Prioritization for Healthcare Executives

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 借一则员工谎称患癌请假的故事探讨 PHI 意外泄露面：医院确认「某患者是否在院」、将来电直接转接病房等日常操作本身就可能构成 PHI 披露，可被用于针对性探测就诊记录；建议对接线与探视问询流程加强培训与验证机制。

NetSPI 分析 DLP 在 HIPAA 合规中的局限：DLP 擅长识别卡号、SSN 等结构化敏感数据，但 PHI 形态过于多样、难以用规则自动判定，社交媒体上的口头披露更是无从拦截；唯有培训与高危网站管控等低技术手段配合，才能降低泄露风险。

PCI 合规正迫使医疗机构系统性地思考风险，其催生的跨部门协作团队也开始着手 HIPAA 与 HITECH 合规，带动整个行业安全成熟度提升。

走近 HITRUST CSF：框架以 ISO 27001/27002 为基础，将 NIST、COBIT、PCI、HIPAA、HITECH 等要求统一映射为具体控制项，并附实施指引、审计步骤与经批准的替代控制。

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。