據(jù)消息稱，醫(yī)療機(jī)構(gòu)應(yīng)該執(zhí)行“差距分析”以找出HIPAA合規(guī)中的薄弱問題。這個(gè)主意行得通嗎？我們又該如何執(zhí)行合規(guī)差距分析呢？

Mike Chapple：這絕對是個(gè)好主意。安全差距分析是經(jīng)過時(shí)間檢驗(yàn)的合規(guī)技術(shù)，非常適合受HIPAA、PCI DSS和其他安全及隱私法規(guī)監(jiān)管的企業(yè)。差距分析或評估主要包括測量IT資產(chǎn)，看看它們是否符合預(yù)期的性能指標(biāo)。安全或合規(guī)差距分析則會根據(jù)監(jiān)管機(jī)構(gòu)或標(biāo)準(zhǔn)組織規(guī)定的要求來衡量企業(yè)當(dāng)前的合規(guī)工作。

企業(yè)在執(zhí)行安全差距分析時(shí)，首先應(yīng)該確定誰來執(zhí)行評估。如果評估是供內(nèi)部使用，則可讓內(nèi)部人員來執(zhí)行評估—這里需要有資格來評估合規(guī)性的人員。在另一方面，如果評估將與外部利益相關(guān)方共享，企業(yè)可能希望聘請第三方審計(jì)公司來執(zhí)行評估。

安全差距分析主要是評估企業(yè)的合規(guī)性與HIPAA規(guī)則是否相符。評估者應(yīng)該記錄企業(yè)如何遵守法規(guī)的各個(gè)部分，然后確定企業(yè)需要作出哪些修復(fù)以完全遵守法規(guī)。此外，這種差距評估可向企業(yè)領(lǐng)導(dǎo)層提供實(shí)現(xiàn)全面合規(guī)性的路線圖。