合规 vs 风险

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 撰文指出 PCI DSS 的影响已远超零售/酒店行业：PA-DSS 将自愿性的 PABP 转变为软件供应商必须遵守的强制标准，而医疗、高校等机构大多仍处于否认阶段，尚未意识到 PCI 义务与 HIPAA 合规的叠加，行业正经历类似悲伤五阶段的接纳过程。

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

2020 年美国超 2900 万条医疗记录泄露（同比增长 25%），专家围绕 HIPAA 与 HITECH 法案、基于风险的安全方法、威胁建模与设计评审，以及医疗数据上云的安全考量展开讨论。

HIPAA、PCI-DSS、NERC-CIP 等合规框架能证明你合规，却不能保证你安全。文章主张从勾框式合规思维转向基于风险的行动框架，对互联网暴露资产开展持续监测与评估。