向ILM缓慢迁移

美国企业存储集团公司的分析师Peter Gerr先生认为，HIPAA要求长期存储医疗记录，这就要求医疗保健服务机构不仅要购买更多的存储设备，还要建立管理这些存储设备的策略。一家普通医院每年产生50TB～70TB的核磁共振图像和数字化的X射线断层扫描数据。在有些情况下，甚至需要把这些数据保留几十年。

案例：美国西北纪念医院（Northwestern Memorial Hospital）为了遵守HIPAA保护病人信息的要求，它所做的第一件事就是购买了一个12TB的EMC Symmetrix服务器。

该医院技术管理总监Mike Carper说，购买存储区域网络（SAN）来存储和管理电子邮件、用户文件等内容还仅仅是开始。为了遵守HIPAA，这家医院不仅升级了医院网络、访问控制软件，甚至把其中的5700台客户端PC升级到了通用版Windows XP。用户现在可以把数据保存在SAN中而不是本地硬盘上。

Carper先生表示，他们正在把HIPAA当做制订数据存储策略的工具，事实上有没有法规管理，制订数据存储策略都是他们医院必须面对的问题。

西北纪念医院还把HIPAA当做全面升级其安全保障能力的机会。它正在用Novell公司的NetWare软件提供基于角色的访问控制和检查能力，用它来检查哪个用户在什么时候访问过哪些文件。与此同时，他们利用Novell的ZENworks管理软件提供基于角色的应用程序访问，当负责数据输入的职员登录时，他看到的应用程序与医生看到的截然不同，各自所能够访问的应用程序也都是受权限控制的。

另外一家名为Maimonides的医疗中心大约两年半以前将系统迁移到了两个地理上相互分离的SAN。其资深技术服务总监Mark Moroses说，那时遵守HIPAA并不是他的目的，当时的目标是为了解决电子医疗记录应用程序中数据增长的问题，以及满足美国已有的州和联邦关于病人记录至少存储7年的要求。

满足HIPAA关于过往记录的要求，实际上就是“把更多的日志文件保留更长时间”。此外可以通过采用第二个复制了病人数据的SAN来满足HIPAA的灾难恢复要求。不少SAN管理软件提供商与存储服务器硬件提供商都能提供类似的解决方案，可以支持来自不同厂商的存储设备。

此外，美国路易斯安那州自然资源局的集团福利办公室购买了5TB的IBM企业存储服务器，部分是为了满足HIPAA的要求。新系统将曾经存储在大约20个服务器上的数据归并到一起。其CIO表示，这个SAN系统加上基于策略的访问控制软件和用于认证用户的指纹扫描器，一共花费了75万美元。不过他同时表示，由于提高了生产效率，改善了客户服务水平，所以他们所节省的至少和付出的一样多。（何娴/文）

（出处：清风学院）