Is PCI driving the development of information security within healthcare?

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 结合 MCEG 医疗高管关注点榜单指出，PHI 数据泄露风险仅列第 7 位，而当年 OCR 对 HIPAA/HITECH 违规的罚款已超 500 万美元；罚款多源于程序性问题而非高深攻击，预算紧张的医疗组织可借此重新排布安全优先级。

走近 HITRUST CSF：框架以 ISO 27001/27002 为基础，将 NIST、COBIT、PCI、HIPAA、HITECH 等要求统一映射为具体控制项，并附实施指引、审计步骤与经批准的替代控制。

CISO 的汇报线因行业而异：金融企业常将其置于 IT 之外、向首席风险官汇报，医疗行业多由 CIO 兼任，零售业则往往与合规团队绑定。

NetSPI 指出，真正推动信息安全走向成熟的是带重罚的法规与合同标准，而非主观的风险评估：风险方程在经济下行时极易被牺牲，而合规稳定、细致、可评估；医院系统对 PCI 的重视常超过 PHI 数据，理想状态仍是以风险为导向、涵盖合规的整体性方法。