用途：面向处理电子受保护健康信息（ePHI）的系统，落实 HIPAA 安全规则、隐私规则和违规通知规则，并配置 PHI 保护与 BAA 要求。
适用场景：构建或运营处理 ePHI 的系统；为符合 HIPAA 的云工作负载配置基础设施；与供应商签订业务伙伴协议（BAA）；实施技术保障措施；准备 HIPAA 合规审计或 OCR 调查。
主要能力：按管理、物理、技术三类保障措施梳理要求，包括风险分析、员工安全、访问管理、安全培训、事件响应、应急计划、设施访问控制、工作站安全、设备与介质控制等；技术层面覆盖访问控制（唯一用户标识、紧急访问、自动登出、加密解密）、审计控制、完整性、身份认证、传输安全。加密要求：静态数据 AES-256，涵盖 AWS（RDS、S3 SSE-KMS、EBS、DynamoDB、ElastiCache、Redshift、EFS）、Azure（SQL TDE、存储 CMK、托管磁盘、Cosmos DB）、GCP（Cloud SQL、Cloud Storage、BigQuery、Persistent Disk 的 CMEK）；传输中要求 TLS 1.2 及以上，包含负载均衡器强制 TLS、HTTP 到 HTTPS 跳转、服务间 mTLS、数据库 SSL/TLS、API 网关 TLS 最低版本、PHI 邮件加密、管理访问 VPN 或私有连接；密钥管理要求客户管理 KMS 密钥、至少年度轮换、访问受限、使用审计、删除保护。访问控制含唯一账户、MFA、SSO（SAML/OIDC）、按职能最小权限、会话 15 分钟空闲超时、紧急破窗流程。审计要求记录所有 PHI 读写删除、认证事件、管理操作、失败访问，日志完整性保护和至少保存 6 年。另含 AWS HIPAA 合规架构示例命令（创建 VPC、流日志、加密 RDS、S3 加密与访问阻止、CloudTrail 数据事件）和 hipaa-risk-scan.sh 风险扫描脚本，以及 BAA 登记表字段、云厂商 BAA 签署方式、合规检查清单与最佳实践。
限制：资料未提供具体价格、收费方式或服务等级；实际合规性需结合组织自身风险评估与法律意见，技能内容为技术与管理控制参考。