HIPAA、PCI-DSS 与行业特定法规

GDPR 等一般性隐私法律为所有行业设定了基线，但某些行业处理的数据极其敏感，因此政府会施加额外的行业特定要求。医疗数据关系到生死攸关的决策。金融数据可能助长 Fraud 和身份盗窃。支付卡数据会助推全球网络犯罪。行业特定法规规定了最低标准，并要求进行独立审计，同时通过处罚确保合规不能简单地被视为经营成本。

健康保险可携性与责任法案（HIPAA）是美国联邦法律，用于规定对受保护健康信息（PHI）的保护。PHI 包括任何能够识别患者身份且与其健康状况、治疗或支付相关的信息。HIPAA 适用于受监管实体（医疗服务提供者、健康计划和医疗信息交换机构）及其业务伙伴（能够访问 PHI 的供应商，例如云服务提供商、账单公司和 EHR 系统）。业务伙伴必须签署业务伙伴协议（BAA）。

HIPAA Security Rule 专门针对电子 PHI（ePHI），要求受监管实体实施 Administrative、Physical 和 Technical 防护措施。Administrative 防护措施包括指定安全官员、开展 Workforce 培训以及制定应急计划。Physical 防护措施涵盖 Facility 访问控制和 Device 处置。Technical 防护措施要求实施 Access 控制、Audit 控制、传输 Encryption 以及完整性验证。不同于 PCI-DSS，HIPAA 对某些要求使用“addressable”一词——这意味着组织必须实施这些要求，或者记录说明为何某种替代措施具有同等效果。

HIPAA Breach Notification Rule 要求受监管实体在发现未受保护 PHI 泄露后的 60 天内通知受影响的个人。还必须通知 HHS Secretary；如果某州受影响人数达到 500 人或以上，通知必须在 60 天内发出，并且必须包含醒目的媒体公告。影响少于 500 人的泄露事件每年报告一次。未受保护的 PHI 是指未按照 HHS 指南进行 Encryption 或销毁的 Data——发生泄露的已 Encryption PHI 不会触发通知要求。

HIPAA 处罚根据责任程度分级。第 1 级：每次违规 100–50,000 美元，每个类别每年最高 25,000 美元（不知情）。第 2 级：每次违规 1,000–50,000 美元（存在合理原因）。第 3 级：10,000–50,000 美元（故意疏忽，但已改正）。第 4 级：每次违规 50,000 美元（故意疏忽，且未改正）。HIPAA 下的刑事处罚最高可达 250,000 美元及 10 年监禁，适用于故意违规。2018 年 Anthem 泄露事件最终达成 1.15 亿美元和解，2021 年 Kronos 泄露事件则导致 OCR 展开多项调查。

PCI-DSS（Payment 卡行业 Data Security 标准）不是法律，而是由主要银行卡品牌（Visa、Mastercard、Amex、Discover、JCB）通过PCI Security Standards Council制定的合同标准。任何存储、处理或传输持卡人 Data 的组织都必须遵守该标准。当前版本为 PCI-DSS v4.0（2022 年发布）。不合规可能导致银行卡品牌处以每月 5,000–100,000 美元的罚款、提高交易费用，最终甚至失去接受银行卡 Payment 的能力——这对大多数商户而言关系到生存。

PCI-DSS 分为六个目标领域，共包含 12 项要求。构建并维护安全网络：防火墙、禁止使用默认密码。Protect 持卡人 Data：对传输进行 Encryption，限制存储。Maintain 漏洞管理计划：防病毒、安全开发。实施强大的 Access 控制：最小权限、唯一 IDs、Physical 访问。监控并测试网络：日志记录、入侵检测、渗透测试。Maintain 信息 Security 政策：书面政策、安全意识。掌握这六个领域即可覆盖全部 12 项要求。

PCI-DSS 合规要求会随交易量而变化。第 1 级：每年 600 万笔以上银行卡交易——要求由Qualified Security Assessor（QSA）每年进行现场评估，并由 Approved Scanning Vendor（ASV）每季度进行网络扫描。第 2 级：100 万至 600 万笔交易——每年填写 Self-Assessment Questionnaire（SAQ）。第 3 级：每年 20,000 至 100 万笔电子商务交易——每年填写 SAQ。第 4 级：每年少于 20,000 笔电子商务交易——每年填写 SAQ，建议每季度进行扫描。规模更大的商户需要接受更严格的评估。

除了 HIPAA 和 PCI-DSS 之外，Security+ 考试还涉及其他几项行业特定法律。GLBA（Gramm-Leach-Bliley Act）：金融机构必须 Protect Consumer 金融信息，并实施书面的信息 Security 计划。FERPA：教育机构必须 Protect Student 教育 records。COPPA：网站在收集 13 岁以下 Children 的 Data 前，必须取得家长同意。SOX（Sarbanes-Oxley）：上市公司必须通过内部 controls 维护准确的 Financial records；支持 Financial 报告的 IT 系统属于 SOX 范围。

合规性通过文档（政策、流程、Risk 评估）、Technical 证据（扫描报告、渗透测试结果、访问 logs）和访谈来证明（审计员会核实员工是否理解并遵循记录在案的流程）。QSA 评估（PCI）和 HIPAA 审计（OCR）都要求有组织地收集证据。许多组织使用 GRC（Governance、Risk 和 Compliance）平台集中管理控制措施证据，将 controls 映射到多个框架，并按需生成可直接用于审计的报告。

组织通常会同时受到多个监管框架的约束。一家医院的 Payment 系统可能同时面临 HIPAA、PCI-DSS 和 GLBA 要求。成熟的合规计划会寻找控制措施重叠——例如，一项 Encryption 控制措施可以同时满足 HIPAA Technical Safeguards、PCI-DSS Requirement 4 和 ISO 27001 Annex A。跨框架进行控制措施映射可以减少重复工作，并让组织在多次审计期间使用相同的证据材料，高效证明合规性。

请测试您对本课 CompTIA Security+（SY0-701）概念的理解。

本课您学到了：HIPAA 通过 Administrative、Physical 和 Technical 防护措施保护 PHI，并要求在泄露后 60 天内通知；PCI-DSS 是包含 12 项要求的合同标准，其合规级别取决于交易量；其他行业特定法规（GLBA、FERPA、COPPA、SOX）分别针对特定类型的 Data 规定行业特定义务。接下来我们将学习隐私设计原则和 Data 保留政策。