用途：该技能用于按 45 CFR §164.308(a)(1) 及 OCR 2010 年风险分析指南，对电子受保护健康信息（ePHI）的保密性、完整性和可用性开展准确、全面的风险与脆弱性评估。§164.308(a)(1)(ii)(A) 为安全规则的基础要求，风险分析结果驱动后续安全保障决策；OCR 将未开展全面、企业级风险分析列为违规调查中最常见的发现。
主要能力：遵循 OCR 九项要素，包括界定分析范围（覆盖全部 ePHI 及其形式与位置）、数据收集（自动发现、数据流映射、人员访谈、系统清单核对、供应商问卷、实地走访）、识别并记录威胁与脆弱性（自然、人为故意、人为无意、环境、技术五类，并采用渗透测试、漏洞扫描、配置审计、社会工程测试、应用安全测试、无线安全评估等方法）、评估现有安全措施、确定威胁发生可能性与潜在影响、计算风险等级（风险分值=可能性×影响）、形成完整文档、定期复审更新。同时包含 §164.308(a)(1)(ii)(B) 风险处置与缓解计划，以及 OCR 常见缺陷与执法案例。
使用方式：按九要素逐步实施，对每个高于可接受阈值的风险制定缓解计划，记录风险编号、当前分值、缓解措施、实施时间表、责任方、目标分值与剩余风险接受情况。风险分析应持续进行，至少每年一次全面复审，并在新系统上线、环境重大变化、安全事件或出现新威胁时更新。
适用场景与限制：适用于需履行 HIPAA 安全规则的受涵盖实体与业务伙伴。文档须足以证明范围完整、威胁与脆弱性识别全面、措施已评估、方法与评级一致、由合格人员执行。资料中未提供具体软件工具、自动化脚本或安装命令。