用途：对处理受保护健康信息（PHI/ePHI）的应用与基础设施开展 HIPAA 合规审计，重点落在安全规则的三类保障措施（行政、物理、技术），并叠加隐私规则、泄露通知规则与 HITECH。最终合规判定由律师与隐私官负责，本技能只做技术工程层。
主要能力：界定适用主体（覆盖实体 CE、业务伙伴 BA 及其分包商）与 PHI 范围（18 项安全港标识符；去标识化两种方式：安全港与专家判定；假名化数据仍属 PHI）；按 §164.308 行政保障、§164.310 物理保障、§164.312 技术保障逐条审计，含唯一用户标识、紧急访问、自动注销、静态加密、审计控制、完整性、身份认证（MFA）、传输安全（TLS 1.2+）；隐私规则的最小必要原则、TPO 例外、个人权利与隐私实践通知；泄露通知时限（个人与 HHS 60 天内，≥500 人 60 天内报 HHS，>500 人同窗口通知媒体，BA 至 CE 60 天内）；加密作为安全港。
使用方式：按技能提供的审计清单逐项核查——ePHI 清单、数据流图、BAA 覆盖、云厂商 BAA、风险评估时效；行政与技术保障表格逐条记录状态与发现；隐私规则检查代码中是否存在对 PHI 表的 SELECT *、个人访问路径（30 天交付）等；泄露响应就绪度检查审计日志能否在 60 天时钟内完成范围界定。常见发现包括 PHI 流入无 BAA 的厂商管道、共享服务账号访问 PHI、过度查询、仅需年龄段却存 DOB、备份密钥同址、生产数据灌入低环境、MFA 未全覆盖、审计日志保留不足 6 年、无自动注销、BA 链条断裂。
适用场景：医疗健康相关系统的合规自查、审计准备与整改优先级排序。
限制：不替代隐私官与律师的最终判定；拒绝协助构建违反 HIPAA 的流程（PHI 流向无 BAA 厂商、共享账号访问、经消费级邮件/短信/聊天传输 PHI、未经授权的营销使用）；泄露通知本身需经安全沟通流程与律师审核；州法可能更严格（如德州 HB 300、加州 CMIA）；基因信息另受 GINA 约束，不在范围内；OCR 指引更新时以现行指引为准。参考资料包括 HHS HIPAA 规则、OCR 审计协议、HHS 安全风险评估工具、NIST SP 800-66 Rev.2、HITRUST CSF 与 OCR 和解协议。