数据泄露术语大全

许多组织的应急响应（IR）计划审计时无懈可击，真实事件发生时却乱了阵脚：培训被视为一次性投入、桌面推演无法模拟真实压力，凌晨三点的实战并非人人胜任；建议把测试场景结合灾备演练持续检验。

社交媒体对医疗组织既是助力也是隐患。作者批评从 “温和引导” 到 “1984 式管控” 的过度政策和上班时间屏蔽 Facebook、Twitter 的做法注定无效——员工用手机照样能发。真正可行的是教育培训加上合理限制，让员工明白何种信息不可外泄。

X 光片含约 2% 的银，等待销毁的胶片常无人看管，已被窃贼盯上——宾州三家机构中招，甚至有人假扮胶片销毁公司行窃。虽然动机是白银而非身份盗用，机构仍须承担泄露通知流程的费用。作者建议将 X 光片纳入门禁与监控管理，或数字化后安全销毁实体胶片。

Mayo Clinic 成立 Center for Social Media，帮助医务人员与患者学会安全、负责任地使用社交媒体。随着医院共享 EMR、医生协作日益频繁，不慎发布 PHI 的风险随之上升。作者认为该中心的政策设计、培训材料与滥用案例分析，比简单屏蔽 Facebook 更对症。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 借一则真实案例强调数据保留的风险：一家倒闭科技公司的员工 SSN、薪资与医疗档案随文件柜被拍卖流转，最终触发州法律下的数据泄露通知义务；建议组织落实数据分类、保留与销毁策略——不再需要的敏感数据应尽快清除。