hipaa-risk-analysis

HIPAA 风险分析 — 45 CFR §164.308(a)(1)

概述

HIPAA 安全规则要求受监管实体和业务伙伴准确、全面地评估组织所持电子受保护健康信息（ePHI）的机密性、完整性和可用性可能面临的风险与漏洞。§164.308(a)(1)(ii)(A) 下的风险分析是安全规则的基础要求，它决定了后续所有保障措施的选择。OCR 已指出，在违规调查和合规审查中，未能开展全面、覆盖整个企业的风险分析是最常见的问题。风险分析必须持续进行，而不能只做一次；每当环境发生重大变化，或发生安全事件时，都必须更新。

法律依据

法规文本

45 CFR §164.308(a)(1)(ii)(A) — 风险分析（强制要求）：

“对受监管实体或业务伙伴所持电子受保护健康信息的机密性、完整性和可用性可能面临的风险与漏洞进行准确、全面的评估。”

45 CFR §164.308(a)(1)(ii)(B) — 风险管理（强制要求）：

“实施足够的安全措施，将风险与漏洞降低到合理且适当的水平，以符合 §164.306(a) 的要求。”

OCR 指导文件

OCR 发布了《HIPAA 安全规则下的风险分析要求指南》（2010 年 7 月 14 日），确立了充分的风险分析必须涵盖的九项基本要素。虽然该指南并非具有约束力的法规，但它反映了 OCR 的执法预期，并且在和解协议和纠正行动计划中一贯得到应用。

OCR 九项基本要素

要素 1：分析范围

风险分析必须涵盖组织创建、接收、维护或传输的所有 ePHI，不论其形式和所在位置：

Asclepius Health Network 范围清单：

ePHI 位置	系统／介质	数据类别	数量
电子健康记录（Epic）	生产服务器、灾难恢复站点	完整临床记录、人口统计信息、保险信息	420 万份患者记录
门诊管理系统	云托管（Azure US East）	预约、账单、转诊	420 万名患者
实验室信息系统	本地服务器	化验申请、结果、样本追踪	每年 1,200 万条结果
放射影像 PACS	本地 SAN 存储	诊断影像、报告	850 TB 影像数据
电子邮件系统（Exchange Online）	Microsoft 365 租户	临床通信中附带的 ePHI	估计每天有 15,000 条包含 ePHI 的消息
移动设备	3,200 台组织所有的平板电脑、800 部 BYOD 智能手机	临床参考资料、安全消息、患者照片	不定
医疗设备	1,400 台联网设备（输液泵、监护仪、呼吸机）	实时患者数据、设备日志	持续流式传输
纸质转数字化	扫描工作站、OCR 服务器	扫描的历史记录、传真转诊单	每天 2,000 页
业务伙伴系统	47 家可访问 ePHI 的 BA 合作方	因 BA 而异（账单、转录、云托管、分析）	因 BA 而异
备份和归档	磁带库、异地保管库、云归档	完整系统备份	保留 6 年
健康信息交换	区域 HIE 平台	ADT 数据流、CCD 文档、化验结果	每月 150,000 笔交易

要素 2：数据收集

识别并记录 ePHI 的存储、接收、维护或传输位置。方法包括：

• 自动发现：使用网络扫描工具识别传输健康数据的系统（HL7、FHIR、DICOM 流量分析）
• 数据流映射：记录 ePHI 如何在系统、部门和外部各方之间流动
• 员工访谈：对部门经理、临床信息学专家和 IT 员工进行结构化访谈
• 系统清单审查：将 CMDB（配置管理数据库）与 ePHI 分类标签交叉核对
• 供应商评估问卷答复：由 BA 报告的 ePHI 处理实践
• 现场巡查：识别处理 ePHI 的工作站、打印机、传真机和存储位置

要素 3：识别并记录潜在威胁和漏洞

威胁类别

威胁类别	具体威胁	来源
自然灾害	洪水、地震、龙卷风、飓风、野火、疫情	地理和气候风险评估
人为 — 故意	黑客攻击／IT 事件、勒索软件、网络钓鱼、内部人员盗窃、社会工程攻击、国家级 APT	FBI IC3 报告、HHS 网络安全警报、威胁情报源
人为 — 无意	邮件／传真误发、设备丢失、处置不当、配置错误、培训失误	事件历史记录、OCR 泄露门户事件模式
环境	电力故障、暖通空调故障、水渍损坏、火灾、电磁干扰	设施评估、公用事业可靠性数据
技术	软件漏洞、硬件故障、网络中断、加密薄弱	CVE 数据库、供应商公告、渗透测试结果

漏洞评估方法

• 渗透测试：每年由独立第三方进行外部和内部渗透测试
• 漏洞扫描：每周对所有联网资产进行自动扫描（Qualys、Nessus 或同类工具）
• 配置审计：每季度根据 CIS 基准审查系统配置
• 社会工程测试：每半年进行一次网络钓鱼模拟；每年进行一次现场渗透尝试
• 应用安全测试：对内部开发的应用进行 SAST/DAST 扫描；对关键系统进行第三方代码审查
• 无线安全评估：每季度扫描恶意接入点；每年进行无线渗透测试

要素 4：评估当前安全措施

记录现有防护措施及其有效性：

Asclepius Health Network 当前控制措施评估（示例）：

控制领域	已实施措施	有效性评级	发现的差距
访问控制	EHR 中基于角色的访问控制，使用唯一用户 ID	有效	并非所有部门都能持续完成季度访问审查
静态数据加密	服务器和终端设备采用 AES-256 FDE	有效	12 台旧式医疗设备运行未加密的嵌入式系统
传输中数据加密	所有外部连接均强制使用 TLS 1.2+	有效	3 个内部旧式接口仍在使用 TLS 1.0
审计日志	集中式 SIEM，保留期限为 6 年	有效	日志审查人员不足以处理警报量
备份	每日增量备份、每周完整备份、异地复制	有效	需要提高恢复测试频率
物理安全	门禁卡访问、CCTV、访客管理	部分有效	服务器机房门禁卡名单中有 15 人已不再需要访问权限
反恶意软件	所有受管理终端均已部署 EDR	有效	BYOD 设备的 MDM 注册率未达 100%，存在覆盖缺口
补丁管理	每月补丁周期，关键补丁 SLA 为 14 天	部分有效	医疗设备补丁因制造商认证要求而延迟

要素 5：确定威胁发生的可能性

根据威胁能力、动机和现有控制措施评定可能性：

可能性等级	定义	评分
极高	几乎确定会在未来一年内发生；已观察到正在进行的利用活动	5
高	很可能发生；威胁来源具备能力且有动机；控制措施存在已知弱点	4
中	可能发生；威胁来源存在且具备一定能力；控制措施部分有效	3
低	不太可能但有可能发生；威胁能力或动机有限；控制措施总体有效	2
极低	发生的可能性很小；没有已知的威胁来源会针对此漏洞；已落实强有力的控制措施	1

要素 6：确定威胁发生可能造成的影响

评估威胁利用漏洞时造成的损害程度：

影响等级	定义	示例	评分
严重	对个人或组织造成灾难性损害	泄露 >500K 条记录、数据完整性故障对患者造成永久性伤害、组织破产	5
高	对许多人造成重大损害，或对组织造成严重影响	泄露 10K-500K 条记录、系统长时间中断影响患者护理、OCR 调查	4
中	对少数人造成中等程度的损害，或造成严重的运营中断	泄露 500-10K 条记录、系统数日无法使用、重大补救成本	3
低	对少数人造成有限损害，或造成可控的运营影响	泄露 <500 条记录、系统短暂中断、事件得到控制	2
可忽略	损害极小或没有损害	已确认未暴露 ePHI、轻微的运营不便	1

要素 7：确定风险等级

风险按可能性与影响的乘积计算：

Risk Score = Likelihood × Impact

风险分数	风险等级	所需措施
20-25	严重	必须立即采取缓解措施；通知高级领导层；考虑暂停系统
12-19	高	必须在 30 天内制定缓解计划；接受风险须经管理层批准
6-11	中	必须在 90 天内制定缓解计划；也可记录风险接受决定
2-5	低	在日常运营中监控并处理；每年审查
1	最低	接受并记录；在下次计划的风险分析中审查

Asclepius Health Network 风险登记册（示例条目）：

风险 ID	威胁/漏洞	可能性	影响	风险分数	风险等级
R-001	临床系统遭受勒索软件攻击	4（高）	5（严重）	20	严重
R-002	内部人员未经授权访问名人患者记录	4（高）	3（中）	12	高
R-003	未加密的旧版医疗设备数据泄露	3（中）	4（高）	12	高
R-004	网络钓鱼导致凭证泄露	4（高）	4（高）	16	高
R-005	未加密的移动设备丢失/被盗	2（低）	3（中）	6	中
R-006	包含 ePHI 的传真发送错误	3（中）	2（低）	6	中
R-007	自然灾害影响主数据中心	2（低）	5（严重）	10	中

要素 8：完成文档

风险分析必须记录充分详细的信息，以证明：

1. 范围涵盖了所有 ePHI
2. 全面识别了威胁和漏洞
3. 评估了当前的安全措施
4. 使用一致的方法评估了可能性和影响
5. 确定了风险等级
6. 分析由具备资质的人员开展

必需的文档组成部分：

• 分析日期和涵盖的日期范围
• 开展分析的人员（姓名、资质）
• 方法说明
• 完整的资产清单及 ePHI 分类
• 威胁和漏洞目录
• 当前控制措施清单
• 风险评分矩阵和评级
• 包含所有已识别风险的风险登记册
• 面向管理层的执行摘要

要素 9：定期审查和更新

风险分析并非一次性活动，必须在以下情况下更新：

• 至少每年进行一次定期全面审查
• 实施新系统、应用程序或技术时
• 运营环境发生重大变化时（合并、搬迁、新设施）
• 发生安全事件或数据泄露后
• 发现新威胁时（新型恶意软件家族、法规变化、威胁情报警报）
• OCR 或行业指南指出新的风险领域时

风险管理和缓解规划 — §164.308(a)(1)(ii)(B)

对于所有超过组织可接受风险阈值的风险，制定并实施缓解计划：

缓解计划模板（风险 R-001：勒索软件）：

要素	详情
风险 ID	R-001
风险描述	勒索软件攻击加密临床系统，导致 ePHI 无法使用
当前风险评分	20（严重）
缓解措施	(1) 部署具备勒索软件行为检测功能的高级 EDR；(2) 实施网络分段，隔离临床系统；(3) 保留不可变备份副本，并采用气隙存储；(4) 每季度开展勒索软件桌面推演；(5) 在临床工作站上实施应用程序白名单
实施时间表	EDR：已完成；网络分段：60 天；不可变备份：90 天；桌面推演：每季度；白名单：120 天
责任方	CISO（总体负责）；网络工程部门（网络分段）；备份管理员（不可变备份）
目标风险评分	8（中等）——通过分层控制措施将可能性从 4 降至 2
剩余风险接受	CIO 和 CPO 已在书面风险接受表上批准
审查日期	下次全面审查时，或实施后 90 天

OCR 常见调查结果

OCR 在风险分析中反复发现以下缺陷：

1. 未覆盖整个企业：分析仅限于 EHR 系统，未涵盖电子邮件、移动设备、医疗设备和 BA 系统
2. 未更新：只进行一次分析，未定期审查，也未在重大变更后更新
3. 不够全面：未能识别所有 ePHI 资产，尤其是影子 IT、个人设备和云服务
4. 缺少文档：分析以非正式方式开展，未形成书面文档
5. 风险管理后续措施缺失：识别了风险，但未制定或实施缓解计划
6. 方法不充分：没有采用结构化方法来确定可能性和影响；风险评级依赖主观判断，缺少明确标准

风险分析缺陷的执法行动

在大多数 OCR 执法行动中，都会指出风险分析存在缺陷：

• Anthem Inc. (2018)：1600 万美元——在影响 7880 万人的数据泄露事件发生前，未开展全企业范围的风险分析
• Premera Blue Cross (2020)：685 万美元——风险分析未能识别企业范围内的风险；未评估所有含有 ePHI 的系统
• Banner Health (2023)：125 万美元——风险分析不够准确、全面；未识别所有涉及 ePHI 的风险
• CHSPSC LLC (2020)：230 万美元——未开展准确的风险分析，也未实施风险管理措施
• University of Massachusetts Amherst (2020)：65 万美元——未对研究项目维护的 ePHI 开展风险分析
• Metro Community Provider Network (2017)：40 万美元——风险分析的深度不足

集成点

• hipaa-security-rule：风险分析决定所有技术、行政和物理防护措施的实施方案
• hipaa-breach-notify：数据泄露后的风险分析更新会纳入 §164.402 下的数据泄露风险评估
• hipaa-baa-management：风险分析必须涵盖由业务伙伴持有或可供其访问的 ePHI
• hipaa-privacy-rule：隐私风险评估与安全风险分析相辅相成，以全面保护 PHI