醫院員工 WiFi 的 HIPAA 技術安全防護：安全規則的實際要求

45 CFR 164.312 中有五項適用於醫院員工 WiFi 的 HIPAA 安全規則（Security Rule）技術安全措施標準。分別是存取控制、稽核控制、完整性、人員或實體身分驗證以及傳輸安全。您可以透過 802.1X 與憑證式 EAP-TLS 身分識別、做為稽核記錄檔的 RADIUS Accounting，以及在每個員工 SSID 上部署 WPA3-Enterprise 加密來符合這些標準。

HIPAA 技術安全措施對員工 WiFi 有哪些要求？

員工 WiFi 是符合 HIPAA 標準之醫療照護網路的無線基礎。臨床人員在行動工作站上開啟電子健康記錄（EHR），在手持裝置上掃描藥物條碼，並透過臨床通訊徽章接聽電話。這些流量大部分都會經過員工 SSID。Purple 的 Staff WiFi 將該 SSID 視為身分識別層，而非僅是一組密碼，而 Security Rule 也正引導您朝相同的方向邁進。

Security Rule 旨在保護您所建立、接收、維護或傳輸的電子受保護健康資訊（ePHI，參見 45 CFR 164.306(a)）。它將要求分為管理、實體與技術安全措施。技術安全措施包含五項標準。您的員工 WLAN 會傳輸 ePHI，因此這五項標準皆涵蓋無線層。

在深入閱讀之前，有兩個術語至關重要。「必要」（Required）實作規範必須完全按照規定執行。「可處置」（Addressable）實作規範如果合理且適當，則必須執行；若不合理，您必須記錄原因並採用同等的措施（45 CFR 164.306(d)）。「可處置」並不代表「可選」，而且在開放的無線電波鏈路上，幾乎沒有任何可信的理由不使用加密。

在 2025 年 1 月，HHS 發布了一份擬議規則制定通知，預計取消「可處置」類別。這將使傳輸中 ePHI 的加密與多因素驗證成為強制性要求。在規劃下一次風險分析時，請確認該法規的最新進度。現在就按照更嚴格的條文進行設計，可以避免日後進行二次搬遷。

為什麼共用 WiFi 通行密語無法符合 Security Rule？

WPA2-PSK（預共用密鑰）網路驗證的是通行密語，而非人員本身。每位知道密語護理師、運送員、代理醫師與承包商，在網路上看起來都完全一樣。164.312(a)(2)(i) 中的「唯一使用者識別」是一項「必要」規範。它要求您為每個人指派唯一的名稱或編號，以便您識別他們並追蹤其活動。共用通行密語無法做到這一點，且任何文件記錄都無法改變這個事實。

這項缺失還會波及其他標準：

• 稽核控制。 記錄檔上記錄的是 MAC 位址與 IP 租約，而不是具名的員工成員。目前的 iOS 與 Android 版本預設會隨機化 MAC 位址，這讓稽核能力更加削弱。
• 人員或實體身分驗證。 知道通行密語無法證明任何身分。通行密語很容易透過便利貼、輪班表與群組訊息洩漏。
• 傳輸安全性。 任何持有密語並擷取到裝置四次握手（four-way handshake）的人，都能推導出該裝置的會話金鑰，進而解密該裝置的流量。持有舊密語的前員工依然處於加密邊界之內。
• 權限終止。 164.308(a)(3)(ii)(C) 要求在僱用關係結束時即終止存取權限。若使用共用金鑰，移除一個人的權限就意味著必須為所有人變更金鑰。

最後這一點讓 PSK 輪替變成一種形式主義。由於輪替會打斷所有裝置的連線，因此極少發生。在每次輪替之間離職的員工，都能持續保有存取權限。

這五項標準如何對應到無線網路控制措施？

存取控制 - 164.312(a)(1)

此標準將 ePHI 的存取權限限制為獲得授權的人員與軟體。在無線網路層級，IEEE 802.1X 即為具體的實作方式。這是一項基於連接埠的存取控制標準，在裝置證明其身分之前，會將其隔離在網路之外。並由 RADIUS (Remote Authentication Dial-In User Service) 伺服器負責驗證該身分。

透過 EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)，身分會是發放給具名人員或受控裝置的 X.509 憑證。隨後 RADIUS 會回傳原則：VLAN、角色與存取清單。病房護理師會連至臨床 VLAN；設施承包商則會連至僅能存取建築管理的網段。

還有另外兩項規格與 WiFi 相關。自動登出（可定址）對應到會話逾時與重新驗證間隔。緊急存取（必備）則代表一套完善記錄的計畫，用以應對 RADIUS 服務無法連線時的情況。

稽核員審查的重點： 您的存取控制原則、包含驗證方式的完整 SSID 清單，以及人員如何取得與失去存取權限。請準備好證明任何傳輸 ePHI 的 SSID 都沒有採用共用金鑰。

稽核控制 - 164.312(b)

此標準要求建立能夠記錄與檢視包含或使用 ePHI 之系統活動的機制。由於它沒有規定實作規格，您可以自行決定具體方法。對於無線網路而言，RADIUS Accounting (RFC 2866) 就是稽核記錄。

每個會話都會產生 Start（開始）、Interim-Update（中期更新）與 Stop（停止）紀錄。這些屬性可以直接回答稽核員的問題：

• 誰： User-Name，即憑證或目錄目錄中的身分。
• 哪台裝置： Calling-Station-Id，即用戶端 MAC 地址。
• 何處： Called-Station-Id，即基地台與 SSID。
• 何時以及持續多久： Event-Timestamp 與 Acct-Session-Time。
• 為何結束： Acct-Terminate-Cause。

記錄只是標準的一半，檢視則是另一半，而 164.308(a)(1)(ii)(D) 要求定期審查資訊系統活動。請將會話記錄串流至您的 SIEM（安全資訊與事件管理）平台，然後安排並記錄審查流程。

稽核員審查的重點： 抽樣日期範圍的匯出資料，以及有人進行審查的證據。164.316(b)(2)(i) 要求必要文件需保留六年。許多組織也對日誌證據套用相同的保留期限。

完整性 - 164.312(c)(1)

此標準可保護 ePHI 免受不當篡改或銷毀。在無線電鏈路上，AES-CCMP 為每個訊框添加了訊息完整性檢查。WPA3-Enterprise 還強制要求使用受保護的管理訊框（IEEE 802.11w）。這些措施可以封鎖偽造的取消身份驗證訊框，這種訊框是讓臨床設備斷開網路連線的常見手段。WPA3-Enterprise 192-bit 模式已升級至 AES-GCMP-256。

TKIP 是舊版的 WPA 加密演算法，依賴較弱的完整性檢查。IEEE 已在 802.11-2012 中棄用 TKIP。

審查員關注的重點： 控制器加密設定僅顯示 AES、禁用 TKIP，並已開啟管理訊框保護。

人員或實體身份驗證 - 164.312(d)

此標準要求您驗證尋求存取權限的人員或實體即為其所聲稱者。這是選擇 EAP-TLS 而非 PEAP-MSCHAPv2 的核心依據。

PEAP（Protected EAP）將使用者名稱和密碼的交換封裝在 TLS 隧道內。如果用戶端跳過伺服器憑證驗證，惡意存取點就可以偽裝成您的網路。它會擷取 MS-CHAPv2 的交換過程，並可在離線狀態下進行破解。Microsoft 安全諮詢 2743314 對此進行了記載，並建議進行伺服器憑證驗證或改用基於憑證的身份驗證。Microsoft 還記載了 Windows Defender Credential Guard 會封鎖使用已儲存憑證之 MS-CHAPv2 的單一登入。

EAP-TLS 執行雙向憑證身份驗證。設備證明其持有私鑰，而伺服器則證明自己的身份。這其中沒有可被釣魚攻擊的密碼。私鑰可以不可匯出的形式存放在設備的 TPM（可信賴平台模組）或安全區域中。醫療設備也算作實體，具備相應能力的設備可以攜帶自己的憑證。

審查員關注的重點： 您如何驗證每個存取路徑上的身份。「員工知道 WiFi 密碼」並非合格的答案。請出示與 HR 新進人員記錄相連結的憑證發放流程，以及離職人員的撤銷步驟。

傳輸安全 - 164.312(e)(1)

此標準旨在防止傳輸中的 ePHI 遭受未經授權的存取。它的兩項規範：完整性控制與加密，均屬可定址項目（addressable）。採用 TKIP 的 WPA2-Enterprise 是不合規的，因為該加密演算法已被棄用。IEEE 802.11n 也將 TKIP 排除在高輸送率之外。採用 AES-CCMP 的 WPA2-Enterprise 在目前是可防禦的，而 WPA3-Enterprise 則是現在應該部署的組態設定。

HHS 侵犯防護指南規定，當加密符合 NIST SP 800-52、800-77 或 800-113 標準時，傳輸中的 ePHI 即視為安全。這些出版物涵蓋了 TLS、IPsec 及 SSL VPN。無線電上的 WPA3 本身並不能將流量置於該安全港內，應用層 TLS 依然至關重要。

審查員關注的重點： 每個員工 SSID 上的加密設定，以及舊版 SSID 退役的記錄。

哪些無線組態設定經得起考驗？

iPSK（身份預共用金鑰）在單一 SSID 上為每個設備或設備群組提供獨立的通行密碼。

設定	唯一識別	稽核軌跡	驗證	傳輸中加密	稽核立場
共用 WPA2-PSK、TKIP	無 - 單一共用金鑰	僅 MAC 與 IP	知曉密語	已廢棄的加密演算法	不合格
共用 WPA2-PSK、AES	無 - 單一共用金鑰	僅 MAC 與 IP	知曉密語	AES；任何金鑰持有者皆可解密擷取的會話	員工存取 ePHI 時不合格
每台裝置 iPSK	按裝置，非按個人	具名裝置金鑰	擁有裝置金鑰	AES-CCMP	若具備已記錄的補償控制措施，對無介面臨床裝置而言可接受
WPA2-Enterprise、PEAP-MSCHAPv2	按個人	每會話使用者名稱	密碼；若憑證驗證關閉則暴露風險	AES-CCMP	在強制實施驗證與具備轉移計畫下可辯護
WPA2-Enterprise、EAP-TLS	按個人或裝置	每會話憑證身分	雙向憑證	AES-CCMP	強健
WPA3-Enterprise、EAP-TLS	按個人或裝置	每會話憑證身分	雙向憑證	AES-CCMP 加強制 PMF	目標設定
WPA3-Enterprise 192-bit、EAP-TLS	按個人或裝置	每會話憑證身分	雙向憑證、384-bit ECC	AES-GCMP-256 加 PMF	最高保障；請先確認裝置支援度

OCR 稽核員會在醫院無線網路中審視哪些項目？

HHS 美國衛生及公共服務部民權辦公室（OCR）負責執行 HIPAA。其審查多以文件為主。稽核員不會拿著頻譜分析儀走巡您的病房。他們會要求提供政策、設定與紀錄，然後測試紀錄是否與政策相符。

首先從風險分析開始。OCR 於 2020 年 12 月發布的 2016 - 2017 年 HIPAA 稽核產業報告中發現，大多數接受稽核的涵蓋實體未能有效實施風險分析與風險管理。若風險分析遺漏了 WLAN，這將是一個顯而易見的缺失。

要求	OCR 要求查看的內容	回答該要求的無線網路證據
風險分析，164.308(a)(1)(ii)(A)	處理 ePHI 的系統清單及各系統面臨的威脅	每個 SSID、其驗證機制、VLAN 與裝置類別
存取控制，164.312(a)(1)	每每位人員具備唯一識別碼的證明	802.1X 與 EAP-TLS 設定；零傳輸 ePHI 的共用金鑰 SSID
稽核控制，164.312(b)	日誌與審查證明	抽樣日期範圍的 RADIUS Accounting 匯出資料；SIEM 審查紀錄
完整性，164.312(c)(1)	如何保護 ePHI 免受竄改	控制器加密演算法設定：僅限 AES、必須啟用 PMF
驗證，164.312(d)	各路徑上的身分驗證方式	與人資紀錄連結的憑證簽發與撤銷程序
傳輸安全，164.312(e)(1)	加密決策（若未實施則需說明理由）	WPA3-Enterprise 設定與舊版 SSID 退役紀錄
終止存取，164.308(a)(3)(ii)(C)	離職者失去存取權限的證明	對照人資離職日期設定的撤銷時間戳記

同時也要準備好應對有關病患和訪客網路的提問。稽核人員希望能確認該網路無法存取 ePHI。

醫療設備與病患 WiFi 如何與員工 WiFi 並存？

輸液幫浦與影像設備是否在審查範圍內？

這是讓許多醫療 IT 團隊跌倒的範圍劃分問題。檢驗標準在於該設備是否會建立、接收、維護或傳輸 ePHI。與電子健康記錄（EHR）交換病患相關醫囑的智慧輸液幫浦均屬於審查範圍。將 DICOM 檢查傳送到 PACS 的影像模組，以及串流至中央站的遠端測量監視器也是如此。疫苗冰箱溫度記錄器因不包含病患資料，因此不在 ePHI 範圍內。

難處在于許多範圍內的設備無法執行 802.1X、EAP-TLS 或 WPA3。FDA 2023 年的上市前網路安全指南僅適用於新提交的設備。您現有的安裝基底將保持原樣。

VLAN 區隔如何控制風險

VLAN（虛擬區域網路）是在共享硬體上邏輯獨立的網路區段。將臨床 IoT 放在專用的 SSID 或 iPSK 群組中，並對映到每個設備類別的單一 VLAN。然後防火牆規則會讓每個類別僅能存取其指定的伺服器，例如幫浦伺服器或 PACS。員工設備無法直接存取幫浦，幫浦也無法存取員工 VLAN。

HHS 405(d) 健康產業網路安全實務指南建議將醫療設備與一般網路進行區隔。在您的風險分析中記錄區隔，作為無法透過憑證驗證之設備的補償性控制措施。同時保留 iPSK 和 MAC 驗證設備的 RADIUS 記錄，以便每個設備類別都能出現在稽核日誌中。

病患與訪客網路

您的病患與訪客網路不包含任何 ePHI，但會在 Captive Portal 收集個人資料。Captive Portal 是訪客上網前看到的網頁。稽核人員會詢問該網路如何與臨床區段進行隔離。SecurePass 是 Purple Guest WiFi 的安全性附加功能，為病患和訪客帶來了相同的基於身分識別的方法。

兩個實際案例

郡立醫院停用共享的員工通行短語

情況。 以一家擁有 350 張病床的郡立醫院為例。其員工 SSID 執行 WPA2-PSK，且通行短語多年來一直與代理護理師共享。輸液幫浦也在同一個網路上。年度風險分析指出「唯一身分識別」這項要求未達成。

採取的行動。 受控的工作站和掌上型裝置已轉移至 EAP-TLS，憑證透過 MDM 平台發放到 Microsoft Entra ID 身分。RADIUS 原則按 Entra ID 群組指派 VLAN。會計記錄串流至 SIEM，並進行每週的書面審查。幫浦轉移到隔離 VLAN 上的 iPSK，僅允許存取幫浦伺服器。員工個人手機則轉移到僅限網際網路的 SSID。

結果。 傳輸 ePHI 的網絡上的共享金鑰數量從兩個降至零。「凌晨 02:00 是誰連接了調劑室的存取點？」現在只需一次 SIEM 查詢即可解答。在此之前，這意味著必須手動將 DHCP 租約與識別證進出記錄進行比對。現在，當離職人員的憑證被撤銷且 Microsoft Entra ID 群組成員資格被移除時，他們就會失去存取權限。其他設備完全不受影響。

藥局連鎖店統一 60 家分店的員工存取權限

情況。 以一家擁有 60 家分店的區域藥局連鎖店為例，每家分店均設有處方調劑室與診所間。藥局屬於受 HIPAA 監管的實體，卡片支付也使其納入 PCI-DSS 規範範圍。每家分店均使用一組共享的密碼供調劑室終端機、平板電腦和員工手機使用。較新的分店採用 Cisco Meraki，而較舊的分店則使用 Ubiquiti UniFi。

執行的措施。 每家分店都建置了使用 EAP-TLS 的 802.1X 員工 SSID，並透過單一雲端 RADIUS 服務進行驗證。沒有更換任何存取點。會計記錄統一傳送至集中式日誌。零售 顧客則保持在獨立的訪客網絡上。

結果。 分店層級的共享密碼數量從 60 個降至零，定期維護密碼的巡迴現場作業也隨之消除。現在一套控制措施即可同時符合 HIPAA 唯一識別要求與 PCI-DSS v4.0 規範 8.2.1（該規範要求為每個人提供唯一的 ID）。

在 HIPAA 風險分析中，無線控制措施的局限性是什麼？

WiFi 控制措施僅保護單一跳躍（hop）。EHR 存取控制、應用層 TLS 與端點加密則承擔了其餘的防護重任。HIPAA 採取技術中立態度，未指名任何無線協定，因此您的風險分析必須解釋每一項選擇。

舊型設備決定了最低標準。WPA3-Enterprise 過渡模式可保持 WPA2 用戶端連線，但這也意味著該 SSID 上仍存在 WPA2 的弱點。請為支援的設備執行僅限 WPA3 的 SSID，並依預定時程淘汰過渡期的 SSID。

憑證需要完整的生命週期管理。過期的 RADIUS 伺服器憑證會導致所有用戶端同時離線。請自動化更新程序並監控到期日期。

漫遊需要進行調整。在每個存取點進行完整的 802.1X 交換會增加延遲，語音徽章等設備對此最為敏感。快速 BSS 轉移 (802.11r) 可以縮短此延遲。請參閱 Android 上的 802.11r 與 802.11k：在 Cisco Meraki、HPE Aruba 及 Ubiquiti UniFi 上部署快速漫遊。針對 Meraki 環境，請參閱 Cisco Meraki 802.11r 自適應與啟用：修復 MR 存取點上的漫遊問題。

最後，美國第 116-321 號公法指示 HHS 在裁定罰款時，應考量您在過去 12 個月中已實施的公認安全做法。將您的無線控制措施對齊 405(d) 做法對此有所幫助。

在進行下一次風險分析之前，您應該做好哪些準備？

1. 清查每個 SSID、其驗證方法、密碼演算法與 VLAN。
2. 將設備分類為託管員工設備、個人員工設備、臨床 IoT 或訪客設備。
3. 將託管設備遷移至 EAP-TLS，並由目錄群組驅動策略。
4. 停用 TKIP，強制要求 PMF，並排程升級至 WPA3-Enterprise。
5. 將 RADIUS Accounting 串流至您的 SIEM，記錄審查內容並設定保存期限。
6. 依裝置類別分割臨床 IoT，並記錄補償控制措施。
7. 在變更加密演算法與 SSID 後重新驗證覆蓋範圍。WiFi 場勘：實用規劃指南 詳細說明了此方法。
8. 將每項決策寫入風險分析，並附上相關證明。

Purple 的 Staff WiFi 提供支援 EAP-TLS 的 802.1X、個人 VLAN 原則以及集中式雲端 RADIUS accounting。它可以疊加在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 硬體之上。Microsoft Entra ID、Okta 及 Google Workspace 可驅動新進、異動與離職人員管理。Purple 通過 ISO 27001 認證，並在 80,000 多個實體場地運行，2024 年登入量達 4.4 億次（Purple 資料）。如需更多資訊，請參閱我們的 醫療保健 頁面以及 為什麼您的下一次 WiFi 升級不需要新硬體。

如果您同時採用多個框架，另請參閱 Purple 的 Staff WiFi 概述、適用於患者與訪客網路的 SecurePass，以及我們的 ISO 27001 和 SOC 2 員工 WiFi 合規指南。

常見問題

HIPAA 是否需要 WPA3-Enterprise，或者 WPA2-Enterprise 也可以接受？

不，HIPAA 沒有指定 WPA3-Enterprise 或任何其他協定。採用 AES-CCMP 與 EAP-TLS 的 WPA2-Enterprise 在目前的風險分析中仍具可防禦性。採用 TKIP 的 WPA2 則不然，因為 IEEE 已在 802.11-2012 中棄用該加密演算法。請在支援的裝置上於新員工 SSID 上部署 WPA3-Enterprise，並為其餘裝置記錄一份附有日期的計畫。HHS 提議的 Security Rule 更新將使傳輸中加密成為強制要求，因此現在就請依照該標準進行設計。

如果我們在風險分析中記錄，是否可以為員工保留共享密碼？

不，員工存取 ePHI 時不行。164.312(a)(2)(i) 中的唯一使用者識別是一項必要的規範，因此說明文件無法取代它。共享密碼無法識別任何人，且每位離職者在下一次密碼變更前都保有存取權。共享或單一裝置金鑰僅適用於無頭（headless）臨床裝置。這些裝置還需要 VLAN 分割以及寫入風險分析中的補償控制措施。

我們需要新的存取點才能移至 802.1X 和 EAP-TLS 嗎？

不需要，802.1X 和 EAP-TLS 可在大多數醫院已擁有的企業級存取點上執行。Purple 的雲端 RADIUS 可與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 搭配使用。工作重點在於憑證頒發、目錄整合與 RADIUS 原則，而非硬體。只有在您還要移至 WPA3 時，才需要規劃無線電檢查，因為較舊的存取點可能需要更新韌體。

為了符合 HIPAA，我們應該將無線存取記錄保留多久？

如果您希望擁有具防禦力的預設標準，請保留六年。HIPAA 的文件記錄規則 164.316(b)(2)(i) 要求必要文件需保留六年。許多組織也對背後的稽核日誌證據採用相同的保留期限。請與您的合規主管確認此期限，因為州法律可能要求更長的保留期。請將 RADIUS Accounting 記錄儲存在可依人員、裝置和日期範圍查詢的系統中。

連線至 WiFi 的醫療裝置是否屬於技術安全措施的範圍？

是的，只要該裝置會建立、接收、維護或傳輸 ePHI 即算在內。連結至 EHR 的智慧輸液幫浦、傳送影像研究至 PACS 的醫療影像設備，以及遠端生理監視器皆符合條件。無法執行 EAP-TLS 的裝置應劃分至專用 VLAN，並儘可能使用 iPSK。防火牆規則應限制每種裝置類別僅能存取其指定的伺服器。請在您的風險分析中，將網路隔離記錄為補償性控制措施。

OCR 稽核員會詢問我們的病患與訪客 WiFi 嗎？

會的，除了員工 WiFi 之外，稽核員也會詢問有關病患與訪客網路的問題。稽核員需要證明該網路無法存取傳輸 ePHI 的臨床網路區段。他們也可能會詢問 Captive Portal 如何處理個人資料。請展示網路設計、防火牆規則以及在登入時收集的資料。SecurePass 作為 Purple Guest WiFi 的安全性功能擴充，可將基於身分的存取權限延伸至病患與訪客。

Purple 是否支援與 Microsoft Entra ID、Okta 及 Google Workspace 整合？

是的，Purple 的 Staff WiFi 支援與 Microsoft Entra ID、Okta 及 Google Workspace 整合。目錄群組會驅動 RADIUS 原則，因此使用者的角色會決定其可存取的 VLAN。新員工加入指定群組後即可獲得存取權限。員工異動職務時，其存取 VLAN 會隨群組變更而調整。離職員工的憑證被撤銷且群組身分被移除後，即會失去存取權限，每個步驟都會完整記錄以供稽核軌跡使用。