用途：将现有控制措施映射到 HIPAA 安全规则保障清单，执行 HIPAA 强制要求的安全风险分析，并标记 ePHI 处理中的暴露点，使 PHI 处理可辩护。
主要能力：按行政、物理、技术三类输出保障措施对照表，标注 met/partial/gap 状态及 required/addressable 属性；执行 §164.308(a)(1) 要求的风险分析（威胁、可能性×影响、残余风险）；梳理 BAA 范围；给出按优先级排序的修复计划。
必要输入：角色（covered entity 或 business associate）、ePHI 流转（创建、接收、存储、传输及访问者）、当前保障措施（访问控制、加密、审计日志、备份、培训）、涉及 PHI 的第三方。
使用方式：提供上述输入后生成 HIPAA 评估报告。可运行脚本 scripts/hipaa_checklist.py（仅标准库）对保障覆盖度评分并暴露未满足的 required 项： python3 scripts/hipaa_checklist.py safeguards.json python3 scripts/hipaa_checklist.py safeguards.json --json
限制：不构成法律认证，需合规顾问或安全评估师验证，尤其是风险分析；不得将 addressable 视为可选；不得跳过风险分析；不得在无 BAA 情况下通过供应商处理 PHI；不得与 SOC 2 或 GDPR 混为一谈。