用途：该技能用于在创建、接收、维护或传输电子受保护健康信息（ePHI）的系统中，对照 HIPAA 安全规则、隐私规则和违规通知规则进行控制映射与实施准备。适用场景包括：构建或运营处理 ePHI 的系统、为 HIPAA 合格工作负载配置云基础设施、与供应商建立业务伙伴协议、实施 PHI 保护技术保障、准备 HIPAA 审计或 OCR 调查。
主要能力：提供安全规则下行政管理、物理和技术保障的条款映射，包括风险管理流程、劳动力安全、信息访问管理、安全意识培训、安全事件程序、应急计划、评估，以及设施访问控制、工作站使用与安全、设备与介质控制、访问控制、审计控制、完整性、身份验证、传输安全等。隐私规则部分涵盖最小必要原则、个人权利和隐私实践通知；违规通知规则列出个人、HHS 和媒体通知时限。技术保障部分给出加密（静态 AES-256、传输 TLS 1.2+）、密钥管理、唯一用户标识、MFA、基于角色访问、会话超时、紧急访问、审计日志与监控等检查项。还提供 AWS HIPAA 合格架构的 VPC、流日志、加密 RDS、S3 加密与访问阻止、CloudTrail 数据事件等示例命令，BAA 跟踪登记表模板，以及只读风险分析证据收集命令和完整合规检查清单。
使用方式：将技能内容作为控制映射清单，逐项对照系统现状勾选或记录差距；在云环境中参考示例命令前，需确认账户、区域、命名、合格服务范围、BAA、KMS/网络前提和回滚方案，并由授权人员执行变更。风险分析采用有界、只读的证据收集，记录命令退出状态、账户/区域、时间戳、资源清单和覆盖缺口；API 调用失败或拒绝应视为未知而非通过。
适用场景与限制：适用于医疗健康数据处理系统的合规准备、审计前自查和供应商 BAA 管理。该技能仅为指导与清单，不构成法律意见，也不能替代合规判定；覆盖实体/业务伙伴适用性及现行有效规则需由合格隐私/安全顾问核实。文中 AES-256、TLS 版本、MFA、15 分钟会话、CMK 和年度/季度安排是基线设计选择，并非普遍法定要求；可寻址规范不等于可选项，需有记录的风险评估。不得向未经批准的服务发送 PHI。扫描结果不得称为完整的 HIPAA 风险分析。