HIPAA 专题
http://yyh.dxy.cn/article/483039 约稿，顺便考了一个HIPAA认证。 为了这个帖子，我也蛮拼的，麻烦路过打个赏 http://www.dxy.cn/bbs/topic/32796580
HIPAA Security/Awareness TX bill 300 Certification
HIPAA Security and Awareness
因为有朋友问我美国关于病人的隐私保护，所以前阶段写了一个关于HIPAA的短文。但是关于HIPAA 其实是非常非常非常大的话题，因为篇幅有限所以根据我国国情不得不删减很多，这里打算做个专题深入说说，欢迎交流
这里我会主要介绍
1. 什么是需要保密的信息？
2. 保密信息的方式，口头信息如何保密，书面如何保密？电子如何保密？
3. 为什么要保密，电子数据时代，信息保密的意义和责任
4. 我也会稍微提及美国医生在面对保护信息泄密应该如何报告违规行为，以及在美国保密信息的泄露会引起那些后果。
HIPAA 的经验
首发链接 http://yyh.dxy.cn/article/483039
此前乐嘉睾丸撕裂的新闻引得满城风雨，有人将乐嘉就医的资料、急诊手术单的图片不加修饰地上传在网上，乐嘉的个人资料、婚史、疾病史等隐私也随之被曝光。尽管后来乐嘉自身笑认「蛋碎」的事实，但这样曝光患者隐私的行为值得深思，也为临床医生在如何保护患者隐私方面，敲个警钟。
国外对患者隐私保护做得较早，这里着重介绍美国关于患者的医疗健康信息的管理方法 HIPAA-- 健康保险携带和责任法案 Health Insurance Portability and Accountability Act，简称 HIPAA。
HIPAA
在医疗保健领域，信息系统的应用越来越广泛，如医院信息管理系统、远程医疗诊断、网上就医、急救调度响应、疫情监控系统、医疗保险系统等。 与其他行业一样，医疗保健对信息系统的应用和依赖，也将不可避免地带来相应的信息安全问题，如患者的病例保密问题、网上就医系统的可靠性问题、急救调度响应系统的可用性问题等。
在 1996 年，美国颁布 HIPAA 法案和技术标准。HIPAA 法案是对患者病例记录等个人隐私的保护，美国医疗健康信息安全电子传输的统一标准，同时保证劳动者在转换居住地点时，其健康信息和健康保险可以随之安全完善的转移到新的医疗地点。
1. 保密信息的界定
情景一：作为临床医生的你，如果判断以下哪一项不是保密？
A）患者身份证号码
B）患者的年龄，体重
C）医院地址
D）患者的财务账面信息
E）患者的网络登陆用户名密码
F）患者的平时服用的药物和治疗方案
G）临床试验检查结果
I）患者保险信息
答案：以上全部是保密信息
解答： HIPAA 将以下信息定义为需要保密的信息：健康档案信息：治疗 / 随访文件、实验诊断结果、患者的预约就诊日期 / 时间、患者的治疗花费、影像学片子和报告、病史和查体信息、患者的个人信息。
实际上，患者的姓名、地址、生日、入院、出院、死亡日期，电话和传真号码，电子邮件地址、病历号、健康计划受益人、身份证号码、银行帐号、证书 / 许可证号、患者驾驶的车辆或其他驾驶牌照、网页网址、IP 地址、手指指纹或声纹信息、患者照片、病史及治疗信息，财务信息（保险，信用卡 / 借记卡号码）雇主信息、驾照号码、网络的用户 ID 和密码都可以是保密信息，在没有必要无关治疗的时候都需要保密不能泄露。
判断一个信息是否保密信息，我能否接触到这个信息。我手里的信息是否是保密信息，能否给予别人，有一个很重要也简单的判断原则：
登陆查询界面查找的信息是从工作角度为了我为患者提供更好的治疗
我手里的资料只能在对患者治疗能提供帮助的工作人员中分享。
2. 保密信息的方式
情景二： 如果你走进一个病房需要和患者讨论治疗，患者具有敏感的诊断（如艾滋病或吸毒）。患者有两个陪护与她在一起平静，友好的聊天。您应该如何做：
A）询问患者是否愿意陪护同在继续下面的讨论。
B）要求陪人出去一下，等他们离开再和患者讨论了房间。
情景三：当你 需要处置含有受保护信息的纸质或电子材料时，以下几种方案怎么选？
方案 1：放入保险箱。
方案 2：打电话给公司技术支持，并要求他们清除硬盘驱动器。
方案 3：标示出的识别信息，并把它扔进垃圾桶。
A）只有 1 B）只有 12 C）以上皆是
HIPAA 法规要求我们保护患者健康信息 (PHI) 通过包括如下但不仅限于如下方式去创建，存储或传输，这里分为口头讨论（面谈或手机通话方式）、书面讨论和电子数据三种。
1. 口头交流
需要注意以下几点：
只和需要的人或者能帮助患者治疗的人共享所知信息。
口述时要回避无关人员（包括患者家属和朋友）如果无法回避，请尽可能用外人无法听到的小声描述。在谈保密信息的时候注意周围的环境！避免在公共场所，如休息室或电梯等讨论 PHI，当无法避免在公开场合讨论，记得要保持声音低沉。
只说必要必须的信息。
这其中又有告知对象选择：
当患者病情稳定且清醒时，由患者决定
当患者没有完全跟行为能力时，可以和委托人讨论当前护理
当需要护理或支付患者护理费用时，可以让主要照顾家属家人 / 朋友或者付款人知道；这种情况 一般仅限制于：患者的一般情况，患者的位置，通知患者准备好出院，患者死亡。
2. 书面方式
如病历，病程记录，处方，检查报告，影像诊断结果和报告等书面形式，需要注意以下几点：
切勿随意丢弃保密信息在垃圾桶里！记住需要粉碎或保存在保险箱：纸、缩微胶片、光盘 、软盘。
确保发送了什么信息之前，必须检查的如下。
o 仔细检查电子邮件地址或传真号码。传真号码错误可能会受到纪律处分。
o 只有在邮寄太慢无法达到患者要求的时候使用传真。传真文件加一个封面，标注收件人和保密信息
o 扫描文档到自己的电脑，而不要直接从扫描机作为电子邮件方式发送到收件人。
结合介绍，情景二选 B：因为病人为意识清醒的完全行为能力人。所以健康信息应该告知本人；情景三选 A。
3 电子数据的处理
情景四：什么是合适的用户密码？
A）瓢虫（你的狗的名字）
B）獾（你最喜欢的球队的名字）
C）Dw7kqs（基于那句「带我去看球赛。」）
情景五：下班后登录到 Facebook 和看到同事发布了以下更新 」我的邻居老人今天来到我的诊所治疗。请祝愿她早日恢复健康「。您应该：
A）什么都不做
B）打印更新并将其报告给隐私，安全或合规办公室
C）响应的更新或告诉员工，这是侵犯隐私权的行为，应予删除
电子数据（即电子健康记录（EHR），业务管理，实验室和 X 射线、个人电脑，笔记本电脑，PDA，寻呼机，传真机，服务器和移动电话）存储在计算机和其它电子设备上的保密信息需要特殊的措施来保持它的私有。为保护电子数据，应该存储的保密信息避免网络威胁、确保数据加密、使用适当的社交媒体和博客网站、工作时候自己的用户名密码注意安全保护、安全电脑和其他移动设备
安全的计算机
使用的电脑屏幕不直接朝着公共场所。
打印机和传真机不在公共场所（如候诊室）设置。
需要短暂离开时，注销或锁定您的计算机。您可以通过按下 Windows 键，并在同一时间摁下计算机 L 键快速锁定计算机
云处理「云」计算可以让你资料在网络共享，通过网络访问计算机文件和程序。网络云盘。Gmail，谷歌日历，谷歌文档，保管箱，雅虎等都是云服务。
千万不要在公共云服务器上存储保密信息。
有些云服务做广告自称有 HIPAA 合法安全性。除非此站点和您单位有商业协议，否则不能使用。
个人电子邮件的安全性低于公司邮箱，请仅用公司邮箱处理工作事宜
数据存贮：
笔记本电脑、平板电脑、智能手机和手机、闪存驱动器、存储卡、CD / DVD 光盘外置硬盘等任何存储保密信息的移动设备都应该被加密。如果不能够进行加密（如一个摄像机）应当在不用的时候放在有锁的安全地点确保你在任何时候都知道这些设备在哪。
包含保密信息的移动设备任何损失或被盗你需要马上汇报。
加密可以使电子数据（计算机和移动设备上，如笔记本电脑和智能手机）不可读。只有数据的授权的用户将有一个键「解锁」的加密。
即以电子形式发送的任何保密信息必须加密。这包括发送公共无线网络的电子邮件和信息。
工作中，登陆工作网请使用安全性高的用户名密码。
社交媒体和博客：
社交媒体网站（人人网，Twitter 的，LinkedIn，谷歌等）和博客网站（，新浪微博 LiveJournal 的，等等），让您轻松地与朋友分享并公开信息。
永远不要！切勿张贴受保护的健康信息，或者在社交媒体和博客网站任何形式的保密信息。
情景四答案为 C ：密码应该是大小写加数字，并回避常见词汇。
情景五答案为 B：解析看下文。
3 信息保密的意义---分享前的原则拷问
如何判断自己是否会处在暴露患者隐私的风险边缘？以下几个问题或许能帮你分析--是否可以使用或分享患者健康信息前自问：
是否出于帮助患者诊断治疗、付款或健康目的？
如果没有，你有没有患者的书面授权？
如果没有，是否有一个披露的第三方法律要求？
如果以上三个答案是「否」 不要查询使用或分享患者信息。
注意，HIPAA 禁止泄露患者可识别的健康信息，但是没有禁止合法的机构将患者保密健康信息以外的信息第三方共享。所以，除去患者个人敏感信息以外的信息，是可以用作学习交流研究用的。
如果通过揭示信息能推测出患者本人的概率很低，我们就认为这是合法的，这就是 HIPAA 统计标准。
此外还有一个简单的方法就是，分享信息不应该包括患者真实姓名、家庭地址、详细邮编、患者生日、入院、出院、死亡日期，电话和传真号码，电子邮件地址、病历号、健康计划受益人、身份证号码、银行帐号、证书 / 许可证号、患者驾驶的车辆或其他驾驶牌照、网页网址、IP 地址、手指指纹或声纹信息、患者照片、病史及治疗信息，财务信息（保险，信用卡 / 借记卡号码）雇主信息、驾照号码、网络的用户 ID 和密码等保密信息。在作为学习交流的时候以上信息应该处理删除。
4 严厉的处罚
美国医生在面对保护信息泄密应该第一时间报告违规行为，这是法律要求的。在美国保密信息的泄露会引起后果严重。在美国，所有涉及医疗保健的机构中，包括医院、健康计划部门、保健服务商、相关票据交换所、医疗信息系统提供商、医科大学、甚至只有一个内科医生的办公室等，对任何形式的个人健康保健信息的存储、维护和传输都必须遵循 HIPAA 的安全条例规定。
对于违反 HIPAA 安全条例的行为，可以处以最高为 25 万美元的罚款和最长为 10 年的监禁。
5 数据安全和保密性的标准化机制
以下的
部分一般医生用不到，这有一篇“[link=http://www.********.cn/Drshow.aspx?aid=487&tid=0];高手在民间[/link]” ，写了国内一个企业以为自己艺（no）高（zuo）胆（no）大（die）的细节，反应不少技术细节，感兴趣的可以看看，不感兴趣的可以直接跳过。做技术的可以看看作为参考
HIPAA寻求确立电子数据交换（EDI）、安全及所有医疗保健相关数据保密性的标准化机制。法案规定：患者的健康记录、管理记录和财务数据均采用标准化格式；每个医疗保健实体（包括个人、雇主、医疗计划和医疗服务提供者）均采用唯一认证码（ID number）；运用安全机制确保识别每一个体的信息数据具有保密性和完整性。HIPAA安全条例将安全标准分为四类，以保护信息系统的保密性、一致性和可用性：
1.管理流程(AdministrativeProcedures) 建立和落实安全策略；
2.物理防护(PhysicalSafeguards) 述如何保护计算机系统实体以及相关的环境和设备，免受自然灾害或人为破坏；
3.技术安全服务(TechnicalSecurity Services) 描述对数据访问的保护和监控；
4.技术安全机制(TechnicalSecurity Mechanisms) 在网络中保护信息和限制数据访问的机制。
保密性即保护数据免受非法访问，如患者的病例属于个人隐私，应予以保密。虚拟专用网VPN采用目前最强的加密算法之一——3DES加密后，可在一个不可信网络的两端建立一个可信的通信管道，基本保证数据的安全性。
数据一致性是指保护数据免受非法修改和删除。数据伪装是常见的对数据一致性的攻击，恰当地配置网络防火墙和路由器可以阻挡大部分攻击。此外，采用“基线”机制，对数据进行基线记录或摘要算法签名，并定期进行基线记录比较或签名比较，检查数据是否被篡改，可有效地保证数据一致性。
可用性是指系统和数据处于可访问和运行阶段的时间长度。目前，最受关注的系统可用性威胁来自于拒绝服务攻击。此外，物理环境的安全问题也应引起重视。
电子签名标准是HIPAA安全条例的另一个重要方面。在HIPAA法案的相关标准中，有关医疗信息安全和电子签名标准的规范条例是其中的重要组成部分。采用电子签名对在一致性、不可抵赖性和用户认证等方面将起到重要作用。其中，一致性保证数据从发送者到接收者的过程中不被篡改；不可抵赖性证明消息确实由发送者发送并且发送者无法否认；用户认证确保发送者的身份。电子签名中包括对称加密算法（如3DES）、公开密钥算法（如PGP）、摘要算法（如MD5）等。
HIPAA安全条例通过建立医疗保健相关行业的一些通用安全概念，明确了公共准则，制订了操作规范。其现实意义在于，真正认识到信息安全在医疗行业的重要性，并用法案和条例的形式予以规范。
2003年美国医院信息系统协会规定全美医院必须使用统一的信息接口国际标准HL7。这一标准能够实现社会保险中心和定点医疗机构之间的信息交换，也适用于临床检验结果、电子病历资料、财务信息等数据在医疗机构内部不同的医疗信息系统之间交换，从而这也使得对国际间医疗机构患者的会诊成为可能。
Reference
http://www.********.cn/Drshow.aspx?aid=487&tid=0
https://www.youtube.com/watch?v=_vv9UbVpS2o
http://www.hhshipaasagtraining.com/index.php
http://www.haoeyou.com/msmc13.jsp
http://www.dxy.cn/bbs/thread/23433757#23433757
HIPAA 介绍.pdf(344.96k)
http://d.dxy.cn/detail/8861567
HIPCPIS14.pdf(1456.46k)
http://d.dxy.cn/detail/8861570
美國醫療資訊保護法規之初探(楊智傑軍法專刊).pdf
http://d.dxy.cn/detail/8861571
Summary of the Privacy Rule PDF.pdf(372.1k)
http://d.dxy.cn/detail/8881613
HIPAA Combined Regulation Text of All Rules.pdf(809.59k)
http://d.dxy.cn/detail/8881614
这几天比较热点的医生看病被录像，美国的立法是这样讲解的：
关于病人能否在就诊时候录像
公开场所可以录像，这里公开场所的定义是---医院的急诊室，停车场，公开的走廊，电梯，医院的就餐区域和休息区域
病人的候诊室和检查房间，以及医生的门诊办公室是不允许录像的。
产房，不是公开区域，原则上不允许录像，但是在家属和产妇本人强烈意愿下，可以和医院协商是否能录像
CASE
http://www.quickanddirtytips.com/business-career/legal/can-hospitals-ban-cameras-delivery-room?page=all
hipaa_-_photos_videos_recordings_final_11_2012.pdf(66.84k) 在线查看
http://d.dxy.cn/detail/8861655
Video and audio recording in hospitals.pdf(187.04k) 在线查看
http://d.dxy.cn/detail/8861656
关于员工在医院的工作人员，包括且不限于医生，医院管理者，护士，实习生，培训进修生和志愿者
原则上不允许录像，特别是会涉及到患者隐私的时候禁止录像照片
在教学或者出于教学学习需要，在征得当事人同意情况下，可以录像拍照
在出于可能法律纠纷或者纠纷时，可以将照相录像等作为取证方式。
关于医院机构的录像和安全监视器的安装原则
公开场所可以录像，公开场所包括急诊室 进门大厅，医院就餐休息区，医院停车场
病人候诊区，手术室，医生门诊室，门诊治疗室等场所不属于公开场所，但是出于安全和管理考量可以安装监视摄像头，所录资料需要一定权限的人才能阅读和保存
病人病房和卫生间厕所等和病人隐私强烈相关的区域不建议摄像头和监视器的安装，
但是在怀疑病人陪人对病人有健康不利的行动的时候，可以加摄像头。特别是怀疑家长有虐待儿童的时候，可以在住院孩子的房间加隐藏摄像头
http://www.nytimes.com/2014/02/17/opinion/a-watchful-eye-in-hospitals.html?_r=0
那病人的权益受到保护，医生的权益怎么保护？何时保护？什么时候是例外情况？
这里的几个附件讲了危机情况和自然灾害以及触犯刑法可能刑事犯罪的时候，HIPAA的豁免情况
Disclosing PHI in Emergency Situations.pdf(29.86k) 在线查看
http://d.dxy.cn/detail/8861661
Final_hipaa_guide_law_enforcement.pdf(177.0k) 在线查看
http://d.dxy.cn/detail/8861662
Nov 2014 Bulletin HIPAA Privacy in Emergency Situations.pdf(146.08k) 在线查看
http://d.dxy.cn/detail/8861663
这是很好的学习录像
https://youtu.be/_vv9UbVpS2o
HIPAA 来自美国民法，仅仅知道一般时候怎么用是远远不够的，要知道其立法基础和这个法律和现有民法相互吻合印证的地方
http://www.hhshipaasagtraining.com/browse.php
Special HIPAA Training 2014 renew.pdf(103.52k) 在线查看
http://d.dxy.cn/detail/8861657/
HIPAA-COW-Training-FINAL-5.7.pdf(8203.24k) 在线查看
http://d.dxy.cn/detail/8861658
HIPAA for attoney.pdf(17622.87k) 在线查看
http://d.dxy.cn/detail/8861659
2005 Compliance Guidance and Enforcement Statement.pdf(121.02k) 在线查看
http://d.dxy.cn/detail/8882252
2015-33181 HIPAA Privacy Rule and the National Instant Criminal Background Check System (NICS).pdf(276.49k) 在线查看 http://d.dxy.cn/detail/8882259
HIPAA 的安全性部分，其实和IT 加密的技术部分高度相关。这也是HIPAA 很大的一块。但是国内电子化医疗的程度我不了解，对于各级医院之间和医院-检验之间的电子化程度，以及保险公司等第三方和医院之间的电子资源共享技术我不知道国内用的什么技术，是云处理还是局部服务器等等细节我都不了解。所以这很大的一块关键内容我这里并没有提。我自己觉得HIPAA非常有魅力的地方在这里，在于不同级别不同机构不同人员可以登陆阅读到不同部分的PHI/ 保密健康信息，而这各种级别的权限设计和设定，是非常有艺术的。有感兴趣的可以就这个话题深入交流。
此外也要看到，HIPAA 是法律系统框架下的一小部分，所以在和美国民法刑法框架融合的过程中做了很多的妥协和改变。这里要切实理解其立法的核心目的，这里推荐看我这个帖子。
http://www.dxy.cn/bbs/topic/32796948
此外，OSHA 是美国仅次于宪法的第二**，这里我也都对HIPAA 和OSHA 的交叉应照略微提了一下
http://www.dxy.cn/bbs/thread/32775106
HIPAA Security/Awareness TX bill 300 Certification
HIPAA Security and Awareness
因为有朋友问我美国关于病人的隐私保护，所以前阶段写了一个关于HIPAA的短文。但是关于HIPAA 其实是非常非常非常大的话题，因为篇幅有限所以根据我国国情不得不删减很多，这里打算做个专题深入说说，欢迎交流
这里我会主要介绍
1. 什么是需要保密的信息？
2. 保密信息的方式，口头信息如何保密，书面如何保密？电子如何保密？
3. 为什么要保密，电子数据时代，信息保密的意义和责任
4. 我也会稍微提及美国医生在面对保护信息泄密应该如何报告违规行为，以及在美国保密信息的泄露会引起那些后果。
HIPAA 的经验
首发链接 http://yyh.dxy.cn/article/483039
此前乐嘉睾丸撕裂的新闻引得满城风雨，有人将乐嘉就医的资料、急诊手术单的图片不加修饰地上传在网上，乐嘉的个人资料、婚史、疾病史等隐私也随之被曝光。尽管后来乐嘉自身笑认「蛋碎」的事实，但这样曝光患者隐私的行为值得深思，也为临床医生在如何保护患者隐私方面，敲个警钟。
国外对患者隐私保护做得较早，这里着重介绍美国关于患者的医疗健康信息的管理方法 HIPAA-- 健康保险携带和责任法案 Health Insurance Portability and Accountability Act，简称 HIPAA。
HIPAA
在医疗保健领域，信息系统的应用越来越广泛，如医院信息管理系统、远程医疗诊断、网上就医、急救调度响应、疫情监控系统、医疗保险系统等。 与其他行业一样，医疗保健对信息系统的应用和依赖，也将不可避免地带来相应的信息安全问题，如患者的病例保密问题、网上就医系统的可靠性问题、急救调度响应系统的可用性问题等。
在 1996 年，美国颁布 HIPAA 法案和技术标准。HIPAA 法案是对患者病例记录等个人隐私的保护，美国医疗健康信息安全电子传输的统一标准，同时保证劳动者在转换居住地点时，其健康信息和健康保险可以随之安全完善的转移到新的医疗地点。
1. 保密信息的界定
情景一：作为临床医生的你，如果判断以下哪一项不是保密？
A）患者身份证号码
B）患者的年龄，体重
C）医院地址
D）患者的财务账面信息
E）患者的网络登陆用户名密码
F）患者的平时服用的药物和治疗方案
G）临床试验检查结果
I）患者保险信息
答案：以上全部是保密信息
解答： HIPAA 将以下信息定义为需要保密的信息：健康档案信息：治疗 / 随访文件、实验诊断结果、患者的预约就诊日期 / 时间、患者的治疗花费、影像学片子和报告、病史和查体信息、患者的个人信息。
实际上，患者的姓名、地址、生日、入院、出院、死亡日期，电话和传真号码，电子邮件地址、病历号、健康计划受益人、身份证号码、银行帐号、证书 / 许可证号、患者驾驶的车辆或其他驾驶牌照、网页网址、IP 地址、手指指纹或声纹信息、患者照片、病史及治疗信息，财务信息（保险，信用卡 / 借记卡号码）雇主信息、驾照号码、网络的用户 ID 和密码都可以是保密信息，在没有必要无关治疗的时候都需要保密不能泄露。
判断一个信息是否保密信息，我能否接触到这个信息。我手里的信息是否是保密信息，能否给予别人，有一个很重要也简单的判断原则：
登陆查询界面查找的信息是从工作角度为了我为患者提供更好的治疗
我手里的资料只能在对患者治疗能提供帮助的工作人员中分享。
2. 保密信息的方式
情景二： 如果你走进一个病房需要和患者讨论治疗，患者具有敏感的诊断（如艾滋病或吸毒）。患者有两个陪护与她在一起平静，友好的聊天。您应该如何做：
A）询问患者是否愿意陪护同在继续下面的讨论。
B）要求陪人出去一下，等他们离开再和患者讨论了房间。
情景三：当你 需要处置含有受保护信息的纸质或电子材料时，以下几种方案怎么选？
方案 1：放入保险箱。
方案 2：打电话给公司技术支持，并要求他们清除硬盘驱动器。
方案 3：标示出的识别信息，并把它扔进垃圾桶。
A）只有 1 B）只有 12 C）以上皆是
HIPAA 法规要求我们保护患者健康信息 (PHI) 通过包括如下但不仅限于如下方式去创建，存储或传输，这里分为口头讨论（面谈或手机通话方式）、书面讨论和电子数据三种。
1. 口头交流
需要注意以下几点：
只和需要的人或者能帮助患者治疗的人共享所知信息。
口述时要回避无关人员（包括患者家属和朋友）如果无法回避，请尽可能用外人无法听到的小声描述。在谈保密信息的时候注意周围的环境！避免在公共场所，如休息室或电梯等讨论 PHI，当无法避免在公开场合讨论，记得要保持声音低沉。
只说必要必须的信息。
这其中又有告知对象选择：
当患者病情稳定且清醒时，由患者决定
当患者没有完全跟行为能力时，可以和委托人讨论当前护理
当需要护理或支付患者护理费用时，可以让主要照顾家属家人 / 朋友或者付款人知道；这种情况 一般仅限制于：患者的一般情况，患者的位置，通知患者准备好出院，患者死亡。
2. 书面方式
如病历，病程记录，处方，检查报告，影像诊断结果和报告等书面形式，需要注意以下几点：
切勿随意丢弃保密信息在垃圾桶里！记住需要粉碎或保存在保险箱：纸、缩微胶片、光盘 、软盘。
确保发送了什么信息之前，必须检查的如下。
o 仔细检查电子邮件地址或传真号码。传真号码错误可能会受到纪律处分。
o 只有在邮寄太慢无法达到患者要求的时候使用传真。传真文件加一个封面，标注收件人和保密信息
o 扫描文档到自己的电脑，而不要直接从扫描机作为电子邮件方式发送到收件人。
结合介绍，情景二选 B：因为病人为意识清醒的完全行为能力人。所以健康信息应该告知本人；情景三选 A。
3 电子数据的处理
情景四：什么是合适的用户密码？
A）瓢虫（你的狗的名字）
B）獾（你最喜欢的球队的名字）
C）Dw7kqs（基于那句「带我去看球赛。」）
情景五：下班后登录到 Facebook 和看到同事发布了以下更新 」我的邻居老人今天来到我的诊所治疗。请祝愿她早日恢复健康「。您应该：
A）什么都不做
B）打印更新并将其报告给隐私，安全或合规办公室
C）响应的更新或告诉员工，这是侵犯隐私权的行为，应予删除
电子数据（即电子健康记录（EHR），业务管理，实验室和 X 射线、个人电脑，笔记本电脑，PDA，寻呼机，传真机，服务器和移动电话）存储在计算机和其它电子设备上的保密信息需要特殊的措施来保持它的私有。为保护电子数据，应该存储的保密信息避免网络威胁、确保数据加密、使用适当的社交媒体和博客网站、工作时候自己的用户名密码注意安全保护、安全电脑和其他移动设备
安全的计算机
使用的电脑屏幕不直接朝着公共场所。
打印机和传真机不在公共场所（如候诊室）设置。
需要短暂离开时，注销或锁定您的计算机。您可以通过按下 Windows 键，并在同一时间摁下计算机 L 键快速锁定计算机
云处理「云」计算可以让你资料在网络共享，通过网络访问计算机文件和程序。网络云盘。Gmail，谷歌日历，谷歌文档，保管箱，雅虎等都是云服务。
千万不要在公共云服务器上存储保密信息。
有些云服务做广告自称有 HIPAA 合法安全性。除非此站点和您单位有商业协议，否则不能使用。
个人电子邮件的安全性低于公司邮箱，请仅用公司邮箱处理工作事宜
数据存贮：
笔记本电脑、平板电脑、智能手机和手机、闪存驱动器、存储卡、CD / DVD 光盘外置硬盘等任何存储保密信息的移动设备都应该被加密。如果不能够进行加密（如一个摄像机）应当在不用的时候放在有锁的安全地点确保你在任何时候都知道这些设备在哪。
包含保密信息的移动设备任何损失或被盗你需要马上汇报。
加密可以使电子数据（计算机和移动设备上，如笔记本电脑和智能手机）不可读。只有数据的授权的用户将有一个键「解锁」的加密。
即以电子形式发送的任何保密信息必须加密。这包括发送公共无线网络的电子邮件和信息。
工作中，登陆工作网请使用安全性高的用户名密码。
社交媒体和博客：
社交媒体网站（人人网，Twitter 的，LinkedIn，谷歌等）和博客网站（，新浪微博 LiveJournal 的，等等），让您轻松地与朋友分享并公开信息。
永远不要！切勿张贴受保护的健康信息，或者在社交媒体和博客网站任何形式的保密信息。
情景四答案为 C ：密码应该是大小写加数字，并回避常见词汇。
情景五答案为 B：解析看下文。
3 信息保密的意义---分享前的原则拷问
如何判断自己是否会处在暴露患者隐私的风险边缘？以下几个问题或许能帮你分析--是否可以使用或分享患者健康信息前自问：
是否出于帮助患者诊断治疗、付款或健康目的？
如果没有，你有没有患者的书面授权？
如果没有，是否有一个披露的第三方法律要求？
如果以上三个答案是「否」 不要查询使用或分享患者信息。
注意，HIPAA 禁止泄露患者可识别的健康信息，但是没有禁止合法的机构将患者保密健康信息以外的信息第三方共享。所以，除去患者个人敏感信息以外的信息，是可以用作学习交流研究用的。
如果通过揭示信息能推测出患者本人的概率很低，我们就认为这是合法的，这就是 HIPAA 统计标准。
此外还有一个简单的方法就是，分享信息不应该包括患者真实姓名、家庭地址、详细邮编、患者生日、入院、出院、死亡日期，电话和传真号码，电子邮件地址、病历号、健康计划受益人、身份证号码、银行帐号、证书 / 许可证号、患者驾驶的车辆或其他驾驶牌照、网页网址、IP 地址、手指指纹或声纹信息、患者照片、病史及治疗信息，财务信息（保险，信用卡 / 借记卡号码）雇主信息、驾照号码、网络的用户 ID 和密码等保密信息。在作为学习交流的时候以上信息应该处理删除。
4 严厉的处罚
美国医生在面对保护信息泄密应该第一时间报告违规行为，这是法律要求的。在美国保密信息的泄露会引起后果严重。在美国，所有涉及医疗保健的机构中，包括医院、健康计划部门、保健服务商、相关票据交换所、医疗信息系统提供商、医科大学、甚至只有一个内科医生的办公室等，对任何形式的个人健康保健信息的存储、维护和传输都必须遵循 HIPAA 的安全条例规定。
对于违反 HIPAA 安全条例的行为，可以处以最高为 25 万美元的罚款和最长为 10 年的监禁。
5 数据安全和保密性的标准化机制
以下的
部分一般医生用不到，这有一篇“[link=http://www.********.cn/Drshow.aspx?aid=487&tid=0];高手在民间[/link]” ，写了国内一个企业以为自己艺（no）高（zuo）胆（no）大（die）的细节，反应不少技术细节，感兴趣的可以看看，不感兴趣的可以直接跳过。做技术的可以看看作为参考
HIPAA寻求确立电子数据交换（EDI）、安全及所有医疗保健相关数据保密性的标准化机制。法案规定：患者的健康记录、管理记录和财务数据均采用标准化格式；每个医疗保健实体（包括个人、雇主、医疗计划和医疗服务提供者）均采用唯一认证码（ID number）；运用安全机制确保识别每一个体的信息数据具有保密性和完整性。HIPAA安全条例将安全标准分为四类，以保护信息系统的保密性、一致性和可用性：
1.管理流程(AdministrativeProcedures) 建立和落实安全策略；
2.物理防护(PhysicalSafeguards) 述如何保护计算机系统实体以及相关的环境和设备，免受自然灾害或人为破坏；
3.技术安全服务(TechnicalSecurity Services) 描述对数据访问的保护和监控；
4.技术安全机制(TechnicalSecurity Mechanisms) 在网络中保护信息和限制数据访问的机制。
保密性即保护数据免受非法访问，如患者的病例属于个人隐私，应予以保密。虚拟专用网VPN采用目前最强的加密算法之一——3DES加密后，可在一个不可信网络的两端建立一个可信的通信管道，基本保证数据的安全性。
数据一致性是指保护数据免受非法修改和删除。数据伪装是常见的对数据一致性的攻击，恰当地配置网络防火墙和路由器可以阻挡大部分攻击。此外，采用“基线”机制，对数据进行基线记录或摘要算法签名，并定期进行基线记录比较或签名比较，检查数据是否被篡改，可有效地保证数据一致性。
可用性是指系统和数据处于可访问和运行阶段的时间长度。目前，最受关注的系统可用性威胁来自于拒绝服务攻击。此外，物理环境的安全问题也应引起重视。
电子签名标准是HIPAA安全条例的另一个重要方面。在HIPAA法案的相关标准中，有关医疗信息安全和电子签名标准的规范条例是其中的重要组成部分。采用电子签名对在一致性、不可抵赖性和用户认证等方面将起到重要作用。其中，一致性保证数据从发送者到接收者的过程中不被篡改；不可抵赖性证明消息确实由发送者发送并且发送者无法否认；用户认证确保发送者的身份。电子签名中包括对称加密算法（如3DES）、公开密钥算法（如PGP）、摘要算法（如MD5）等。
HIPAA安全条例通过建立医疗保健相关行业的一些通用安全概念，明确了公共准则，制订了操作规范。其现实意义在于，真正认识到信息安全在医疗行业的重要性，并用法案和条例的形式予以规范。
2003年美国医院信息系统协会规定全美医院必须使用统一的信息接口国际标准HL7。这一标准能够实现社会保险中心和定点医疗机构之间的信息交换，也适用于临床检验结果、电子病历资料、财务信息等数据在医疗机构内部不同的医疗信息系统之间交换，从而这也使得对国际间医疗机构患者的会诊成为可能。
Reference
http://www.********.cn/Drshow.aspx?aid=487&tid=0
https://www.youtube.com/watch?v=_vv9UbVpS2o
http://www.hhshipaasagtraining.com/index.php
http://www.haoeyou.com/msmc13.jsp
http://www.dxy.cn/bbs/thread/23433757#23433757
HIPAA 介绍.pdf(344.96k)
http://d.dxy.cn/detail/8861567
HIPCPIS14.pdf(1456.46k)
http://d.dxy.cn/detail/8861570
美國醫療資訊保護法規之初探(楊智傑軍法專刊).pdf
http://d.dxy.cn/detail/8861571
Summary of the Privacy Rule PDF.pdf(372.1k)
http://d.dxy.cn/detail/8881613
HIPAA Combined Regulation Text of All Rules.pdf(809.59k)
http://d.dxy.cn/detail/8881614
这几天比较热点的医生看病被录像，美国的立法是这样讲解的：
关于病人能否在就诊时候录像
公开场所可以录像，这里公开场所的定义是---医院的急诊室，停车场，公开的走廊，电梯，医院的就餐区域和休息区域
病人的候诊室和检查房间，以及医生的门诊办公室是不允许录像的。
产房，不是公开区域，原则上不允许录像，但是在家属和产妇本人强烈意愿下，可以和医院协商是否能录像
CASE
http://www.quickanddirtytips.com/business-career/legal/can-hospitals-ban-cameras-delivery-room?page=all
hipaa_-_photos_videos_recordings_final_11_2012.pdf(66.84k) 在线查看
http://d.dxy.cn/detail/8861655
Video and audio recording in hospitals.pdf(187.04k) 在线查看
http://d.dxy.cn/detail/8861656
关于员工在医院的工作人员，包括且不限于医生，医院管理者，护士，实习生，培训进修生和志愿者
原则上不允许录像，特别是会涉及到患者隐私的时候禁止录像照片
在教学或者出于教学学习需要，在征得当事人同意情况下，可以录像拍照
在出于可能法律纠纷或者纠纷时，可以将照相录像等作为取证方式。
关于医院机构的录像和安全监视器的安装原则
公开场所可以录像，公开场所包括急诊室 进门大厅，医院就餐休息区，医院停车场
病人候诊区，手术室，医生门诊室，门诊治疗室等场所不属于公开场所，但是出于安全和管理考量可以安装监视摄像头，所录资料需要一定权限的人才能阅读和保存
病人病房和卫生间厕所等和病人隐私强烈相关的区域不建议摄像头和监视器的安装，
但是在怀疑病人陪人对病人有健康不利的行动的时候，可以加摄像头。特别是怀疑家长有虐待儿童的时候，可以在住院孩子的房间加隐藏摄像头
http://www.nytimes.com/2014/02/17/opinion/a-watchful-eye-in-hospitals.html?_r=0
那病人的权益受到保护，医生的权益怎么保护？何时保护？什么时候是例外情况？
这里的几个附件讲了危机情况和自然灾害以及触犯刑法可能刑事犯罪的时候，HIPAA的豁免情况
Disclosing PHI in Emergency Situations.pdf(29.86k) 在线查看
http://d.dxy.cn/detail/8861661
Final_hipaa_guide_law_enforcement.pdf(177.0k) 在线查看
http://d.dxy.cn/detail/8861662
Nov 2014 Bulletin HIPAA Privacy in Emergency Situations.pdf(146.08k) 在线查看
http://d.dxy.cn/detail/8861663
这是很好的学习录像
https://youtu.be/_vv9UbVpS2o
HIPAA 来自美国民法，仅仅知道一般时候怎么用是远远不够的，要知道其立法基础和这个法律和现有民法相互吻合印证的地方
http://www.hhshipaasagtraining.com/browse.php
Special HIPAA Training 2014 renew.pdf(103.52k) 在线查看
http://d.dxy.cn/detail/8861657/
HIPAA-COW-Training-FINAL-5.7.pdf(8203.24k) 在线查看
http://d.dxy.cn/detail/8861658
HIPAA for attoney.pdf(17622.87k) 在线查看
http://d.dxy.cn/detail/8861659
2005 Compliance Guidance and Enforcement Statement.pdf(121.02k) 在线查看
http://d.dxy.cn/detail/8882252
2015-33181 HIPAA Privacy Rule and the National Instant Criminal Background Check System (NICS).pdf(276.49k) 在线查看 http://d.dxy.cn/detail/8882259
HIPAA 的安全性部分，其实和IT 加密的技术部分高度相关。这也是HIPAA 很大的一块。但是国内电子化医疗的程度我不了解，对于各级医院之间和医院-检验之间的电子化程度，以及保险公司等第三方和医院之间的电子资源共享技术我不知道国内用的什么技术，是云处理还是局部服务器等等细节我都不了解。所以这很大的一块关键内容我这里并没有提。我自己觉得HIPAA非常有魅力的地方在这里，在于不同级别不同机构不同人员可以登陆阅读到不同部分的PHI/ 保密健康信息，而这各种级别的权限设计和设定，是非常有艺术的。有感兴趣的可以就这个话题深入交流。
此外也要看到，HIPAA 是法律系统框架下的一小部分，所以在和美国民法刑法框架融合的过程中做了很多的妥协和改变。这里要切实理解其立法的核心目的，这里推荐看我这个帖子。
http://www.dxy.cn/bbs/topic/32796948
此外，OSHA 是美国仅次于宪法的第二**，这里我也都对HIPAA 和OSHA 的交叉应照略微提了一下
http://www.dxy.cn/bbs/thread/32775106
Comments
Post a Comment