hipaa-security-rule

HIPAA 安全规则 — 技术保障措施 45 CFR §164.312

概述

HIPAA 安全规则为保护受保护实体或业务伙伴创建、接收、使用或维护的电子受保护健康信息（ePHI）制定了国家标准。该规则于 2003 年 2 月 20 日作为最终规则发布（68 FR 8334），并要求在 2005 年 4 月 20 日前合规（小型健康计划的截止日期为 2006 年 4 月 20 日）。安全规则通过行政、物理和技术保障措施，将隐私规则的保密保护要求付诸实施。该规则采用基于风险、与技术无关的方法——明确规定必须实现的目标，但允许受保护实体根据其规模、复杂程度和能力灵活实施保护措施。

安全规则仅适用于 ePHI，而隐私规则涵盖所有形式的 PHI。该规则将要求分为三类保障措施（行政保障措施 §164.308、物理保障措施 §164.310、技术保障措施 §164.312），以及组织要求（§164.314）和政策／程序／文档要求（§164.316）。

技术保障措施 — §164.312

技术保障措施是用于保护 ePHI 并控制其访问的技术及相关政策和程序。每项标准都包含必须实施的实施规范，以及可选择实施的实施规范（如果合理且适当，则必须实施；如果采用替代措施或未实施该规范，则必须记录理由）。

访问控制 — §164.312(a)(1)

标准：针对维护 ePHI 的电子信息系统实施技术政策和程序，仅允许已获授访问权限的人员或软件程序访问。

实施规范	类型	要求
唯一用户标识 — §164.312(a)(2)(i)	必须实施	分配唯一名称和／或编号，用于识别和跟踪用户身份
紧急访问程序 — §164.312(a)(2)(ii)	必须实施	制定并实施程序，以便在紧急情况下获取必要的 ePHI
自动注销 — §164.312(a)(2)(iii)	可选择实施	实施电子程序，在达到预定的非活动时间后终止电子会话
加密和解密 — §164.312(a)(2)(iv)	可选择实施	实施用于加密和解密 ePHI 的机制

唯一用户标识

每位可访问 ePHI 的员工、管理员和系统账户都必须拥有唯一标识符。禁止使用共享账户和通用登录名。

Asclepius Health Network 的实施方式：

• Active Directory 按照 [first initial][last name][employee number] 格式分配唯一用户 ID（例如，jsmith4821）
• 应用程序间通信的服务账户采用 svc-[application]-[function] 格式（例如，svc-epic-hl7）
• 特权管理账户与标准用户账户分开（adm-jsmith4821）
• 所有用户账户均与 HR 系统关联——员工离职流程处理后，账户会在 1 小时内自动停用
• 临床工作站部署了用于单点登录的生物识别认证（指纹）
• 远程访问和管理功能必须使用多重身份验证

紧急访问程序

当正常访问控制无法运行时，受监管实体必须制定有文档记录的程序，以便在紧急情况下访问 ePHI。

Asclepius Health Network 实施方案：

• “破窗”程序允许任何临床人员在宣布进入紧急状态时访问任何患者记录
• “破窗”事件会立即向隐私办公室发出警报，并要求在事件发生后 24 小时内提供事后说明
• 将具有更高权限的灾难恢复账户保存在 IT Operations Center 保险箱内的密封信封中
• 每季度测试紧急访问账户，并在每次测试或使用后轮换密码
• EHR 系统设有独立的紧急模式，在 IT 系统故障期间启用简化身份验证（工牌 + PIN）

自动注销

Asclepius Health Network 实施方案：

• 临床工作站：闲置 5 分钟后锁定屏幕，15 分钟后终止会话
• 管理工作站：闲置 10 分钟后锁定屏幕，30 分钟后终止会话
• 患者门户会话：闲置 15 分钟后终止会话
• 移动设备（临床推车上的平板电脑）：闲置 2 分钟后锁定，需要重新进行生物识别身份验证
• 基于距离的注销使用 RFID 工牌——当临床人员的工牌离工作站超过 10 英尺时，会话即被锁定

加密与解密

尽管此项属于可寻址措施，但 OCR 一直认定，未加密 ePHI 且没有记录在案的等效替代措施，构成违反 Security Rule 的行为。

Asclepius Health Network 实施方案：

• 静态数据：对所有包含 ePHI 的存储卷使用 AES-256 加密（数据库表空间加密、终端全盘加密）
• 传输中的数据：所有包含 ePHI 的网络通信至少使用 TLS 1.2（优先使用 TLS 1.3）
• 对高度敏感字段（SSN、药物滥用诊断、HIV 状态、心理健康记录）进行数据库字段级加密
• 通过经过 FIPS 140-2 Level 3 验证的硬件安全模块（HSM）管理加密密钥
• 密钥轮换：静态数据密钥每年轮换，TLS 密钥按会话轮换，应用层加密密钥每季度轮换

审计控制 — §164.312(b)

标准：实施硬件、软件和/或程序机制，以记录并检查包含或使用 ePHI 的信息系统中的活动。

未指定实施规范——必须落实标准本身。

Asclepius Health Network 的实施方式：

记录内容：

• 所有身份验证事件（成功和失败的登录、注销、账户锁定）
• 所有对 ePHI 的访问（读取、写入、修改、删除），包括所访问的具体记录
• 所有管理操作（创建用户、更改权限、修改配置）
• 所有系统事件（启动、关闭、错误、备份操作）
• 所有涉及 ePHI 系统的网络事件（连接、断开连接、防火墙事件）
• 详细记录的紧急访问事件

日志管理：

• 使用 SIEM（安全信息和事件管理）平台集中汇总日志
• 实时关联分析并针对可疑模式发出警报（多次登录失败、异常访问量、非工作时间访问护理团队以外的记录）
• 不可变日志存储——日志采用一次写入方式，防止篡改
• 日志保留期限：至少 6 年（符合 §164.530(j) 下的 HIPAA 文档保留要求）
• 每日自动生成日志审查报告并提供给安全运营中心
• 每月审计抽样：随机选择 50 份患者记录，审查访问是否适当

审计触发条件和警报：

触发条件	响应 SLA	操作
10 分钟内登录失败 5 次或以上	立即	锁定账户，向 SOC 发出警报
访问 VIP/员工患者记录	立即	向隐私办公室发出警报以供审查
批量访问记录（单个用户 1 小时内访问超过 50 份记录）	15 分钟	SOC 审查，可能暂停账户
非工作时间从异常位置访问	1 小时	SOC 于下一个工作日审查；如风险较高则立即审查
紧急访问事件	24 小时	隐私办公室审查访问理由
管理权限提升	立即	SOC 核实变更工单

完整性 — §164.312(c)(1)

标准：实施政策和程序，防止 ePHI 被不当更改或销毁。

实施规范	类型	要求
ePHI 身份验证机制 — §164.312(c)(2)	可酌情实施	实施电子机制，佐证 ePHI 未以未经授权的方式被更改或销毁

Asclepius Health Network 的实施方式：

• 数据库完整性：对临床文档记录使用 SHA-256 校验和；以防篡改的方式记录所有修改
• 临床文档采用仅追加模式——原始条目永不删除或覆盖；修订内容与原始记录关联，并记录作者、时间戳和原因
• 使用 PKI 证书对实验室结果、放射学报告和用药医嘱进行数字签名
• 每日执行完整性验证扫描，将文件校验和与已知的正确基准值进行比较
• 备份完整性验证：每周自动测试随机选取的备份集的恢复情况

人员或实体身份验证 — §164.312(d)

标准：实施程序，验证申请访问 ePHI 的人员或实体确实是其声称的身份。此标准为必需项，不含实施规范。

Asclepius Health Network 的实施：

• 内部员工：多因素身份验证（工作站使用工牌 + PIN；远程访问使用身份验证器应用 + 密码）
• 外部提供方（健康信息交换）：基于数字证书的双向 TLS 身份验证
• 患者门户：注册时使用基于知识的身份验证；持续访问时使用用户名 + 密码 + SMS/电子邮件验证码
• 访问 Asclepius 系统的业务伙伴：使用证书 + 密码 + 硬件令牌的 VPN
• 应用程序间通信：使用客户端凭据和双向 TLS 的 OAuth 2.0

传输安全 — §164.312(e)(1)

标准：实施技术安全措施，防止通过电子通信网络传输的 ePHI 遭到未经授权的访问。

实施规范	类型	要求
完整性控制 — §164.312(e)(2)(i)	可选实施	实施安全措施，确保电子传输的 ePHI 未被不当修改，并能检测此类修改
加密 — §164.312(e)(2)(ii)	可选实施	在认为适当时，实施加密 ePHI 的机制

Asclepius Health Network 的实施：

• 所有包含 ePHI 的内部网络流量均使用 TLS 1.2+ 加密（通过包含 ePHI 的 VLAN 进行网络分段）
• 外部传输：必须使用 TLS 1.2+ 或 VPN 隧道；DLP 网关会阻止包含 ePHI 的未加密电子邮件
• HL7 FHIR API 端点：使用 SMART on FHIR 授权的双向 TLS
• 提供方之间交换 ePHI 时使用直接安全消息（采用 S/MIME 加密的 Direct Protocol）
• 完整性控制：TLS 通过 HMAC 提供内置完整性保护；批量文件传输（HL7 批处理、X12 EDI）另加校验和
• 无线网络：所有临床无线网络均采用 WPA3 Enterprise 和 802.1X RADIUS 身份验证；另设访客网络，无法访问任何 ePHI 系统

行政保障措施 — §164.308（选定的关键要求）

安全管理流程 — §164.308(a)(1)

实施规范	类型
风险分析	必需
风险管理	必需
制裁政策	必需
信息系统活动审查	必需

员工安全 — §164.308(a)(3)

实施规范	类型
授权和/或监督	可选实施
员工审查程序	可选实施
终止程序	可选实施

信息访问管理 — §164.308(a)(4)

实施规范	类型
隔离医疗信息交换中心职能	必需
访问授权	可选实施
访问权限建立与修改	可选实施

安全意识与培训 — §164.308(a)(5)

实施规范	类型
安全提醒	可选实施
防范恶意软件	可选实施
登录监控	可选实施
密码管理	可选实施

安全事件处理程序 — §164.308(a)(6)

实施规范	类型
响应与报告	必需

应急计划 — §164.308(a)(7)

实施规范	类型
数据备份计划	必需
灾难恢复计划	必需
紧急模式运行计划	必需
测试与修订程序	可选实施
应用程序和数据关键性分析	可选实施

物理保障措施 — §164.310（摘要）

设施访问控制 — §164.310(a)(1)

可选规范：应急操作、设施安全计划、访问控制和验证程序、维护记录。

工作站使用 — §164.310(b)

规定了访问 ePHI 的工作站应具备的适当物理环境和使用方式。

工作站安全 — §164.310(c)

规定了应实施的标准，通过物理防护限制对访问 ePHI 的工作站的访问。

设备和介质控制 — §164.310(d)(1)

规定了设备处置和介质再利用方面的规范；可选规范涉及责任追踪和数据备份／存储。

必须执行与可选：OCR 的预期要求

OCR 已明确，“可选”并不意味着“可不执行”。对于每项可选规范，受监管实体必须：

1. 评估该实施规范是否是在其环境中合理且适当的防护措施
2. 如果是，则予以实施
3. 如果不是，则记录其不合理且不适当的原因，并实施合理且适当的等效替代措施；或者记录即使不实施该规范或替代措施，仍可满足该标准的原因

OCR 的执法行动认定，实体未对 ePHI 进行加密（可选规范），且未记录任何替代措施，构成违规。实际上，除非有充分且记录在案的特殊理由，否则 OCR 预期会对静态和传输中的 ePHI 进行加密。

执法先例

• Anthem Inc.（2018 年）：罚款 1,600 万美元 — 未能实施足够的技术防护措施，包括访问控制，导致无法防止未经授权访问 7,880 万人的 ePHI
• Premera Blue Cross（2020 年）：罚款 685 万美元 — 未能实施足以降低 ePHI 风险和漏洞的安全措施；审计控制不足
• CHSPSC LLC（2020 年）：罚款 230 万美元 — 未能审查信息系统活动；对已知安全事件（影响 610 万人的 APT 攻击）响应不充分
• Excellus Health Plan（2021 年）：罚款 510 万美元 — 访问控制不足；未能开展企业范围的风险分析；技术政策不充分
• Banner Health（2023 年）：罚款 125 万美元 — 在 281 万条记录遭泄露后，未能实施审计控制，也未能开展准确的技术风险分析

集成点

• hipaa-privacy-rule：隐私规则规定必须保护什么；安全规则规定如何保护
• hipaa-risk-analysis：§164.308(a)(1)(ii)(A) 要求的详细风险分析方法
• hipaa-breach-notify：导致未经授权访问的安全事件会触发泄露通知要求
• hipaa-baa-management：业务伙伴必须独立遵守安全规则的所有标准