S/MIME 入门：S/MIME 如何助力实现 HIPAA 合规

所有参与医疗机构运营的人员都清楚，医疗行业的工作远不止诊断患者、保持良好的接诊态度。从根本上看，医疗行业的大量工作都以沟通为基础：护士与患者及其家属沟通，医生与专科医生沟通，行政人员与保险理赔员沟通，保险公司与药房沟通，所有这些不同角色的人员之间都需要相互沟通。

因此，邮件安全是医疗行业的重点关注领域，这一点并不令人意外。Sectigo 曾多次撰文详细阐述相关威胁 各类组织通过电子邮件面临的威胁，例如针对性的鱼叉式钓鱼攻击，这类攻击会诱骗员工泄露敏感信息甚至资金。我的同事 Tim Callan 也曾撰写过关于S/MIME的内容，介绍其基于证书的认证技术如何帮助降低邮件类攻击的风险，将机密信息妥善安全地保护起来。

医疗行业面临的风险比许多其他行业更高。需要保护的信息不仅出于伦理、隐私相关的原因必须得到防护，同时也有法律层面的强制要求。1996年颁布的《健康保险流通与责任法案》（HIPAA）为患者隐私制定了明确的基本规则，医疗行业的相关主体必须采取恰当的措施来遵守这些法规要求。

受保护信息的属性使得医疗行业成为攻击者的高价值目标。患者的个人健康信息（PHI）经常需要通过电子邮件传输，而HIPAA 要求要求医疗机构必须使用数字证书保护 PHI，才能有效守护患者隐私。穿越防火墙传输的电子邮件必须采用端到端加密：在发送邮件服务器、接收邮件服务器以及传输过程中都要保持加密状态。这种加密级别可以确保除邮件发件人和收件人之外，任何人都无法查看邮件内容——也就是说，即使是服务器运维人员，或者绕过了常规邮件管控机制的恶意软件，也无法查看邮件内容。该方案甚至适用于部署在第三方云服务上的邮件服务器。

这类加密听起来可能很复杂，但 S/MIME 技术可提供覆盖上述所有要点的全面邮件安全解决方案——在医疗行业中，个人信息、医疗数据、保险信息与支付信息往往需要通过电子邮件频繁传输，不难理解这类防护措施的重要性。通过在组织内部署邮件证书，S/MIME 能够以高性价比、易于使用的方式，精准提供 HIPAA 所要求的防护能力。

使用 S/MIME 加密邮件还能帮助医疗行业相关主体满足 HIPAA 的邮件留存要求，同时不违背安全规范。由于邮件内容在归档前就已完成加密，无论采用何种存储方式，PHI 都不会被泄露。关键的是，邮件头信息仍可在应用内被检索——这让 S/MIME 加密既适用于安全存储，也能支持便捷的信息调取。

HIPAA 这类法规可能看起来要求严苛，但如今面向医疗机构的 S/MIME 技术简单易用，合规工作可以非常顺畅。通过提供可靠的端到端加密，以及简单直接的信息归档与检索方案，S/MIME 能够帮助这类组织保护 PHI，防护自身邮件系统免受外部威胁。

如需了解更多信息，可阅读本系列的往期博客文章《S/MIME 入门：电子邮件为何存在漏洞，S/MIME 如何提供防护》和《S/MIME 入门：防范钓鱼攻击

敬请关注我们的下一篇文章：《S/MIME 入门：使用 S/MIME 维持 DFARS 合规.