Es algo que hemos hablado muchas veces
Veamos, lo que no es "normal" es que llegue alguien, copie la base de datos y se la lleve. Eso sí que no es normal.
Si hay alguien con "conocimientos" para usar programas externos y conseguir los datos de la BD... entonces ¿están robando?, porque si es la enfermera quien hace eso... ¿qué hay que hacer entonces?, ¿ponerle un guardián a cada trabajador?. Aquí llegaríamos al mismo problema que al de la protección anticopia del software, que por mucha protección que se ponga... se termina copiando.
Entonces, ¿qué puedes hacer?, algo intermedio, por ejemplo, puedes cifrar el nombre del paciente y sus datos personales y si roban la BD entonces verán que "alguien" se rompió la nariz haciendo el salto del tigre, pero no podrán leer de quién se trata porque está cifrado.
Para hacer eso sólamente es necesario cifra el dato al guardar y descifrar al leer, algo muy simple que prácticamente no consume recurso y no afecta en nada más.
Todo lo demás, la verdad, no sirve para nada, salvo poner varios vigilantes junto al servidor, pero incluso así pueden sobornar a los vigilantes.