HITRUST Part 4 Looking Forward

HITRUST 认证只证明组织达到行业商定的安全基线，并不等同于 HIPAA 或 CSF 内其他标准的合规。作者澄清了这一认证真正的含义与边界。

HITRUST 作为营利性行业联盟，构建了 Common Security Framework（CSF）以理顺医疗行业纷杂的法规要求，并基于行业商定的控制基线提供认证。

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

走近 HITRUST CSF：框架以 ISO 27001/27002 为基础，将 NIST、COBIT、PCI、HIPAA、HITECH 等要求统一映射为具体控制项，并附实施指引、审计步骤与经批准的替代控制。

DEA 于 2011 年 10 月 16 日就管制药物电子处方（EPCS）认证发布澄清，并公示了一家获批认证机构，引发 NetSPI 资质疑问。依据 21 CFR 1311.300(a)，通过具备资质的第三方审计（SysTrust/WebTrust/SAS 70 或 CISA 主导）同样是合法路径。作者提醒选购认证服务时警惕低价盖章式机构。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。