SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场healthcare-audit-logger

healthcare-audit-logger

安全与审计

查看项目

更新于 10-13 14:33

技能介绍

用途

Healthcare Audit Logger 是一个面向 AI 智能体的 HIPAA 审计日志与事件追踪技能，来源于 1mangesh1/hipaa-guardian。它主要用于为医疗系统生成不可篡改（immutable）的审计追踪，跟踪 PHI 访问，监控认证事件，并帮助满足 45 CFR §164.312(b) 的审计控制要求。

主要能力

  • 审计日志生成：创建符合 HIPAA 要求、记录不可篡改的审计日志。
  • 事件分类：将医疗事件归类为访问、修改、删除、导出等类型。
  • PHI 访问追踪：记录对所有受保护健康信息的访问。
  • 认证日志：记录登录、注销与权限提升事件。
  • 修改审计：追踪 PHI 记录的修改者、修改时间与修改原因。
  • 用户活动监控：跟踪用户工作流与数据交互。
  • 时间戳管理：使用同步的 UTC 时间戳，并具备篡改检测能力。
  • 保留策略：按 HIPAA 要求管理审计日志保留周期（6 年以上）。
  • 日志导出：生成合规报告与审计摘要，支持 JSON、CSV、XML 格式。
  • 完整性校验：验证审计日志的真实性与不可否认性。

使用方式

命令格式为：

/healthcare-audit-logger [command] [options]

支持的命令：

  • init <config-file>：为医疗系统初始化审计日志。
  • log <event-type> <details>：记录一个医疗事件。
  • log-access <user> <resource> <action>：记录 PHI 访问。
  • log-auth <user> <event> <result>：记录认证事件。
  • log-modification <user> <resource> <change>：记录数据修改。
  • policy <retention-years>：设置审计日志保留策略。
  • report [date-range]：生成审计报告。
  • verify <log-file>：校验审计日志完整性。
  • export <format> <output>：导出审计日志（JSON、CSV、XML）。

支持的选项：

  • --user <id>：用户标识。
  • --resource <path>：被访问的资源（患者 ID、记录 ID）。
  • --action <type>：操作类型（read、write、delete、export）。
  • --reason <text>：访问的临床原因。
  • --outcome <status>：成功或失败状态。
  • --timestamp <iso8601>：事件时间戳（默认当前时间）。
  • --retention <years>：日志保留期限（默认按 HIPAA 为 6 年）。

工作流程

该技能被调用时建议遵循以下工作流：

  1. 配置审计系统：请用户指定医疗系统类型（EHR、病历系统、数据仓库）、敏感资源（患者记录、医学影像、检验结果）、用户角色与访问级别、审计日志存储位置与格式。
  2. 设计审计模式：定义要追踪的事件类型、用户角色分类、资源类别、访问理由要求、时间戳精度（毫秒级）以及日志条目格式（推荐结构化 JSON）。
  3. 实施审计日志：在认证/授权关口、PHI 访问检查点、数据修改操作、导出/外部共享事件、系统配置变更、访问权限变更等关键点埋点。
  4. 校验合规性：确保审计日志捕获用户 ID、工作站 ID、日期与时间（UTC 带时区）、执行的操作、访问的资源、操作结果、访问原因/理由、操作结果（所做的更改或获取的信息）。

HIPAA 合规映射

  • §164.312(b) 审计控制：实施全面的日志记录。
  • §164.312(b)(2)(i) 用户识别：记录所有以唯一 ID 进行的用户访问。
  • §164.312(b)(2)(ii) 紧急访问日志：对紧急访问单独追踪。
  • §164.308(a)(3)(ii)(B) 员工安全：追踪权限变更与角色分配。
  • §164.308(a)(5)(ii)(C) 登录监控：记录认证尝试与结果。
  • §164.312(a)(2)(i) 访问控制：审计访问权限及其变更。
  • §164.312(c)(2) 加密：记录加密密钥操作。
  • §164.314(a)(2)(i) 合作伙伴协议：记录外部系统访问。

示例审计日志条目

{ "event_id": "evt_20250207143556_abc123", "timestamp": "2025-02-07T14:35:56.123Z", "user_id": "dr_jane_smith", "user_role": "physician", "workstation_id": "ws_04_floor2", "action": "read", "resource_type": "patient_record", "resource_id": "pat_98765", // Encrypted in production "data_accessed": ["demographics", "lab_results", "vitals"], "clinical_reason": "Patient follow-up appointment", "access_result": "success", "duration_ms": 45, "ip_address": "10.24.5.12", // Masked in logs "hipaa_rule": "§164.312(b)(2)(i)" }

参考资料

  • 45 CFR §164.312(b) Audit Controls
  • 45 CFR §164.308(a)(5)(ii)(C) Log-in Monitoring
  • NIST SP 800-66 Rev. 2 - HIPAA Security Implementation Guidance
  • NIST SP 800-92 - Guide to Computer Security Log Management
  • HHS Office for Civil Rights Audit Protocols

限制

关于具体价格、收费模式、支持平台、部署环境、实际效果评测等信息，资料中暂未提供。