HIPAA 隐私审计——我会有多惨？

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

HIMSS 大会的热门话题是满足 “Meaningful Use” 要求以申请 EHR 激励资金，其中隐私与安全项要求全面符合 HIPAA 隐私与安全规则、完成安全风险评估。作者强调合规不能只覆盖 EMR 应用，还须涵盖处理、存储或传输 PHI 的所有小型应用与医疗设备。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 结合 MCEG 医疗高管关注点榜单指出，PHI 数据泄露风险仅列第 7 位，而当年 OCR 对 HIPAA/HITECH 违规的罚款已超 500 万美元；罚款多源于程序性问题而非高深攻击，预算紧张的医疗组织可借此重新排布安全优先级。

NetSPI 梳理 FTC Red Flag 规则在医疗行业的波折：《Red Flag Program Clarification Act》将多数医师移出「债权人」范畴，但身份盗用防护计划仍有价值——可减少坏账与冒名就医损失、遏制滥用他人病历的行为，HITRUST CSF 可作为落地框架。

NetSPI 借一则员工谎称患癌请假的故事探讨 PHI 意外泄露面：医院确认「某患者是否在院」、将来电直接转接病房等日常操作本身就可能构成 PHI 披露，可被用于针对性探测就诊记录；建议对接线与探视问询流程加强培训与验证机制。