• 持续的风险评估是网络安全的基石，现代风险评估除安全风险评估、隐私风险评估，另需要考虑虚拟“云”组件、自带设备、远程办公及无线接入点等电子边界资源。

• 风险管理是HIT信任框架工作的基础，它是一个持续的、个性化的过程，个人或组织需检查自身威胁、脆弱性和有价值资产，决定如何处理已确定的风险（减少、消除或容忍）。

• 信息保障政策定义了要执行的规则，通过保护组织的有价值的信息资产使其免受已确定的保密性、数据完整性和服务可用性的风险，并确保个人隐私权得到维护。

包括设施访问控制、工作站使用政策和程序、工作站安全措施和媒体控制等。

• 安全和隐私操作：HIPAA要求医疗机构设安全与隐私官员，护士需明确责任人员。

• 人员培训和管理：医疗机构需灌输安全文化，全员每年需完成安全隐私培训。

• 商业协议：商业协议管理风险，HIPAA要求承保实体与商业伙伴签合同并尽职调查。

• 配置管理：全生命周期控制系统属性，保护信息资产。

• 认证和授权基础设施：管理个人和软件身份授权，依赖注册身份准确性。

• 知情同意管理：获取个人同意是隐私基础，HIPAA和FHIR标准有相关规定。

• 入侵检测：用IDS检测外部威胁

• 内部威胁检测：内部威胁分三类，泄露、疏忽和恶意，意识培训是防御关键。

• 事故应对：培训明确事故操作，医疗机构需有数据泄露应对计划，HIPAA规定超500人泄露需报告。

• 行动的连续性：意外时需保障服务，HIPAA要求组织有应急计划。

• 评估：定期评估操作和技术保障措施，衡量安全管理计划有效性。

• 冗余和故障切换：避免单点故障，确保系统持续运行。

• 可扩展性：应对健康信息增长，利用云计算实现扩展。

• 可靠性：系统或部件持续执行特定功能的能力。

• 故障安全设计：确保故障时不会造成人员身体伤害。

• 互操作性：系统将电子数据翻译成系统的应用和用户能够理解的健康信息。

• 可用性：所需的服务和信息在需要时必须是可用的，并且可以使用。

• 简单性：系统被构建成易于用户正确使用，易于经过培训的专业人员进行配置和维护。

• 进程隔离：隔离不同授权的进程，保护系统完整性。

• 实体认证：验证个人或软件应用程序身份，启动用户会话。

• 访问控制：确保用户仅访问授权资源，防止未经授权的操作。

• 审计控制：收集和记录系统安全事件信息。

• 数据完整性：保证电子数据未被未经授权修改或销毁。

• 不可否认性：通过数字签名确保数据来源真实性。

• 加密：使数据不可读，保护静止和运动中的数据。

• 恶意软件防御：通过技术、用户意识和政策防御恶意软件。

• 传输安全：使用传输安全协议（TLS）和互联网协议安全协议（IPSec）保护数据传输安全。

包括单击登录和身份联合，允许用户一次身份验证后访问多个应用或企业，需确保初始身份验证过程的安全性。