQL มาตรฐาน เป้าหมายของ pgAudit คือเพื่อให้ผู้ใช้ PostgreSQL มีความสามารถในการสร้างบันทึกการตรวจสอบซึ่งมักจำเป็นเพื่อให้สอดคล้องกับใบรับรองของรัฐบาล การเงิน หรือ ISO
pg.auditlog สามารถรับค่า read, write, function, role, ddl, misc, misc_set, all, none คุณสามารถจัดเตรียมหลายคลาสโดยใช้รายการที่คั่นด้วยเครื่องหมายจุลภาค และลบคลาสโดยนำหน้าคลาสด้วยเครื่องหมาย - ค่าเริ่มต้นคือไม่มี
การบันทึกคำสั่งพื้นฐานสามารถจัดเตรียมโดยเครื่องมืออำนวยความสะดวกการบันทึกมาตรฐานที่มี log_statement = allสิ่งนี้เป็นที่ยอมรับสำหรับการตรวจสอบและการใช้งานอื่น ๆ แต่ไม่ได้ให้รายละเอียดในระดับที่จำเป็นโดยทั่วไปสำหรับการตรวจสอบ การมีรายการการดำเนินการทั้งหมดที่ดำเนินการกับฐานข้อมูลนั้นไม่เพียงพอ นอกจากนี้ยังต้องสามารถค้นหาข้อความเฉพาะที่เป็นที่สนใจของผู้สอบบัญชีได้ สิ่งอำนวยความสะดวกการบันทึกมาตรฐานจะแสดงสิ่งที่ผู้ใช้ร้องขอ ในขณะที่ pgAudit มุ่งเน้นไปที่รายละเอียดของสิ่งที่เกิดขึ้นในขณะที่ฐานข้อมูลตอบสนองคำขอ
สำหรับการปฏิบัติตาม HIPAA ภายใต้การป้องกันทางเทคนิค มีการกล่าวถึงการแนะนำบันทึกกิจกรรมและการควบคุมการตรวจสอบ คุณอาจหมายถึง ลิงค์ สำหรับรายละเอียดเพิ่มเติม
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
