用途
assess-hipaa 用于对处理 PHI（受保护健康信息）的医疗健康系统开展一次全面的 HIPAA 合规评估。它面向需要了解系统合规状况、识别保障措施差距并制定整改计划的场景。
工作流程
该技能的执行分为三个步骤。
步骤一：加载所需技能
加载三项技能：
- hipaa-compliance：HIPAA 要求与保障措施
- data-classification：PHI 识别
- security-frameworks：安全控制映射
步骤二：启动合规分析师智能体
启动 compliance-analyst 智能体，并给出以下提示：对 $ARGUMENTS 开展一次全面的 HIPAA 合规评估。评估内容包含以下几项：
- PHI 识别：识别所有受保护健康信息、映射 PHI 数据流、记录存储位置、识别所有访问点。
- 实体分类：判定属于 Covered Entity 还是 Business Associate、识别所有 Business Associate 关系、审查 BAA 覆盖情况。
- 管理保障措施：安全管理流程、员工安全、信息访问管理、安全意识与培训、事件响应程序、应急预案。
- 物理保障措施：设施访问控制、工作站安全、设备与介质控制。
- 技术保障措施：访问控制（唯一用户 ID、MFA）、审计控制、完整性控制、传输安全。
- 风险评估：识别威胁与脆弱性、评估可能性与影响、计算风险等级、建议缓解措施。
- 违规通知准备度：事件检测能力、违规评估程序、通知程序。
在此基础上提供完整的 HIPAA 评估，包括保障措施合规评分、带严重度的差距分析、风险评估摘要、整改优先级。
步骤三：生成评估报告
确保报告包含：含合规状况的高管摘要、详细的保障措施评估、风险登记表、BAA 清单、整改路线图。
使用方式
通过 /compliance-planning:assess-hipaa 命令调用，参数为待评估系统的描述。示例：
# 评估患者门户
/compliance-planning:assess-hipaa "patient portal with PHI access and messaging"
# 评估病历系统
/compliance-planning:assess-hipaa "electronic health record system with multi-provider access"
# 评估医疗分析平台
/compliance-planning:assess-hipaa "healthcare analytics platform processing de-identified data"
输出格式
报告采用 Markdown 结构，标题为 # HIPAA Compliance Assessment: [System Name]，包含以下部分：
- 高管摘要：实体类型（Covered Entity / Business Associate）、总体合规状况（COMPLIANT / PARTIAL / NON-COMPLIANT）、按管理、物理、技术及总体维度给出评分表（X/10 与状态）、关键发现。
- PHI 清单：表格字段为数据元素、HIPAA 标识符、位置、访问。
- 保障措施评估：分别对管理、物理、技术三类保障措施，按需求、状态、证据、差距四个字段列表。
- Business Associate 分析：表格字段为 BA 名称、服务、BAA 状态、上次审查。
- 风险评估：表格字段为风险、威胁、脆弱性、可能性、影响、评分、缓解措施。
- 差距分析：关键差距表，字段为差距、保障措施、风险、优先级、整改措施。
- 整改路线图：分三个阶段（第一阶段关键/立即、第二阶段高优先级/30 天、第三阶段改进/90 天），每项行动可带负责人。
- 违规通知准备度：以勾选框列出事件检测到位、违规评估程序已文档化、通知模板就绪、HHS 报告程序已定义。
适用场景与限制
适用于患者门户、电子健康记录系统、医疗分析平台等处理 PHI 的医疗健康系统合规评估，能够同时覆盖实体分类、BAA 管理、三类保障措施和违规通知准备度。关于该技能的收费、价格、平台支持、实际使用效果以及是否包含自动化执行能力，资料中暂未提供。