通过 Active Directory 服务维护信息安全合规性

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

NetSPI 撰文指出 PCI DSS 的影响已远超零售/酒店行业：PA-DSS 将自愿性的 PABP 转变为软件供应商必须遵守的强制标准，而医疗、高校等机构大多仍处于否认阶段，尚未意识到 PCI 义务与 HIPAA 合规的叠加，行业正经历类似悲伤五阶段的接纳过程。

NetSPI 指出，真正推动信息安全走向成熟的是带重罚的法规与合同标准，而非主观的风险评估：风险方程在经济下行时极易被牺牲，而合规稳定、细致、可评估；医院系统对 PCI 的重视常超过 PHI 数据，理想状态仍是以风险为导向、涵盖合规的整体性方法。

HIPAA、PCI-DSS、NERC-CIP 等合规框架能证明你合规，却不能保证你安全。文章主张从勾框式合规思维转向基于风险的行动框架，对互联网暴露资产开展持续监测与评估。

演示使用 PowerUpSQL 以普通域账户批量发现可登录的域内 SQL Server、枚举 SQL 登录名并审计弱口令，这些弱口令常可直接获得 sysadmin 权限进而提升域内权限。

PCI 安全标准委员会（SSC）向公众开放了 2.0 版合规报告（ROC）报告说明——此前仅 QSA 审计员掌握的 “记分卡”。文档要求针对每项需求执行观察配置、审阅文档、访谈人员、抽样等验证步骤。企业从此可以按审计员的同一标准自评控制措施，不必再盲猜如何达标。