用途：面向受涵盖实体（健康计划、清算所或开展电子交易的医疗服务提供方）及代表其处理 ePHI 的商业伙伴，帮助建立或完善保护电子受保护健康信息（ePHI）的 HIPAA 安全规则控制措施，并用于 OCR 审计/调查准备、疑似违规响应、BAA 起草与审查、现有控制映射。
主要能力：按工作流覆盖九步——开展安全风险分析（§164.308(a)(1)(ii)(A)）；实施行政保障（§164.308）；物理保障（§164.310）；技术保障（§164.312）；处理必需与可寻址规范；执行商业伙伴协议（§164.314/§164.308(b)）；跟踪 2025 NPRM 拟议变更（尚未生效）；建立违规通知准备（§§164.400–414）；按 §164.316 留存文档六年。
使用方式：需先明确组织角色与 ePHI 数据地图、资产清单，了解现行规则结构及必需/可寻址区别。可结合 HHS SRA 工具、NIST SP 800-66 Rev 2、NIST SP 800-30、GRC 平台及加密/MFA/SIEM/审计日志工具。输出为 HIPAA 安全规则差距评估，含角色与 ePHI 范围、风险分析摘要、保障状态、BAA 清单、违规通知准备、2025 NPRM 差距视图与整改计划；可用 scripts/process.py 对保障状态 JSON 评分并生成差距表与整改优先级。
适用场景：OCR 调查、新 SaaS 处理 ePHI、可寻址规范不按原文实施、拟议规则准备、设备丢失或被盗。
限制：本技能仅覆盖安全规则（ePHI），隐私规则与违规通知规则相关但不同；2025 NPRM 为提案，现行规则仍有效，不应假定其已生效。具体价格、平台与效果资料暂未提供。