医院员工 WiFi 的 HIPAA 技术安全措施：安全规则的实际要求

45 CFR 164.312 中的五项 HIPAA 安全规则技术保护标准适用于医院员工 WiFi。它们是访问控制、审计控制、完整性、个人或实体身份验证以及传输安全。您可以通过在每个员工 SSID 上采用 802.1X 和基于证书的 EAP-TLS 身份验证、将 RADIUS Accounting 作为审计日志以及使用 WPA3-Enterprise 加密来满足这些标准。

HIPAA 技术保护对员工 WiFi 有何要求？

员工 WiFi 是符合 HIPAA 标准的医疗网络无线基础。临床人员在移动工作站上打开电子健康记录。他们在手持设备上扫描药物条形码，并在临床通信徽章上接听电话。绝大多数此类流量都会经过员工 SSID。Purple 的 Staff WiFi 将该 SSID 视为身份层而非密码，而安全规则也在推动您走向相同的方向。

安全规则保护您创建、接收、维护或传输的电子保护健康信息 (ePHI) (45 CFR 164.306(a))。它将要求分为行政、物理和技术保护措施。技术保护措施包含五项标准。您的员工 WLAN 会传输 ePHI，因此所有五项标准都延伸到了无线层。

在进一步阅读前，有两个术语至关重要。“必需” (required) 的实施规范必须按字面要求实施。“可替代” (addressable) 的规范如果合理且适当则必须实施；如果不合理，您必须记录原因并采取等效措施 (45 CFR 164.306(d))。可替代并不意味着可选，并且在开放的无线电链路中，几乎没有可靠的理由拒绝加密。

2025 年 1 月，HHS 发布了一项拟议规则制定通知，旨在取消“可替代”这一类别。该规则将使传输中 ePHI 的加密和多因素身份验证成为强制要求。在进行下一次风险分析评估范围时，请务必检查其最新状态。现在按照更严格的文本进行设计，可避免日后进行第二次迁移。

为什么共享的 WiFi 密码无法满足安全规则？

WPA2-PSK（预共享密钥）网络只验证密码，而不验证个人身份。每位知道该密码的护士、搬运工、机构代班人员和承包商在网络面前看起来都完全相同。164.312(a)(2)(i) 中的“唯一用户身份识别”是一项必需的规范。它要求您为每个人分配唯一的姓名或编号，以便识别他们并跟踪其活动。共享密码无法做到这一点，没有任何文档能够改变这一事实。

这种失效还会波及其他标准：

• 审计控制。 日志仅记录 MAC 地址和 IP 租约，而不是具名的员工成员。当前的 iOS 和 Android 版本默认随机化 MAC 地址，这甚至进一步削弱了日志的作用。
• 个人或实体身份验证。 知道密码无法证明任何身份。密码极易通过便利贴、轮班表和群消息泄露。
• 传输安全性。 任何持有密码短语并捕获了设备四次握手过程的人都可以派生出其会话密钥。然后，他们就可以解密该设备的流量。持有旧密码短语的前员工将始终处于加密边界之内。
• 终止。 164.308(a)(3)(ii)(C) 要求在雇佣关系结束时终止访问权限。使用共享密钥时，移除一个人意味着要为所有人更改密钥。

最后一点使 PSK 轮换沦为形式。轮换会干扰所有设备，因此很少发生。在两次轮换之间离职的每个人都会保留访问权限。

这五项标准如何对应到无线控制措施？

访问控制 - 164.312(a)(1)

该标准将对 ePHI 的访问限制在已获得访问权限的人员和软件范围内。在无线层，IEEE 802.1X 就是具体实现。它是一种基于端口的访问控制标准，在设备证明其身份之前将其隔离在网络之外。RADIUS（远程认证拨号用户服务）服务器会验证该身份。

借助 EAP-TLS（可扩展身份验证协议 - 传输层安全性），身份是颁发给具名人员或托管设备的 X.509 证书。然后 RADIUS 会返回一项策略：VLAN、角色和访问列表。病房护士接入临床 VLAN。设施承包商则接入仅能访问建筑管理的网段。

另外两项规范与 WiFi 相关。自动注销（可寻址）对应于会话超时和重新身份验证间隔。紧急访问（必需）是指一份针对 RADIUS 服务无法访问时该如何处理的书面预案。

审计员审查的内容： 您的访问控制策略、包含身份验证方法的每个 SSID 列表，以及人员如何获取和失去访问权限。请准备好证明传输 ePHI 的 SSID 均未采用共享密钥。

审计控制 - 164.312(b)

该标准要求建立记录和审查包含或使用 ePHI 系统活动的机制。由于它没有具体的实现规范，因此方法由您决定。对于无线网络，RADIUS Accounting (RFC 2866) 就是审计日志。

每个会话都会生成开始（Start）、中间更新（Interim-Update）和停止（Stop）记录。这些属性直接回答了审计员的问题：

• 主体： User-Name，即证书或目录身份。
• 设备： Calling-Station-Id，即客户端 MAC 地址。
• 地点： Called-Station-Id，即无线接入点和 SSID。
• 时间和时长： Event-Timestamp 和 Acct-Session-Time。
• 结束原因： Acct-Terminate-Cause。

记录只是标准的一半。审查是另一半，164.308(a)(1)(ii)(D) 要求定期审查信息系统活动。将记账记录实时流式传输到您的 SIEM（安全信息和事件管理）平台中。然后安排并记录审查过程。

审计员审查的内容： 抽样日期范围的导出数据以及有人对其进行审查的凭证。164.316(b)(2)(i) 要求对所需文档保存六年。许多组织对日志凭证也应用相同的保存期限。

完整性 - 164.312(c)(1)

该标准旨在保护 ePHI 免受未经授权的篡改或破坏。在无线链路层，AES-CCMP 为每个数据帧都添加了消息完整性检查。WPA3-Enterprise 还将受保护的管理帧 (IEEE 802.11w) 列为强制要求。这能够阻断伪造的取消身份验证帧 - 这是一种导致临床设备掉线的常见攻击手段。WPA3-Enterprise 192 位模式则升级为了 AES-GCMP-256。

TKIP 作为旧版 WPA 的加密套件，其完整性检查机制非常薄弱。IEEE 已在 802.11-2012 中弃用了 TKIP。

审计员审查重点： 控制器加密设置显示仅使用 AES、已禁用 TKIP，且已开启管理帧保护功能。

人员或实体身份验证 - 164.312(d)

该标准要求您验证请求访问的人员或实体是否为其所声称的身份。这是推荐使用 EAP-TLS 而非 PEAP-MSCHAPv2 的核心依据。

PEAP (Protected EAP) 在 TLS 隧道内封装用户名和密码交换。如果客户端跳过了服务器证书验证，恶意的接入点就能伪造您的网络。它会捕获能够被离线破解的 MS-CHAPv2 交互过程。Microsoft 安全通告 2743314 对此进行了记录，并建议进行服务器证书验证或转向基于证书的身份验证。Microsoft 还记录了 Windows Defender Credential Guard 会阻止保存凭据的 MS-CHAPv2 进行单点登录。

EAP-TLS 执行双向证书身份验证。设备证明其拥有私钥，而服务器证明其自身身份。这一过程不存在会被钓鱼的密码。私钥可以安全地以不可导出形式存储在设备的 TPM (可信平台模块) 或安全隔离区中。医疗设备同样属于实体，具备能力的设备可以携带自己的证书。

审计员审查重点： 您如何在每个访问路径上验证身份。“员工知道 WiFi 密码”并不是合格的回答。您需要展示与人力资源入职记录相关联的证书颁发流程，以及离职人员的证书吊销步骤。

传输安全 - 164.312(e)(1)

该标准旨在防止传输中的 ePHI 受到未经授权的访问。其两项具体规范 - 完整性控制和加密，均为可操作项。采用 TKIP 的 WPA2-Enterprise 无法达标，因为该加密套件已被弃用。IEEE 802.11n 也已将 TKIP 排除的高吞吐速率之外。采用 AES-CCMP 的 WPA2-Enterprise 在目前是合规的。而 WPA3-Enterprise 是目前最值得部署的配置。

HHS 数据泄露指南规定，当加密符合 NIST SP 800-52、800-77 或 800-113 时，传输中的 ePHI 才能被视为安全的。这些出版物涵盖了 TLS、IPsec 和 SSL VPN。仅在无线链路层使用 WPA3，并不能直接将流量纳入该安全港范围。应用层的 TLS 依然至关重要。

审计员审查重点： 每个员工 SSID 上的加密设置以及旧版 SSID 停用的记录。

哪些无线配置能够经受住审查？

iPSK (身份预共享密钥) 允许每个设备或设备组在单个 SSID 上使用属于自己的安全密码。

配置	唯一标识	审计轨迹	身份验证	传输加密	审计评估
共享 WPA2-PSK, TKIP	无 - 单一共享密钥	仅 MAC 和 IP	掌握密码	已弃用的密码算法	不合格
共享 WPA2-PSK, AES	无 - 单一共享密钥	仅 MAC 和 IP	掌握密码	AES；任何密钥持有者均可解密捕获的会话	对于员工访问 ePHI 不合格
每个设备 iPSK	按设备，而非按个人	命名设备密钥	拥有设备密钥	AES-CCMP	对于具有记录在案的补偿控制措施的无界面临床设备可接受
WPA2-Enterprise, PEAP-MSCHAPv2	按个人	每个会话的用户名	密码；如果证书验证关闭则暴露	AES-CCMP	在强制执行验证并具备迁移计划的情况下具有可辩护性
WPA2-Enterprise, EAP-TLS	按个人或设备	每个会话的证书身份	双向证书	AES-CCMP	强
WPA3-Enterprise, EAP-TLS	按个人或设备	每个会话的证书身份	双向证书	AES-CCMP 加强制 PMF	目标配置
WPA3-Enterprise 192-bit, EAP-TLS	按个人或设备	每个会话的证书身份	双向证书，384位 ECC	AES-GCMP-256 加 PMF	最高安全保障；请先确认设备支持

OCR 审计员在医院无线网络上审查什么？

美国卫生与公众服务部民权办公室（OCR）负责强制执行 HIPAA。其审查主要基于文档。审计员不会拿着频谱分析仪在你的病房里走动。他们会索取策略、配置和记录，然后测试记录是否与策略一致。

首先从风险分析开始。OCR 在 2020 年 12 月发布的 2016 - 2017 年 HIPAA 审计行业报告中发现，大多数接受审计的涵盖实体未能有效实施风险分析和风险管理。忽略 WLAN 的风险分析是一个很容易被发现的漏洞。

要求	OCR 要求查看的内容	对应该要求的无线凭证
风险分析, 164.308(a)(1)(ii)(A)	处理 ePHI 的系统清单及每个系统面临的威胁	每个 SSID、其身份验证方法、VLAN 和设备类别
访问控制, 164.312(a)(1)	证明每个人都有唯一标识符	802.1X 和 EAP-TLS 配置；零传输 ePHI 的共享密钥 SSID
审计控制, 164.312(b)	日志和审查凭证	样本日期范围的 RADIUS Accounting 导出；SIEM 审查记录
完整性, 164.312(c)(1)	如何保护 ePHI 免受篡改	控制器密码设置：仅限 AES，需要 PMF
身份验证, 164.312(d)	如何在每条路径上验证身份	链接到人力资源记录的证书颁发和撤销程序
传输安全, 164.312(e)(1)	加密决策，若未实施需提供理由	WPA3-Enterprise 配置和旧版 SSID 退役记录
终止 access, 164.308(a)(3)(ii)(C)	离职人员失去访问权限的证明	对照人力资源离职日期设置的撤销时间戳

预计还会遇到关于患者和访客网络的问题。审计人员希望确认该网络无法访问 ePHI。

医疗设备和患者 WiFi 如何与员工 WiFi 共存？

输液泵和成像设备属于合规评估范围吗？

这是让许多医疗 IT 团队掉以轻心的范围界定问题。测试的标准在于该设备是否会创建、接收、维护或传输 ePHI。与电子健康记录（EHR）交换患者关联医嘱的智能输液泵属于评估范围。向 PACS 发送 DICOM 影像的成像设备以及向中央站传输数据的心电监护仪也是如此。疫苗冰箱温度记录仪不携带患者数据，因此不属于 ePHI 评估范围。

困难在于，许多属于评估范围的设备无法运行 802.1X、EAP-TLS 或 WPA3。FDA 2023 年上市前的网络安全指南仅适用于新提交的设备。您已安装的现有设备则保持原样。

VLAN 隔离如何控制风险

VLAN（虚拟局域网）是在共享硬件上逻辑隔离的网络段。将临床物联网设备部署在专用 SSID 或 iPSK 组上，并映射到每个设备类别对应的 VLAN。随后，防火墙规则允许每个类别仅访问其指定的服务器，例如输液泵服务器或 PACS。员工设备无法直接访问输液泵，输液泵也无法访问员工 VLAN。

HHS 405(d) 卫生行业网络安全实践出版物建议将医疗设备与通用网络进行隔离。在风险分析中将网络隔离记录为无法通过证书进行身份验证的设备的补偿性控制措施。同时保留 iPSK 和 MAC 认证设备的 RADIUS 记录，以便每个设备类别都能出现在审计日志中。

患者和访客网络

您的患者和访客网络不传输 ePHI，但它会在 Captive Portal 上收集个人数据。Captive Portal 是访客在连线上网前看到的网页。审计人员会询问该网络是如何与临床网络段隔离的。SecurePass 作为 Purple Guest WiFi 的安全附加组件，为患者和访客带来了相同的基于身份管理的安全方法。

两个实际案例分析

一家县级医院停用了共享的员工预共享密钥

情况。 考虑一家拥有 350 张床位的县立医院。其员工 SSID 运行 WPA2-PSK，且该预共享密钥多年来一直与中介护士共享。输液泵也位于同一个网络中。年度风险分析指出“唯一身份识别”要求未得到满足。

采取的措施。 受管工作站和手持设备迁移至 EAP-TLS，并由 MDM 平台向 Microsoft Entra ID 身份颁发证书。RADIUS 策略按 Entra ID 组分配 VLAN。记账记录实时传输至 SIEM，并每周进行书面审查。输液泵迁移至隔离 VLAN 上的 iPSK，仅允许访问输液泵服务器。员工个人手机迁移至仅限外网访问的 SSID。结果。 传输 ePHI 的网络上的共享密钥从两个减少到零。“凌晨 02:00 谁在使用配药室的接入点？”变成了单条 SIEM 查询。而在以前，这意味着需要手动将 DHCP 租约与工牌日志进行比对。离职人员在证书被撤销且 Microsoft Entra ID 组成员资格被移除时，即刻失去访问权限。其他设备均不受影响。

连锁药房统一 60 家门店的员工访问控制

现状。 假设有一家拥有 60 家门店的区域连锁药房，每家门店都设有配药室和诊疗室。药房属于 HIPAA 覆盖的实体。刷卡支付也使其处于 PCI DSS 的监管范围内。每家门店都为配药终端、平板电脑和员工手机使用同一个共享密码。较新的门店运行 Cisco Meraki，较旧的门店运行 Ubiquiti UniFi。

具体做法。 每家门店都部署了采用 EAP-TLS 的 802.1X 员工 SSID，针对同一个云 RADIUS 服务进行身份验证。未更换任何接入点。记账记录汇入同一个中央日志。零售 顾客保持在独立的访客网络上。

结果。 门店级的共享密码从 60 个减少到零，轮换密码的现场维护也随之消除。现在只需一套控制措施即可满足 HIPAA 唯一身份识别和 PCI DSS v4.0 要求 8.2.1（要求为每个人提供唯一 ID）。

HIPAA 风险分析中无线控制的局限性是什么？

WiFi 控制仅保护单跳传输。EHR 访问控制、应用层 TLS 和端点加密承担了其余的保护工作。HIPAA 保持技术中立，未指定任何无线协议，因此您的风险分析必须解释每项选择的依据。

老旧设备决定了安全底线。WPA3-Enterprise 过渡模式虽然能保持 WPA2 客户端接入，但也将 WPA2 的缺陷留在了该 SSID 上。请为支持的设备运行纯 WPA3 SSID，并计划按期淘汰过渡 SSID。

证书需要生命周期管理。过期的 RADIUS 服务器证书会导致所有客户端同时离线。请实现自动化更新并监控到期日期。

漫游需要调优。在每个接入点进行完整的 802.1X 交互会增加延迟，语音徽章对此最为敏感。快速 BSS 过渡 (802.11r) 可以缩短该延迟。请参阅 802.11r and 802.11k on Android: fast roaming deployment on Cisco Meraki, HPE Aruba and Ubiquiti UniFi。在 Meraki 资产中，请参阅 Cisco Meraki 802.11r adaptive vs enabled: fixing roaming on MR access points。

最后，公法 116-321 (Public Law 116-321) 指示 HHS 在确定罚款时，需考虑您在过去 12 个月中已实施的经认可的安全实践。将您的无线控制映射到 405(d) 实践在此会大有帮助。

在下次风险分析之前您应该做什么？

1. 盘点每一个 SSID 及其身份验证方式、加密算法和 VLAN。
2. 将设备分类为托管员工设备、个人员工设备、临床 IoT 或访客设备。
3. 将托管设备迁移至 EAP-TLS，策略由目录组驱动。
4. 禁用 TKIP，强制要求 PMF 并计划实施 WPA3-Enterprise。
5. 将 RADIUS Accounting 传输至您的 SIEM，记录审查过程并设置留存期。
6. 按设备类型细分临床 IoT，并记录补偿性控制措施。
7. 更改密码和 SSID 后，重新验证覆盖范围。WiFi 现场勘测：实用规划指南 阐明了具体方法。
8. 将每项决策写入风险分析，并附上证据。

Purple 的员工 WiFi 提供基于 EAP-TLS 的 802.1X、单人 VLAN 策略和集中式云 RADIUS accounting。它可覆盖部署在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 硬件之上。Microsoft Entra ID、Okta 和 Google Workspace 可驱动入职、异动和离职的自动化管理。Purple 已通过 ISO 27001 认证，运行于 80,000 多个真实场所，2024 年登录量达 4.4 亿次（Purple 数据）。欲了解更多信息，请访问我们的 医疗保健 页面，并参阅 为什么您的下一次 WiFi 升级不需要新硬件。

如果您同时采用多个合规框架，另请参阅 Purple 的员工 WiFi 概述、面向患者和访客网络的 SecurePass，以及我们的 ISO 27001 和 SOC 2 员工 WiFi 合规指南。

常见问题解答

HIPAA 是否要求使用 WPA3-Enterprise？WPA2-Enterprise 是否可以接受？

不，HIPAA 并未明确指定 WPA3-Enterprise 或任何其他协议。在当今的风险分析中，结合 AES-CCMP 和 EAP-TLS 的 WPA2-Enterprise 仍然是可辩护的。采用 TKIP 的 WPA2 则是不可接受的，因为 IEEE 已在 802.11-2012 中弃用了该加密算法。请在设备支持的新员工 SSID 上部署 WPA3-Enterprise，并针对其余设备制定标注有日期的时间表。HHS 提议的《安全规则》更新将使传输加密成为强制性要求，因此现在就应按该标准进行设计。

如果我们在风险分析中记录了共享密码，是否可以继续为员工保留该密码？

不可以，对于访问 ePHI 的员工而言绝对不行。164.312(a)(2)(i) 中规定的唯一身份标识是一项强制要求，因此书面文档无法替代它。共享密码无法识别任何具体个人，且在下一次密码轮换前，每名离职人员都将保留访问权限。共享密钥或单设备密钥仅适用于无界面的临床设备。这些设备还需要 VLAN 隔离以及写入风险分析中的补偿性控制措施。

迁移到 802.1X 和 EAP-TLS 是否需要更换新的无线接入点？

不需要，802.1X 和 EAP-TLS 可以在大多数医院现有的企业级无线接入点上运行。Purple 的云 RADIUS 适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet。主要工作集中在证书颁发、目录集成和 RADIUS 策略上，而非硬件。仅当您还要迁移到 WPA3 时才需要规划无线电检查，因为较旧的无线接入点可能需要更新固件。

为了满足 HIPAA 标准，我们应该将无线访问日志保存多久？

如果您希望获得一个可抗辩的默认标准，请将其保留六年。HIPAA 第 164.316(b)(2)(i) 条的记录规则要求将所需文档保留六年。许多组织对背后的审计日志证据也适用相同的保存期限。请与您的合规负责人确认该期限，因为州法律可能要求更长的保存时间。请将 RADIUS Accounting 记录存储在可以通过人员、设备和日期范围进行查询的系统中。

连接 WiFi 的医疗设备是否属于技术安全措施的适用范围？

是的，前提是该设备会创建、接收、维护或传输 ePHI。与 EHR 链接的智能输液泵、向 PACS 发送影像检查的成像设备以及心电监护仪均符合条件。无法运行 EAP-TLS 的设备应部署在专用 VLAN 上，并在可能的情况下使用 iPSK。防火墙规则应限制每类设备仅能访问指定的服务器。请在风险分析中将网络隔离记录为补偿性控制措施。

OCR 审计员会询问我们的患者和访客 WiFi 吗？

会的，审计员除了询问员工 WiFi 外，还会询问患者和访客网络。审计员需要获得证明，确认该网络无法访问传输 ePHI 的临床网络段。他们可能还会询问 Captive Portal 如何处理个人数据。请出示网络设计方案、防火墙规则以及登录时收集的数据。SecurePass 作为 Purple 访客 WiFi 的安全插件，可将基于身份的访问控制扩展至患者和访客。

Purple 是否与 Microsoft Entra ID、Okta 以及 Google Workspace 集成？

是的，Purple 的员工 WiFi 与 Microsoft Entra ID、Okta 和 Google Workspace 完全集成。目录组可驱动 RADIUS 策略，因此用户的角色决定了他们可以访问的 VLAN。新员工在添加到正确的组时获得访问权限。异动员工的组发生变化时，其 VLAN 也会随之改变。离职人员在您撤销其证书并移除其组成员身份时失去访问权限，整个过程的每一步都会记录在审计追踪中。