BAA「充分保证」的要求
HIPAA 隐私规则有一项明确要求：受保护实体必须与每一个接触受保护健康信息（PHI）的合作方签署「业务伙伴协议」（BAA），且每份 BAA 必须包含「充分保证」，证明合作方已建立适当的数据保护控制措施。核心规定载于 45 CFR 164.308、164.310 和 164.312。
「充分保证」在法规中并无精确定义，但 OCR（卫生与公众服务部民权办公室）的指导意见明确指出：这些保证必须基于真实、有据可查的证明。医院若在未核查合作方实际控制措施的情况下签署 BAA，一旦该合作方发生数据泄露，医院将面临严重的合规风险。
ISO 27001 在这一领域发挥着关键作用。该认证体系涵盖了 HIPAA 大部分控制要求。虽然并非完全对应——HIPAA 包含若干 ISO 27001 未涉及的医疗专项规则——但两者的重叠程度已足以满足大多数 BAA 尽职调查的需要。
控制措施对照关系
ISO 27001 附件 A 中的控制措施与 HIPAA 三大保护类别全面对应。
行政保护措施（164.308）： A.5 至 A.8 涵盖政策、职责分工、员工行为规范及资产追踪，满足 HIPAA 对正式安全管理项目、明确职责分配、员工管理规范及应急预案的要求。
物理保护措施（164.310）： A.11 涵盖设施和场所的物理防护，对应 HIPAA 的设施访问管理、工作站使用规范及设备控制要求。
技术保护措施（164.312）： A.9、A.10、A.12 和 A.13 涵盖访问控制、加密和运营安全，对应 HIPAA 的审计追踪、数据完整性及数据传输保护要求。
医疗合规实践案例
某区域医疗系统在开展合作方定期审核时，合规团队向一家去标识化服务机构要求提供「适当保护措施」的证明材料。该机构提交了 ISO 27001 证书及控制措施对照表，将每项 ISO 控制措施与对应的 HIPAA 条款（164.308、164.310 和 164.312）逐一链接。
合规官将这些材料归入 BAA 文件档案。该记录满足 OCR 审计要求，无需再进行定制化的 150 问问卷核查。
总体而言，ISO 27001 为受保护实体提供了一套扎实、即用型的 BAA 尽职调查证明体系。了解 anonym.legal 如何满足这些要求，请访问安全与合规页面及法律合规文档。