HIPAA 合规：规则、要求与最佳实践

HIPAA 是一项联邦法律，旨在保护医疗领域中敏感的患者信息，包括医疗记录、个人详细信息以及其他可识别数据。它主要作为隐私保障措施，用于防止对个人信息的未经授权访问，同时也有助于促进患者、医疗服务提供者以及处理这些数据的其他机构之间建立信任。因此，该法律适用于医院和医疗服务提供者等初级医疗机构，以及保险公司、数据处理方和其他能够访问患者信息的相关方。

为何 HIPAA 合规至关重要

在当今医疗行业中，HIPAA 对于保护患者数据并确保符合要求的 IT 运维至关重要，并且能够提供符合行业标准网络安全协议的防护措施。因此，达成并维持 HIPAA 合规不仅是为了满足法规要求，也是数字安全的重要组成部分。

本指南将深入探讨 HIPAA 合规法规的细节、受监管实体达到 HIPAA 标准所需的条件，以及 HIPAA 如何与其他防护措施协同工作以提升安全性。在 Netwrix，我们帮助组织通过“以身份为先”的安全策略来保护敏感数据，因为 HIPAA 合规既是监管要求，也是数据安全挑战。Netwrix 解决方案通过审计和 DSPM 提供可视性，通过身份和 Privileged Access Management来强化控制，并通过目录与身份治理自动化合规。这些能力帮助医疗机构持续保持合规与安全。

HIPAA 合规是什么？

Health Insurance Portability and Accountability Act（HIPAA）于 1996 年制定，是一项美国法律，为保护个人或敏感的医疗健康信息制定了联邦标准，尤其是关于在未取得患者同意的情况下披露该信息的相关规定。该法律由五项额外规则支撑，其中包括由美国卫生与公众服务部（HHS）制定并用于执行 HIPAA 要求的 HIPAA Privacy Rule，以及负责监督以数字形式创建、存储或传输的任何健康信息保护工作的 HIPAA Security Rule。

HIPAA 监管任何管理或处理患者数据的实体，例如医疗服务提供者、保险公司，或为处理该数据而提供服务的 IT 供应商，并就如何防止该信息发生泄露或数据泄密事件设定了保护预期。该法律还保障患者对其个人信息的保密权，同时使患者能够与值得信赖的相关方分享医疗细节。

在实际落地中，HIPAA 合规政策包括为保护患者个人数据而采取的任何措施，例如对信息进行加密、对系统进行审计、执行安全规则、任命隐私官，或对员工开展安全最佳实践培训。

HIPAA 的核心规则与标准

如前所述，HIPAA 主要由另外五条规则支撑，这些规则规定了对患者的 Protected Health Information (PHI) 的保护措施。

第一项是 Privacy Rule，它规定 PHI 的使用和共享方式。具体而言，该规则指出，只有获得授权的医护人员以及相关个人才能访问 PHI，并且 PHI 应仅用于医疗或支付等原因。除上述情况外，只有在获得患者明确的书面许可时，才允许共享这些信息。

第二条规则是 Security Rule，它通过制定用于保护以电子形式存储或处理的 PHI 的标准来支持 Privacy Rule。这些标准分为三类：管理性保护措施、技术性保护措施和物理性保护措施。(稍后将提供有关这些保护措施的更多细节。)

第三项是 Breach Notification Rule。如其名称所示，该规则规定了受监管实体应如何报告和应对 PHI 泄露（breach），并设定了要求：必须迅速向所有受覆盖实体、媒体以及美国卫生与公众服务部（U.S. Department of Health and Human Services, HHS）报告此类事件。

接下来是 Omnibus Rule，它是 2013 年对 HIPAA 的补充，旨在加强对以数字方式存储的 PHI 的保护。具体而言，该规则扩大了 HIPAA 对“受监管实体”的定义，将任何在其业务运营中创建、维护、发送或接收 PHI 的组织都纳入其中。

最后是执行规则（Enforcement Rule）。这项第五项规定涵盖了受监管实体在发生任何侵犯患者隐私的行为时可能面临的处罚，包括为营销或销售使用 PHI。

为符合 HIPAA 规定，组织通常会通过遵循《Security Rule》中概述的最佳实践来重点保护 PHI。这些实践的许多方面都可以借助专用的 IT 安全软件更有效地落地实施。尤其是：

• HIPAA 访问控制 最适合通过以下方式来实施： Netwrix Privileged Access Management ，它可消除长期的管理员权限，强制启用 MFA，并记录会话以确保随时具备完整审计就绪能力。
• 审计控制 可以借助 Netwrix Data Security Posture Management (DSPM) 以及审计解决方案来加强。 Netwrix Auditor 提供可满足 HIPAA 要求的报告和统一的审计追踪；同时， Netwrix Access Analyzer 可实现持续的访问审查，识别 PHI 暴露，并支持 DSAR 响应并附上合规证明。
• 完整性控制 可以通过以下方式验证： Netwrix Change Tracker ，它是 Endpoint Management 解决方案的一部分，可监控未授权的配置修改、验证文件完整性，并确保系统在面对 HIPAA 违规时保持加固状态。
• 传输安全 并且可以借助诸如 Netwrix Endpoint Protector 之类的端点保护软件来增强通信的整体安全性。它可强制实施加密、阻止未经批准的传输，并防止通过电子邮件、USB 和云端上传泄露 PHI。
• 风险监控 应当通过 Netwrix ITDR 来加强。该方案可检测凭据滥用、内部威胁，以及 AD/Entra ID 中的 权限提升（privilege escalation） 尝试，并实现实时发现。与 Netwrix DSPM 以及 Threat Manager 配合使用，医疗机构即可在这些问题演变为 HIPAA 违规之前，及时发现 PHI 暴露、影子数据、勒索软件以及横向移动。

虽然安全栈应包含这些要素以实现全面防护，但对医疗服务提供者及其合作方而言，为了保持合法合规，部署这些工具尤为重要。

HIPAA 合规要求

实现并维持 HIPAA 合规需要以清晰且易于传达的安全措施为指引的、持续的安全与隐私文化。不仅仅是建立预期的保护措施，HIPAA 合规的最佳实践还包括使内部标准与 HIPAA 规定和框架正确对齐，同时实施确保在整个组织中一致应用的措施。

因此，HIPAA 合规计划必须包含用于保护所有机密信息的全面政策和方案。其中许多内容将与通用的 IT 安全最佳实践保持一致，例如制定安全密码规则、有效管理访问权限、使用加密、保障网络安全以及响应事件。此外，这些政策还会纳入面向医疗行业的特定安全实践。 Netwrix Directory Management 自动化组与用户管理，以强制执行准确的访问权限，并降低由于过期或孤立账号（stale or orphaned accounts）带来的风险。 Netwrix Identity Management 管理加入/调动/离职（joiner/mover/leaver）流程，强制执行最小权限访问，并自动化授权（attestation）活动，以支持 HIPAA 合规。

受保护的健康信息（Protected Health Information，PHI）与数据安全

HIPAA 中的“PHI”是指任何足以被识别并与特定患者建立关联的信息。这包括个人姓名、住址、电话号码、电子邮箱地址、社会保障号码（Social Security numbers），或任何其他能够清楚识别相关患者的数据。

实际上，这要求组织实施在通用网络安全策略中常见且切实有效的保护措施，例如风险分析与管理、设施出入控制、加密方法、访问与身份管理、审计控制以及持续的员工培训。“安全规则”（Security Rule）还为实施这些保护措施提供了具体标准。防止未经授权的访问获取 PHI 是 HIPAA 的核心，而培育以保密为导向的文化对于合规至关重要。

HIPAA Compliance in Healthcare Operations

根据 HIPAA 安全规则，任何以数字形式存储或传输的 PHI 都必须通过有效的行政、技术和物理保障措施进行保护。根据美国卫生与公众服务部（HHS）的要求，这些保障措施必须充分：

1. 确保组织创建、接收、维护或传输的所有电子 PHI（ePHI）的机密性、完整性和可用性。
2. 防范已知的信息或其完整性威胁。
3. 防范合理预期的、未经允许的使用或披露。
4. 在训练有素、合规的员工队伍支持下确保安全。

满足其中许多要求可能就像部署强有力的 IT 保护措施一样简单，因为抵御漏洞入侵、数据泄露或网络攻击的坚实防线，最佳做法是采用网络安全最佳实践来构建。

这些标准界定了 HIPAA IT 合规，这是有别于医疗领域的 HIPAA 合规。一般性的 HIPAA 合规涵盖组织必须保护哪些信息的广泛原则以及需要实施的整体性保障措施；而 HIPAA IT 合规则聚焦于为保护相关系统而采取的具体措施。

医疗领域的 HIPAA 合规示例可以是：要求所有患者数据都必须安全地存储在受保护的数据库中。另一方面，HIPAA IT 合规的示例包括：强制执行严格的数据访问控制，对数据进行正确的加密，并制定详细的共享策略，以防止 PHI（受保护的健康信息）与未获授权的个人共享。

项目、框架与治理

任何 HIPAA 合规计划都应包含全面的技术、管理和物理保障措施，以有效防止以任何形式存在的 PHI（受保护健康信息）遭到未经授权的访问，无论是物理形态还是数字形态。虽然这通常应当包含遵循最佳 IT 安全实践的系统性网络安全措施，但该计划还应纳入与监管标准相专门对齐的框架。

首先，必须以清晰的行动方案来推进 HIPAA 合规，该方案应由书面政策、程序以及行为准则（标准）来阐明。自然地，你 HIPAA 合规计划中的所有部分都应与监管要求保持一致，例如通过遵循类似 NIST Cybersecurity Framework 这样的经认证的 HIPAA 框架。

为确保符合 HIPAA，组织还必须实施审计、系统评估以及数据与流量报告的策略。这些步骤至关重要，不仅用于证明持续合规，还用于识别可能会破坏系统的漏洞或政策偏离（policy drift）。

任何 HIPAA 合规计划的落地实施都应由具备对 HIPAA 要求的深入理解以及在贵组织中如何加以最佳应用方式的专职合规官或合规委员会进行监督。合规官应与 IT 专业人员密切合作，确保保密措施能够在贵组织内部得到可靠集成，从而使两个部门都能在提供建议和落实有效保护方面相互支持。

HIPAA 合规审计：如何做好准备

为审计做准备是 HIPAA 合规的重要组成部分，因为任何受监管的组织都会被定期检查，以确保 PHI 得到有效保护。该流程应包括：任命指定的 HIPAA 隐私官（如尚未设立）；明确界定 PHI，并规定其何时可以披露；建立处理与隐私保护、访问、更正或传输相关请求的程序。

此外，你的组织必须能够提供一份详细的数据历史记录，以证明其持续符合 HIPAA。自动化的报表工具至关重要，因为像 Netwrix Auditor 或 Access Analyzer 这类解决方案能够通过持续监控并记录网络活动（包括数据访问尝试），显著简化数据收集过程。日志还应体现一项长期实施的政策，即 least privilege access 规则，以验证对患者机密性的承诺。

由于 HIPAA 审计专门针对机密性（confidentiality），因此尤其重要的是使用前面提到的报表工具来监控对包含 PHI 的数据库的访问。这些审计旨在验证：贵组织的 PHI 是否没有被不当访问——不仅仅是确认其是否得到了有效保护。因此，要实现这些目的，持续的访问监控至关重要。

确保 HIPAA 合规的最佳实践

与许多安全标准一样，实现 HIPAA 隐私合规的第一步是开展初步风险评估，以发现政策中的差距。然而，这种监控也应当是你安全工作中持续的一部分。成为 HIPAA 合规并非一蹴而就的瞬间改变，而是一个持续的过程；为满足合规要求，你必须定期评估并监控系统，检查是否存在政策变更、漏洞或其他异常情况。

一份有效的 HIPAA 政策应在三个关键领域提供可靠的保障：

• 技术保障 保护数字资产，例如加密方法、Identity and access management 以及设备管理。
• 物理保障 保护硬件和其他物理系统，例如自动工作站注销策略、设施访问控制，以及设备和介质控制。
• 管理保障 在整个组织中落实一致的安全政策、有效培训员工，并在遭受攻击时建立安全事件处理流程和应急预案。

为了更好地确保所有团队成员尊重并落实这些保障措施，至关重要的是持续教育员工了解 HIPAA 合规的重要性，从而营造更强的安全文化。

HIPAA 合规带来的好处

实现 HIPAA 合规对于保护客户的利益同样至关重要，正如满足法律要求一样。通过为患者个人信息建立清晰且明确的保护措施，公众可以相信他们的健康数据将保持机密，并且其隐私权将得到维护。

通过建立更强的信任，医疗服务提供者和合作机构可以加强其在市场中的声誉。在 Netwrix solutions 支持下实现 HIPAA 安全合规后，组织不仅能够降低网络攻击风险，还能简化合规报告，审计准备时间缩短至最高 85%，并在处理敏感 PHI 的环境中持续验证最小特权访问。即使发生了攻击，只要 HIPAA 合规组织能够证明 PHI 已按照 HIPAA 规定得到保护，且该事件并非由于疏忽造成，通常就能避免法律处罚。

通常情况下，HIPAA 合规还能够确保贵组织遵循医疗运营和数据管理方面更广泛的最佳实践。这有助于不仅在贵组织内部建立信任，也在整个医疗行业中建立信任，从而体现了 HIPAA 的最初目标。

挑战与常见问题

实现 HIPAA 合规面临的最大挑战之一，是对其目的或如何应用缺乏理解。即使贵组织已经制定并实施了有效的安全政策，员工在日常工作中也可能无法始终如一地遵循这些政策，从而导致对 PHI（受保护健康信息）的保护不当，甚至发生意外披露。必须持续开展员工教育，以防止在贵组织各个层级中误用 PHI。

许多组织也难以实现合规，因为医疗行业的 IT 安全框架非常复杂。由于医疗供应链涉及众多环节、且数据量巨大，安全保护往往难以做到统一应用。若缺乏适当的准备和合适的工具，HIPAA 的保护措施可能无法覆盖用于保护 PHI 所需的所有系统部分。

此外，任何寻求 HIPAA 合规的组织，在为满足联邦规则而调整系统和政策的过程中，都会面临额外成本、员工培训导致的停工时间以及运营方面的挑战。尽管这些变更在法律上是必要的，但仍可能对业务造成中断，因此组织在开始合规工作之前需要加以考虑。

不合规的后果

由于 HHS Office for Civil Rights (OCR) 自豪地表示 针对所有收到的 HIPAA 投诉，其处理（解决）率达到 99%，因此 HIPAA 违规往往会被可靠地发现并受到处罚。若在疏忽或因不熟悉 HIPAA 的情况下，被认定为不符合要求的属覆盖实体（covered entities），其处罚可按不合规程度在每次违规罚款 $100 到 $50,000 之间浮动。

而在被认定为故意获取或披露 PHI 的情况下，惩罚会更严厉，包括最高 $50,000 的罚款以及最高 1 年的监禁。试图为获取商业优势、个人利益或出于恶意目的而出售或以其他方式利用 PHI 的行为，将面临最高 $250,000 的罚款以及最高 10 年的监禁。

即使是简单的疏忽也可能给组织带来巨额处罚。举一个案例，达拉斯儿童医疗中心（Children’s Medical Center of Dallas）在一名员工未加密且未设置密码保护的移动设备被盗后，发生了对 3,800 名患者的 ePHI 泄露/侵害。诉讼结束后，该中心因政策不足以及侵害事件本身，被处以 320 万美元罚款。类似地，当阿拉斯加州卫生与公众服务部（the Alaska Department of Health and Human Services）被发现未对其系统开展风险分析，亦未实施足够的风险管理政策时，它被判处 170 万美元的损害赔偿罚款。

借助技术加强合规性

如前所示，由于医疗行业日益数字化，现代合规计划在很大程度上依赖技术来落实 HIPAA 的保护措施。因此，部署与当前数据安全框架相一致的有效 IT 安全解决方案，是实现 HIPAA 安全合规的重要组成部分。

像 Netwrix Data Security Posture Management (DSPM) 这样的解决方案可以识别并分类 PHI，降低影子数据风险，并强制实施加密。 Privileged Access Management (PAM) 可移除持续存在的管理员权限，并为审计记录会话。Identity Management 和 ITDR 解决方案可防止未经授权的访问，并实时检测内部威胁。 Directory 和 Endpoint Management 有助于维护 AD 健康状态，并防止 data leak 在终端发生。最后，Netwrix Auditor 和 Access Analyzer 借助现成模板与持续的访问审查，简化 HIPAA 合规报告。

提升医疗团队的成果

然而，除了在监管合规方面的作用外，HIPAA 还通过更加紧密的组织协作，促进医疗行业建立一个更高效的运营框架。

就像一般的 IT 安全实践一样，落实 HIPAA 合规是一项团队协作工作，而不仅仅是 IT 部门和合规委员会的责任。所有员工都应接受持续培训，了解 HIPAA 要求的重要性，以及如何在日常任务中遵循这些要求——无论工作内容是直接保护 PHI，还是仅确保 PHI 只传输给被授权的方。任何能够访问患者数据的团队成员，都可能成为 PHI 机密性的潜在薄弱环节，因此所有员工都必须理解并始终遵循 HIPAA 最佳实践，以确保组织既合规又安全。

尽管强调这种共同责任可能需要公司内部开展额外培训或推动文化变革，但制定一套统一的 HIPAA 合规方法至关重要——它不仅有助于满足监管要求，也能提升工作场所的效率。当所有员工都理解哪些安全协议至关重要以及原因是什么时，在有效的安全措施之下，工作就能以更可靠、更一致的方式推进。这有助于减少因做法不一致或不安全而造成的重复劳动，并增强组织整体的安全态势。

HIPAA 合规软件 from Netwrix
Netwrix HIPAA 合规软件 通过确保对敏感数据的可视性、实施最小权限原则，并自动化合规报告，帮助医疗服务提供商及其合作伙伴应对隐私与安全挑战。借助内置的 HIPAA 就绪报告、持续审计以及数据风险评估工具，组织可以简化合规工作、降低发生数据泄露的风险，并在审计期间证明其符合 HIPAA 标准

结论

在遵循安全最佳实践并符合联邦法律的前提下，HIPAA 对所有医疗机构而言都是必不可少的，它旨在保护患者的个人数据。除法律合规之外，HIPAA 对受监管的组织同样至关重要，因为它有助于维系与客户和公众之间的信任。贵组织越能充分展现其对隐私标准的承诺，消费者就越有信心将其 PHI 交由贵方系统来处理。

然而，由于现代医疗行业高度依赖数字系统和信息，HIPAA 合规应被视为组织更广泛安全战略中的一部分而已。通过将针对医疗行业的专有保护与 IT 安全最佳实践相结合，受监管的机构就能超越“仅满足合规要求”，制定可靠且灵活的安全措施，从而打造更强大、更高效、整体更安全的组织。

常见问题

HIPAA 是什么意思？

“HIPAA”指的是美国《健康保险可携性和责任法案》(Health Insurance Portability and Accountability Act) 于 1996 年制定的一项联邦法律，旨在保护患者的敏感信息，即受保护的健康信息（Protected Health Information，PHI）。该法律规定了医疗服务提供者以及处理或处理 PHI 的其他实体，必须如何存储这些敏感数据，以防止数据泄露或网络攻击。

HIPAA 的五项规则是什么？

HIPAA 的五项规则如下：

1. 隐私规则规定，PHI（受保护的健康信息）只能由获授权的实体为医疗或支付处理而访问。
2. 安全规则提供关于行政、技术和物理保护措施的规定，这些措施对保障以数字方式存储或处理的 PHI（受保护的健康信息）至关重要。
3. 泄露通知规则要求受监管的实体在发生PHI泄露后，及时通知受影响的患者、媒体以及HHS。
4. 《综合条例》（Omnibus Rule）扩大并澄清了有关以数字方式存储的PHI（受保护的健康信息）的HIPAA规定。
5. 执法规则（Enforcement Rule）描述了对不当披露受保护健康信息（PHI）或发生导致 PHI 暴露的数据泄露事件的实体可能施加的处罚。

尽管组织应当理解这些规则，以实现并维持 HIPAA 合规，但在为存储或传输 PHI 的系统开发 IT 安全时，应遵循的最具体规定由《安全规则》（Security Rule）和《综合规则》（Omnibus Rule）提供。

什么是 HIPAA 违规？

当受保护健康信息（PHI）被披露给未获授权的实体时，就会发生 HIPAA 违规。示例包括从系统遭入侵（数据泄露）到意外向非医疗机构发送包含 PHI 的邮件等各种情况。

HIPAA 规定的主要目的是什么？

HIPAA 法规旨在保护患者的隐私，并在医疗行业中建立信任。通过对患者隐私权提供法律保障，消费者在寻求医疗服务时可以期待其敏感数据得到安全保护，并且任何隐私泄露都会得到及时处理。

HIPAA 合规中最重要的三项规则是什么？

对医疗服务提供者及相关机构而言，HIPAA 合规中最重要的三项规则是《隐私规则》（Privacy Rule）、《安全规则》（Security Rule）以及《泄露通知规则》（Breach Notification Rule）。《隐私规则》为保护受保护健康信息（PHI）及相关患者权利设定标准；而《安全规则》通过明确为确保 PHI 安全所需的物理、技术和管理性保护措施的具体要求来支持上述规定。与此同时，《泄露通知规则》要求受监管的组织在发生涉及 PHI 的任何泄露事件时，及时通知受影响的患者、媒体以及美国卫生与公众服务部（US Department of Health and Human Services），以确保公众能够了解相关信息。

尽管组织也需要理解另外两项 HIPAA 规则（Omnibus Rule 和 Enforcement Rule），但在持续推进 HIPAA 合规工作的过程中，这些规则所占比重要小得多。

HIPAA 合规的一个例子是什么？

HIPAA 合规的示例可以在为有效保护敏感患者信息所采取的任何行动中找到。其中一个最实用的例子是制定隐私计划来保护患者的个人数据，例如通过对数据进行加密、依据最小特权原则管理用户角色和权限，并定期审计系统以维持最佳安全水平。