HIPAA合规文件传输：医疗数据指南
医疗机构HIPAA合规文件传输的完整指南，涵盖PHI保护、加密和审计日志要求。
HIPAA合规文件传输涉及受保护健康信息（PHI）时，必须满足三项核心要求：与传输服务商签订业务伙伴协议（BAA）、落实《安全规则》规定的行政、物理与技术保障措施（45 CFR 164.308、164.310、164.312），以及遵循《隐私规则》的最小必要披露原则（164.502(b)）。技术层面要求：PHI 静态和传输中均采用 AES-256 加密，具备唯一用户 ID 的访问控制，审计控制记录全部 PHI 访问，以及防止未经授权篡改的完整性控制。缺少 BAA 的每次传输都构成 HIPAA 违规，无论加密强度如何。
业务伙伴协议的强制性要求
45 CFR 164.504(e) 要求覆盖实体（医院、诊所、保险公司）与任何处理 PHI 的供应商签订书面 BAA。文件传输服务一旦经手 DICOM 文件、检验报告 PDF 或患者 CSV，即成为业务伙伴。BAA 必须涵盖：允许的使用和披露范围、保障措施承诺、60 天内的违规报告义务、分包商承接义务（分包业务伙伴同样需要 BAA）、合同终止时的归还或销毁义务，以及违约时的终止权利。Box、Microsoft 365、Google Workspace、AWS 均发布标准 BAA；消费级服务（WeTransfer 免费版、普通 Dropbox）通常不提供。
安全规则的三类保障措施
45 CFR 164.308（行政）：安全管理流程、指定安全责任人、员工安全管理、信息访问管理、安全意识培训、安全事件处理程序、应急计划、评估以及 BAA 管理。164.310（物理）：设施访问控制、工作站使用规范、工作站安全、设备与介质控制。164.312（技术）：访问控制、审计控制、完整性控制、身份验证、传输安全。文件传输服务涉及三个层面——行政层面通过 BAA 体现，物理层面通过数据中心安全体现，技术层面通过加密和访问日志体现。
字节级别的技术保障
45 CFR 164.312(a)(2)(iv) 要求对电子 PHI 进行加密与解密。HHS 2013 年指导意见参照 NIST SP 800-111 处理静态数据，以及 FIPS 140-2 认证模块。实际落地：文件内容使用 AES-256-GCM，传输层使用 TLS 1.3，密钥管理使用 FIPS 140-2 Level 2 HSM（AWS CloudHSM、Azure Managed HSM）。164.312(c)(1) 要求完整性控制——AES-GCM 等认证加密满足此要求，因为任何篡改都会导致认证标签验证失败。164.312(b) 审计控制要求记录所有硬件、软件和程序机制的活动日志。
60 天违规通知时限
HIPAA 违规通知规则（45 CFR 164.400-414）要求覆盖实体在发现违规后 60 天内通知受影响个人、HHS，以及在某些情况下通知媒体。触发条件为"不安全 PHI"——未按 NIST 标准加密的 PHI。根据 HITECH 法案中的安全港条款，因盗窃导致的加密 PHI 泄露通常无需通知——前提是加密符合 HHS 指导意见（至少使用 AES，密钥未被攻破）。这正是医疗采购方优先要求供应商提供加密标准和密钥管理文档证明的原因。
最小必要原则与文件级访问控制
《隐私规则》的最小必要标准（164.502(b)）要求将 PHI 披露限定在目的所需的最小范围内。对于文件传输，这意味着在只需要影像检查结果时，不应发送完整患者档案。应将大型导出拆分为按目的组织的文件夹，在发送前剥离 XLSX 中不必要的列，并对 PDF 中的字段进行遮盖处理。传输工具应支持面向收件人的精细授权——收件人 A 只能看到文件 1 和 2，收件人 B 只能看到文件 3——而非笼统地共享整个文件夹。只能做到"向一个 URL 发送所有内容"的服务，在界面层面就已不符合最小必要标准。
审计控制与六年保留要求
45 CFR 164.312(b) 要求审计日志，164.316(b)(2)(i) 要求相关文档保留六年。文件传输应记录：PHI 访问事件（上传、下载、预览、删除）、操作者身份、时间戳、来源 IP、成功或失败。将日志集中汇入具有不可变性的 SIEM——AWS CloudTrail 日志文件完整性验证、Azure Sentinel 一次写入存储、Splunk SmartStore 配合 Object Lock。HIPAA 审计会要求查询特定事件；无法检索的文本日志不符合要求。应投资建设具有可查询字段的结构化日志系统。
PHI 在云端的 HHS 指导意见
HHS 于 2016 年发布云计算指导意见，并于 2022 年更新。即便云服务商存储的是加密 PHI 且无法访问密钥，仍被认定为业务伙伴——这一点与 GDPR 不同，GDPR 下零知识供应商对加密内容可能不构成数据处理者。无论加密状态如何，均需签订 HIPAA BAA。适用于 PHI 的云存储：AWS（S3 配合 KMS、Backup、Glacier）、Azure（Blob Storage、Managed Disks）、Google Cloud（Cloud Storage）、Box for Healthcare、Dropbox Business 含 HIPAA 附加模块——各平台均签订 BAA 并发布 HIPAA 专项配置指南。
传输中 PHI 的传输安全
45 CFR 164.312(e)(1) 要求对电子传输的 PHI 采取技术安全措施。标准解释：TLS 1.2 最低要求，TLS 1.3 优先；禁用弱密码（RC4、3DES、出口密码）；在负载均衡器处禁用 SSL 2.0、SSL 3.0、TLS 1.0 和 TLS 1.1；启用长有效期 HSTS。邮件传输应采用 Direct Secure Messaging（基于 X.509 证书的 S/MIME）进行 HIE 间交换，或使用经验证证书的 TLS 1.2+。通过未经验证 TLS 的普通 SMTP 发送邮件附件，是常见的违规场景。
选择符合 HIPAA 标准的传输供应商
筛查清单：（1）是否愿意无需谈判直接签署 BAA？（2）BAA 是否涵盖 45 CFR 164.504(e) 的全部要求，包括分包业务伙伴承接义务？（3）是否发布 HIPAA 合规文档（最好是范围涵盖 HIPAA 的 SOC 2 Type II，以及 HITRUST CSF 认证）？（4）能否证明加密符合 NIST SP 800-111 和 FIPS 140-2 认证模块？（5）是否保留六年审计日志？（6）合同中是否明确 60 天违规通知时限？Paubox、Virtru 和 TigerConnect 专注于医疗行业。HexaTransfer 等具有欧盟对齐控制措施和高强度加密的通用服务可适用于低风险场景，但针对美国境内 PHI 需要仔细谈判 BAA 条款。
合规架构设计要点
上传端点：TLS 1.3，通过 Web Crypto API 实现客户端 AES-256-GCM，密钥由服务商颁发的令牌派生。存储：us-east-1 区域的 S3 存储桶配合 SSE-KMS 和 Object Lock，阻止公开访问，使用 VPC 端点。访问：带 PHI 专属标签的 IAM 角色，强制 MFA，启用会话记录。审计：CloudTrail 写入独立账户并启用日志文件验证，六年保留期，异常访问告警。网络：私有 VPC，PHI 存储桶无互联网出口。违规响应：24 小时检测 SLA，60 天通知流程已文档化并每季度演练。
在 hexatransfer.com 上试试 — 免费、无需注册、最多 10 GB。