Eu tenho a necessidade de implementar criptografia em repouso de dados em nosso ambiente. Basicamente, temos um servidor virtual Hyper-V chamado FILER01 que executa o Windows Server 2012 que tem uma conexão iSCSI direta com um LUN em nossa SAN iSCSI do DELL MD3200i. Esse servidor virtual é configurado apenas para atuar como um servidor de arquivos e apresenta uma pasta compartilhada para um repositório de documentos que só é acessível por duas contas de serviço (uma para nosso aplicativo de gerenciamento de documentos para acessar e exibir os arquivos em sua interface da Web, para o SharePoint eo outro para uma conta de serviço de backup que faz backup dos arquivos). Este servidor virtual está sendo executado em um servidor DELL R820 executando o Server 2012 e possui um módulo TPM incorporado ao BIOS, embora eu não acredite que a funcionalidade do TPM possa ser “passada” para o servidor virtual.
Embora nossos servidores estejam em um data center seguro e protegido, para atender às diretrizes da HIPAA (que considero estão desatualizadas), é necessário garantir que os dados armazenados na SAN sejam criptografados em descansar. Eu fiz uma tonelada de pesquisas, mas parece que não consigo descobrir a melhor opção para proteger os dados. Eu olhei para o EFS, mas isso foi originalmente desenvolvido para o Windows 2000, então eu não sei se isso o torna robusto ou desatualizado. Eu olhei para o BitLocker, que foi originalmente desenvolvido para o cenário "laptop perdido" e usado apenas para proteger a unidade do sistema operacional. Não foi até o Server 2012 que o BitLocker é capaz de oferecer suporte ao iSCSI em unidades de dados (não-SO) , mas não sei se ele é maduro o suficiente para ser usado nesse tipo de ambiente corporativo. Eu também sei que há outros produtos por aí (por exemplo, TrueCrypt) que podem fazer criptografia, mas precisamos saber que o que escolhermos causará a menor quantidade de sobrecarga de processamento e será transparente para nossos aplicativos (de preferência sem fazer alterações no maneira como nosso aplicativo acessa o repositório).
Gostaria de receber feedback de qualquer pessoa que implementou a criptografia em repouso de arquivos de dados em uma SAN em um ambiente do Hyper-V. Qualquer entrada é muito apreciada!
FYI, embora o MD3200i suporte discos de autocriptografia, nós não os temos e seria custo proibitivo (neste ponto) substituí-los.
EFS existe há muito tempo, é verdade. Mas ainda é tão relevante quanto sempre, e satisfaz as diretrizes da HIPAA para criptografar dados em repouso.
Além disso, você não menciona o SQL, mas para qualquer outra pessoa que se deparar com essa questão, consulte também o TDE (criptografia de dados transparente) para criptografar dados do SQL Server de maneira satisfatória para o auditor.