Wie können SQL Server-Daten am besten verschlüsselt / entschlüsselt werden, um zu verhindern, dass selbst Entwickler sie sehen?

Hier ist ein interessantes Problem, und ich suche nach einem Muster, das alles funktionsfähig hält.

Ich baue eine Smart-Client-App für ein Schulsystem. Es enthält Informationen über Schüler einschließlich ihrer Zeugnisse, Krankheitstage und so weiter. Es werden Berichte auf Schülerebene erstellt, einschließlich ihrer Zeugnisse, die alle mit sehr persönlichen Kommentaren ihrer Lehrer versehen sind. Die App ruft Daten über Webdienste vom Remote-Server ab.

Die Daten sind also ziemlich vertraulich. Ich werde es in der Datenbank verschlüsseln und es beim Abrufen entschlüsseln - kein Problem dort.

Das Problem ist, dass mein Team und ich nie die Produktions-Klartextdaten sehen sollten. Ein interessantes Problem ergibt sich dann für die Untersuchung von Produktionsfehlern! Wir wollen den gleichen Datensatz wie der Benutzer öffnen, um zu sehen, was er sieht. Aber wenn wir das tun, verletzen wir die Vertraulichkeit.

Mein Gedanke ist das und es ist nicht perfekt.

• Verschlüsseln Sie zuerst die Daten, bevor Sie sie in der Datenbank speichern, entschlüsseln Sie sie auf der Benutzeroberfläche. Nichts neues da.
• Zweitens, fügen Sie einen Mechanismus in die Benutzeroberfläche ein, um privilegierte Daten zu verschleiern. (d. h. Namen und Lehrererzählung sind privilegiert; Klassenstufe ist nicht.) Ich werde sie nicht verschlüsseln, aber verschleiern - selbst eine einfache Schlüsselverschiebung würde ausreichen. Der Grund dafür ist, dass diese Berichte voller Text sind. Wenn ich einen Absatz verschlüssle und das Ergebnis in einem Bericht zeige, wird es eine feste Wand aus Großbuchstaben sein, die nicht wie der ursprüngliche Text aussieht. Wenn ich die alphabetischen Zeichen nach oben verschiebe, wird es nicht lesbar sein, aber immer noch wie Absätze, Sätze, Aufzählungen und ähnliches aussehen. Es ist einfacher zu sehen, was schief läuft, ohne visuelle Komplikationen hinzuzufügen.
• Drittens habe ich eine Konfigurationseinstellung vorgenommen, um diese UI-Verschleierung nur für Mitglieder von Say, der SysAdmin-Rolle, nicht von Teacher oder SchoolAdmin durchzuführen. Während der Entwicklung setze ich diese Konfiguration auf False und wir entwickeln gegen falschen Klartext. Für die Produktion setzen wir es auf True, und von diesem Punkt an sehen wir nur noch verschleierten Text.

Schließlich müssen wir in den Fällen, in denen wir unbedingt den Klartext der Datensätze eines Studenten sehen müssen, eine Überschreibungseinstellung in der Benutzeroberfläche vornehmen, die die Konfigurationseinstellung ablehnt und den Klartext anzeigt. Und das schaffen wir auf menschlicher Ebene - indem wir die Schulverwaltung informieren, dass wir an DIESEM Datum aus DIESEM Grund die Unterlagen dieses Schülers sehen müssen, etc. Unterschriften werden unterschrieben, murrende Zustimmung gegeben, Anwälte werden zu ihren Jets geschickt, spülen und wiederholen.

Gedanken? Ich fühle, dass dies muss ausgetretener Boden sein. Bitte helfen Sie mir, wenn möglich, diesen Plan zu verbessern.