HIPAA安全风险分析（SRA）应成为每家数字健康企业网络安全合规的基础。这远非走过场式的形式主义，全面的安全风险分析有助于识别并缓解电子受保护健康信息（ePHI）面临的风险与漏洞，降低代价高昂的数据泄露风险，并在监管审查中展现合规诚意。 在当今快速演变的数字健康领域，人工智能工具、并购活动以及不断扩大的供应商生态系统正加剧网络安全复杂性，SRA正是您的第一道防线。美国卫生与公众服务部公民权利办公室（OCR）近期采取的执法行动表明，不完善的SRA将导致严重的财务损失和声誉损害。
为什么SRA对数字健康公司至关重要
根据《健康保险流通与责任法案》安全条例，受HIPAA监管的实体必须"对电子健康信息（ePHI）的保密性、完整性和可用性进行准确而全面的风险与脆弱性评估"。这项管理保障措施为后续所有安全控制措施（包括管理、物理和技术控制）提供依据，并在审计或调查期间作为合规性证明。开展全面的安全风险评估将促使受HIPAA监管的实体：
- 追踪PHI流向：电子PHI将在各平台间进行追踪，包括远程医疗或患者门户、人工智能分析引擎、云存储以及第三方集成系统。
- 威胁量化：勒索软件、内部人员失误和配置错误等问题将按发生概率和影响程度进行排序。
- 优先处理补救措施：资源可分配至最关键领域，无论是加密、访问控制、漏洞修补还是其他方面。
OCR执法焦点
在OCR看来，跳过或敷衍SRA等同于故意视而不见。自2024年底启动"风险分析计划"以来，OCR已将SRA作为执法重点，迄今已就九起SRA不完善案件达成和解：
未能执行《健康保险流通与责任法案》安全规则风险分析，将使医疗机构面临勒索软件等网络攻击的威胁。了解电子健康信息存储位置及相关安全防护措施，对合规至关重要。美国卫生与公众服务部民权办公室（OCR）推出风险分析计划，旨在提升完成调查数量，强调加强关注并更好地遵守该安全规则要求。 （OCR主任，2024年10月31日）
OCR的风险分析计划已促成多项重大和解，金额介于1万美元至35万美元之间：
- 东北放射学（NERAD）:因存储、检索、管理和访问放射影像的图片存档与通信系统（PACS）服务器遭入侵，引发调查并最终达成35万美元和解协议，同时接受美国卫生与公众服务部民权办公室（OCR）为期两年的监督。OCR调查发现"NERAD未能对信息系统中的电子健康信息（ePHI）进行准确彻底的风险分析，以确定潜在风险与漏洞"。
- 健康健身公司：在收到四份违规报告后，民权办公室（OCR）启动了调查。这些报告涉及健康健身公司在三个月内作为承保实体业务合作伙伴期间发生的事件。 问题源于面向网络的软件配置错误，导致电子健康信息（ePHI）暴露长达数年。OCR指出，健康健身公司直至漏洞发现多年后才进行全面风险评估。最终达成227,816美元的和解协议，并接受OCR为期两年的监督。
这些行动凸显出，过时或不完善的隐私保护协议（SRAs）可能导致巨额罚款，并使公司面临长达数年的教育与人权办公室（OCR）对其隐私与安全实践的不受欢迎的监督。
人工智能的整合提升了赌注
人工智能正通过优化诊断流程、自动化患者联络及个性化医疗服务，重塑数字健康领域。同时，人工智能系统也带来独特风险，包括可操纵输入数据或泄露含个人健康信息（PHI）的训练数据的攻击。需注意的是，您的AI平台可能从电子健康记录、可穿戴设备及临床注册系统中获取数据，这将成倍增加数据泄露的途径。
采用人工智能系统的数字健康企业必须将相关平台及集成方案纳入安全风险评估（SRA）。企业应明确模型训练位置、数据存储与传输方式，并确认第三方人工智能API是否符合公司安全标准。
并购尽职调查：避免继承负债
数字健康领域的并购活动正呈现激增态势。然而，若收购对象未能认真履行定期开展安全风险评估（SRA）的义务，也未有效缓解已识别的风险与漏洞，则可能使收购方背负历史遗留漏洞，并引发监管审查。在尽职调查过程中：
- 审查目标机构的SRA：确保目标机构已定期执行SRA，且该评估涵盖所有电子健康信息平台、系统、集成方案及供应商关系。
- 评估补救历史：验证已识别的风险和漏洞是否得到及时处理。
- 揭露隐藏的人工智能项目：若目标方未在系统风险评估（SRA）中纳入相关措施，试点人工智能工具可能在缺乏适当保障的情况下处理个人健康信息（PHI）。
关闭后，将获取的基础设施整合到企业范围的SRA周期中，以帮助填补组织内部的任何漏洞。
供应商尽职调查：拓展您的风险视角
您的数字健康平台依赖于广泛的供应商生态系统——但供应商可能成为您最薄弱的环节。业务合作协议虽不可或缺，却远远不够。在您的安全责任协议（SRA）中：
- 按PHI访问权限分类供应商：从收入周期管理到人工智能决策支持，根据供应商处理的PHI敏感程度及数据量进行分类。
- 评估安全态势：审查每个供应商自身的供应商安全评估报告（SRA）、渗透测试结果及相关认证（例如HITRUST、ISO 27001等）。
- 持续监控：当供应商的服务范围扩展时（例如新增人工智能分析模块），请及时更新威胁模型。
强化您的SRA的实用步骤
- 查阅并遵循OCR指导：OCR就开展SRA提供了指导，包括《风险分析与风险管理基础》及《风险分析指南》。
- 采用成熟框架：使用NIST SP 800-66 Rev. 2、NIST SP 800-30或ISO 27005来构建您的评估体系。
- 构建人工智能场景：对模型进行红队演练，并验证数据处理工作流。
- 整合并购与供应商洞察：在交易及供应商评估过程中召集跨职能团队（法律、IT、安全、合规等部门）。
- 文件补救：对已执行并更新的特别风险评估（SRA）、风险缓解计划及实施日期保持清晰记录。
- 自动化监控：部署安全信息与事件管理（SIEM）工具、漏洞扫描器以及人工智能驱动的异常检测系统。
结论
对于数字健康企业而言，扎实的HIPAA安全风险分析不仅是合规要求，更是战略性风险管理。通过主动追踪电子健康信息（ePHI）流向、揭示人工智能驱动的漏洞、审慎评估并购目标、严格筛选供应商，企业将更有效地预判威胁并降低面临OCR执法的风险。请立即投资安全风险分析——在数字健康领域，预防远比补救更经济。
如需了解更多关于人工智能、远程医疗、数字健康及其他医疗创新领域的信息，包括团队成员、出版物及代表性经验，请联系本文作者或福里律师事务所网络安全与数据隐私业务组或医疗保健业务组的任何合伙人或高级顾问。
