服务

HIPAA 合规

许多组织把 HIPAA 合规当作一项文书工作：每年填一次风险评估模板，保留一本政策文件夹，然后继续前行。而安全规则和隐私规则的本意是迫使人们做更难的事：诚实、持续地了解受保护健康信息存放在哪里、谁能接触、出了问题会怎样。在 HIPAA 调查中受到伤害的组织，几乎都是文档与现实不符的那些。

问题出在哪里

风险评估本应是整个体系的基础，却也是我见到做得最表面的环节：从模板中拿来一份检查清单，而没有真正盘点 ePHI 实际流向何处，包括哪些系统存储它，哪些供应商接触它，哪些员工拥有不需要的访问权限，以及哪些访问路径自授予之日起从未复核过。没有这个基础，本应由此而来的管理、物理和技术保障措施就会流于泛泛，与实际风险脱节。

我如何搭建

我从真正的风险评估开始，沿着您的系统和业务伙伴追踪 ePHI，而不仅仅局限于您自己的基础设施。随后，我帮助补上最常出现的缺口：偏离最小权限的访问控制，存在却无人复核的审计日志，静态或传输中数据的加密缺口，以及签署一次后就再未复查、即使合作关系和数据流已发生变化的业务伙伴协议。

我也会大力推动入侵响应就绪度，因为 HIPAA 的通知要求具体且有时限，一份纸面上看起来不错的计划，往往在有人第一次不得不在压力下真正使用它时就土崩瓦解。我们会建立并测试一份响应计划，涵盖向个人、HHS 以及在某些情况下向媒体通知的时限，让您不必在真实事件发生时即兴做出这些决定。

适合哪些组织

适合上一次风险评估只是走过场的受保实体和业务伙伴，正在引入接触 ePHI 的新技术或供应商的医疗机构，以及曾险些出事、希望下一次风险评估反映真实情况的任何人。

如果该是诚实审视您的 HIPAA 体系的时候了，请联系我。