由于 HIPAA 的语言在涉及实际技术要求时有些含糊不清，对于 HIPAA 合规性的 PHI 加密的最佳实践是什么？
我在不同的组织中看到了不同的级别。有些只是在传输中加密它，有些在静止时也是如此。即使在通过 SFTP 传输时，我处理的一个组织也需要对文件进行 PGP 加密。
遵守 HIPAA 加密要求的最佳做法是什么？
信息安全
希帕
加密
2021-08-13 09:27:51
3个回答
我从事医疗保健整合工作，必须处理加密。如果我们正在为我们公司网络之外的第 3 方供应商设计实时 HL7 接口，那么我们绝对会在我们两个之间建立一个全时专用且当然加密的 VPN 连接。这主要是因为许多应用程序不支持 HL7 TCP/IP 接口上的 SSL 加密（尽管大多数集成引擎都支持）。
在进行文件传输时，我们坚持使用 FTPS（基于 SSL 的 FTP）或 SFTP（安全文件传输协议）。一些供应商还要求我们对文件进行 PGP 加密和签名。
至少您必须具有传输加密。最重要的是，数据加密只能提供帮助。
作为关于“静态数据”的注释。对于我们的 MSSQL 服务器，我们实施了透明数据加密 ( TDE )。我们认为这是在保护 PHI 的范围内。公平地说，我们不处理索赔或患者信息。
“最佳”实践是风险评估和风险缓解。加密只是风险缓解的一层。
使用 FIPS 140-2 附录 A 认证的加密算法是最佳实践；在没有适当配置加密密码的情况下通用使用 TLS 或 SFTP 并不能解决问题。
使用数据库层数据加密可能是合适的，例如，如果存在物理硬件可能被盗的风险；如果硬件位于加固的数据中心，则使用数据库层加密可能会给人们留下深刻印象（“我们的数据是静态加密的”），而不会明显降低披露风险。