HIPAA 要求根据数据是静态还是传输中而采用不同的加密软件。
静态 ：数据未活动，存储在硬盘或 SSD 或者平板电脑这样的设备中。应使用高级密码、全盘/虚拟磁盘安全性和移动设备加密（如适用）保护数据。
传输中 ：在发送者与目标之间主动移动，例如通过电子邮件、传输到云中或在服务器与移动设备之间。
采取 AES-256 等措施可实现 HIPAA 合规，AES-256 几乎不可能被暴力破解，经美国政府核准用于机密数据处理。TLS（传输层安全）是另一个保护数据传输的协议，如 HTTPS、电子邮件或 IM。它也使用 AES-256，并结合其他安全措施。OpenPGP (Pretty Good Privacy) 和 S/MIME 也符合 HIPAA 标准，但有公钥管理要求，很多人认为它与 AES-256 及 TLS 1.2 相比过于耗时费力。
通常的建议是，安全系统对静态数据使用 AES-256 加密，对传输中的数据使用 TLS。但这不是安全措施的最终目的。发现并减少 HIPAA 标准安全措施中的漏洞很重要。
员工和培训（社交工程） ：这是老生常谈，因为它是事实 – 人是网络安全中最弱的一环，在医疗保健行业中同样如此设备丢失或被盗 ：如前所述，含有 ePHI 的笔记本电脑、闪存盘、手机或其他设备丢失，可能招致七位数的罚款第三方合作伙伴 ：处理 ePHI 的任何第三方云或 IT 供应商必须像专注于其合作的医疗保健提供商或服务一样，专注于技术安全标准非安全的电子邮件系统/服务器 ：如果贵公司仍有人在使用非安全的电子邮件客户端或服务器，请将其关停弱加密 ：电脑技术的突破，尤其是量子计算的发展，使得旧加密标准足以保护数据的固有观念很危险，容易成为现代网络罪犯的突破点停滞不前的加密密钥和证书 ：在 NIST 建议的有效期之外使用加密密钥，或在数据泄露之后继续使用，可能会向网络威胁打开企业的大门
HIPAA 的技术保护措施可能令人困惑，因为加密要求称为“可寻址”。PHI 加密的措辞不明确：“…实体应在认为适当时实施 PHI 加密机制”。
据此上下文，“可寻址”是指应实施安全保护或相当的替代方法，否则必须证明未采用安全保护的合理理由。例如，通过有防火墙保护的内部服务器进行的内部通信，PHI 完整性可能没有来自外部的风险。但含有 ePHI 的通信离开有防火墙保护的实体时，必须使用可寻址的安全措施加以处理。
实体仅在该信息受到充分保护时才可通过开放网络以电子邮件传输 ePHI。应进行风险分析，查找与 ePHI 的保密性、完整性及可用性面临的风险，以便制定风险管理计划，将这些风险控制在适当的水平。
消息的通用加密是常见的风险管理方法，但也可以使用保护水平相当的措施来代替加密。
像丢失或被盗的笔记本电脑和闪存盘一样，工作场所的个人移动设备也可能会破坏 PHI 完整性。 约有 4/5 的医疗保健专业人员使用平板设备进行工作流程管理 。 如果在医疗保健企业禁止使用未加密的设备，将会严重影响医疗保健行业的通信及其他方面。
安全信息平台可为此问题提供可能的解决方案，因为它们通过加密静态和传输中的 PHI 来遵循 HIPAA 加密要求。包含 PHI 的通信即使被拦截或未授权访问，也难以破解。安全信息解决方案不仅满足 HIPAA 电子邮件加密要求，而且满足访问控制、审计控制、完整性控制和 ID 验证的要求。此解决方案远比寻呼机实用，可帮助安全地共享医疗信息（包括图片）。
随着技术的发展和网络犯罪的日趋复杂，遵循 HIPAA 及其他法律以保护患者传输中的受保护医疗信息变得更为迫切。
#KingstonIsWithYou
