HIPAA-specific entrypoint for …

# 皮肤科诊所 HIPAA 合规缺口梳理与整改清单

一、前提说明

以下基于 HIPAA 通用要求与 Google Workspace 的公开功能整理，供内部自查参考。由于 HIPAA 合规需结合实际业务评估，建议最终咨询专业合规顾问或律师。

二、主要合规缺口

1. BAA（商业伙伴协议）签署问题

• HIPAA 要求存储 PHI（受保护健康信息）的云服务商签署 BAA
• 核查点：是否与 Google 签署了 BAA；仅使用免费版或某些功能版本可能不在 BAA 覆盖范围
• 整改：升级至支持 BAA 的套餐并完成签署，覆盖所有存储 PHI 的服务

2. Google Workspace 配置缺口

• 共享链接风险：病历若通过“任何人可访问”链接共享，属重大违规
• 缺乏访问控制：未按角色设置最小必要权限（医生、前台、行政应分级）
• 审计日志未启用：无法追溯谁在何时访问了病历
• 数据保留与外发：缺乏 DLP（数据防泄漏）策略，员工可随意下载、转发病历

3. 管理与制度缺口

• 无书面风险评估记录（HIPAA 明确要求定期进行）
• 缺少指定的隐私官/安全官
• 员工未接受 HIPAA 培训，无培训记录
• 无 breach（数据泄露）应急响应流程
• 未与员工签署保密协议

4. 物理与技术缺口

• 员工设备无强制密码、双因素认证（2FA）
• 移动设备可访问 PHI 但无远程擦除机制
• 无定期数据备份验证流程

三、整改清单（按优先级）

高优先级（立即执行）

• [ ] 与 Google 签署 BAA，确认当前套餐受覆盖
• [ ] 排查全部 800 份病历的共享权限，关闭公开链接
• [ ] 按岗位设置最小权限，启用 2FA
• [ ] 启用审计日志并定期审查

中优先级（1-3个月）

• [ ] 指定隐私/安全官，形成书面职责文件
• [ ] 开展员工 HIPAA 培训并留存记录
• [ ] 完成一次正式风险评估并书面存档
• [ ] 部署 DLP 规则，限制 PHI 外发和下载

长期机制（持续执行）

• [ ] 建立 breach 响应预案（含通知流程）
• [ ] 每年复审权限、培训与风险评估
• [ ] 对离职员工账号建立即时停用流程

四、提示

小诊所是 OCR（美国卫生与公众服务部民权办公室）执法重点对象，建议将上述整改结果形成书面文档留存，这是应对检查时的关键证据。