The Danger of Retaining Data

安全应贯穿整个开发生命周期，而非上线前的最后一次检查。作者勾勒了软件安全保证计划的应有组成，以及落地时绕不开的预算现实。

PCI-SSC 社区会议的三大主题：推动「安全高于合规」的理念、对基于风险方法的谨慎态度，以及与 NIST、FISMA 等法规标准的日趋趋同。

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

NetSPI 指出，真正推动信息安全走向成熟的是带重罚的法规与合同标准，而非主观的风险评估：风险方程在经济下行时极易被牺牲，而合规稳定、细致、可评估；医院系统对 PCI 的重视常超过 PHI 数据，理想状态仍是以风险为导向、涵盖合规的整体性方法。

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

Theodore J. Kobus III 在美国医疗风险管理协会年会上发布了医疗数据泄露 A 到 Z 清单。作者重点解读两条：Q——不再需要的数据尽早清除，每保留一条数据就多一份责任；A——承认泄露迟早会发生，像演练应急预案一样训练员工响应，避免既挨罚又损声誉。