STARTTLS 对 HIPAA 是否足够

Question

在内部电子邮件服务器和外部收件人之间的通信期间使用 STARTTLS 是否足以满足 HIPAA 准则？如果是这样，是否需要强制使用 TLS？

Answer 1

一般来说，没有。

如果您正在配置电子邮件客户端，并在 SMTP 连接上设置 STARTTLS，那么您和您的电子邮件服务器之间的电子邮件将被加密；不发送到收件人的电子邮件服务器，也不在收件人与其电子邮件服务器之间。

大多数公司不通过电子邮件发送 HIPPA 涵盖的数据，因为它在传输过程中本质上是不安全的（对于大多数服务器配置）。那些这样做的人通常对电子邮件本身使用加密（S/MIME或PGP）；这对于普通用户来说是非常难以设置的。

我见过的普遍接受的做法是通过电子邮件发送网站链接。该网站采用 TLS 加密，客户必须证明其身份。这基本上是安全的端到端（不能承受用户错误）。

如果您是一家小公司，您的选择基本上是放弃电子通信，或聘请专门从事 HIPPA 兼容通信的计算机公司。如果您是大公司的一员，请咨询您的网络管理员、审计员或 HIPPA 合规顾问。