Q&A: How to Securely Manage Healthcare Data

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 结合 MCEG 医疗高管关注点榜单指出，PHI 数据泄露风险仅列第 7 位，而当年 OCR 对 HIPAA/HITECH 违规的罚款已超 500 万美元；罚款多源于程序性问题而非高深攻击，预算紧张的医疗组织可借此重新排布安全优先级。

NetSPI 借一则员工谎称患癌请假的故事探讨 PHI 意外泄露面：医院确认「某患者是否在院」、将来电直接转接病房等日常操作本身就可能构成 PHI 披露，可被用于针对性探测就诊记录；建议对接线与探视问询流程加强培训与验证机制。

NetSPI 分析 DLP 在 HIPAA 合规中的局限：DLP 擅长识别卡号、SSN 等结构化敏感数据，但 PHI 形态过于多样、难以用规则自动判定，社交媒体上的口头披露更是无从拦截；唯有培训与高危网站管控等低技术手段配合，才能降低泄露风险。

Georgia Tech 信息安全中心发布 2013 年新兴网络威胁预测：除云端僵尸网络、移动浏览器与移动钱包漏洞、恶意代码混淆外，还特别点名供应链中的假冒硬件风险与医疗行业数据安全挑战，值得安全从业者一读。

KPMG 即将代表 HHS 正式开展 HIPAA 隐私审计，此前联邦政府只立规矩不执法，导致医疗行业合规长期缺乏投入。作者类比 PCI DSS 当年的推行过程，预判审计落地将迫使医疗服务提供方真正为隐私与安全项目配置资源。