Observations from HIMSS

X 光片含约 2% 的银，等待销毁的胶片常无人看管，已被窃贼盯上——宾州三家机构中招，甚至有人假扮胶片销毁公司行窃。虽然动机是白银而非身份盗用，机构仍须承担泄露通知流程的费用。作者建议将 X 光片纳入门禁与监控管理，或数字化后安全销毁实体胶片。

Mayo Clinic 成立 Center for Social Media，帮助医务人员与患者学会安全、负责任地使用社交媒体。随着医院共享 EMR、医生协作日益频繁，不慎发布 PHI 的风险随之上升。作者认为该中心的政策设计、培训材料与滥用案例分析，比简单屏蔽 Facebook 更对症。

HIMSS 大会的热门话题是满足 “Meaningful Use” 要求以申请 EHR 激励资金，其中隐私与安全项要求全面符合 HIPAA 隐私与安全规则、完成安全风险评估。作者强调合规不能只覆盖 EMR 应用，还须涵盖处理、存储或传输 PHI 的所有小型应用与医疗设备。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 结合 MCEG 医疗高管关注点榜单指出，PHI 数据泄露风险仅列第 7 位，而当年 OCR 对 HIPAA/HITECH 违规的罚款已超 500 万美元；罚款多源于程序性问题而非高深攻击，预算紧张的医疗组织可借此重新排布安全优先级。

NetSPI 借一则员工谎称患癌请假的故事探讨 PHI 意外泄露面：医院确认「某患者是否在院」、将来电直接转接病房等日常操作本身就可能构成 PHI 披露，可被用于针对性探测就诊记录；建议对接线与探视问询流程加强培训与验证机制。