问题标签 [hipaa]

鉴于可以插入和检查 Cordova 应用程序，应用程序本质上是否不如本机编译代码安全？或者对于保留的内容和普通的 UIWebView 是否适用相同的规则？

我正在创建一项服务来保护通过电子邮件发送的个人数据。因为 gmail 是一种常见的传输方式，所以我想允许用户使用 Gmail 对我的服务进行身份验证，该服务保存他们的数据。但是 Google 拥有用户名（他们的 gmail 地址），并且还为我的服务签署了访问令牌。这是否意味着有权访问 Google 身份验证数据的攻击者能够访问我的服务？

对所有实际的思想家说一句话——我知道我的服务比谷歌的服务更容易受到损害。我希望对任何提供者通过 OAuth 登录是否允许身份提供者访问 OAuth 消费服务中保存的数据进行技术评估。

我们的数据库中有敏感数据，我想研究一下 Oracle 审计功能。我们的安装是嵌入式的，因为它与我们拥有的应用程序一起提供。任何反馈都会得到重视。

为了自动化资格请求，我正在尝试为组织构建一个SOAP客户端（贸易伙伴是 *NYS-DOH, eMedNY。文档非常差。

我已经到了可以下载他们的 WSDL 并生成代理和配置文件的地步。我还获得了所需的数字证书。

在这一点上，我有点困惑如何进行。代理包含一个getEligibility( byte[] )方法，但没有关于该方法期望什么的规范。

提供的指南（附录 I）有一个示例 SOAP 请求。我应该“手动”构建这样的 SOAP 请求并将其传递给方法吗？

（我发现在谷歌上搜索这些主题有点困难，因为网络上充斥着来自每家保险公司的“文档”。）

我们有一个解决方案，它使用 Multiple 模式接收 HIPAA X12 文件，然后拆分它们并将它们发送到编排。有时客户端会在中间的某个地方发送一个结构错误的文件，并且该消息将被暂停，但只有在它已经将一些子文档发送到编排之后。这很烦人...

我想做的是验证整个消息并在将其分解为多条消息之前将其挂起......我知道如果我切换到 Single 模式或设置 Preserve Interchange，我可以做到这一点，但是我必须处理在别处分裂。

建议？谢谢。

我一直在努力设置一个 Soap 客户端，以按照他们的说明使用 eMedNy 的服务。

这就是我目前正在做的事情：

我相信我的消息已成功通过他们的安全门，但我现在从他们的服务器收到以下错误消息：

有没有人有这方面的经验可以指导我如何解决这个问题？

我们正在寻找使用 plesk 面板服务器创建符合 HIPAA 标准的电子邮件服务器。是否可以使用此创建符合 HIPAA 的电子邮件服务器？

我正在编写一个需要符合 HIPAA 标准的 iOS 应用程序。该应用程序最好离线运行，因此需要将数据存储在手机上。

所以这就是我想做的事情：

• 在首次启动时，用户输入用户名、密码和密码。服务器使用设备的用户名、密码和 UDID（广告 ID）对用户进行身份验证。与服务器的通信将使用 HTTPS 完成。

如果认证成功：

• 用户名存储在钥匙串中。

• 密码短语+UDID 使用 OpenSSL 库中提供的“PBKDF2”进行散列。这也存储在 Key Chain 中。此操作的盐存储在密钥链中。对于后续验证，盐是从钥匙链中获得的。

• Username+Pass-phrase+UDID+Static-Key 用于使用“PBKDF2”生成密钥，并且盐再次存储在 Key Chain 中，并从 Key Chain 中检索以供后续使用。生成的密钥存储在内存中，并且在生成密钥后忘记密码。静态键存在于代码中。

• 当应用程序进入后台时，Key 被遗忘，即变量设置为 nil。

• 在恢复或重新启动应用程序时，会向用户呈现一个屏幕以输入密码短语。如果输入的密码正确，应用程序将再次生成密钥。否则，在大约连续五次尝试时，应用程序将擦除数据并将用户带回登录屏幕（如果可能，还向服务器发送有关事件的消息以及必要的信息）。

现在这是我的两个问题：

• 我想知道project-imax/EncryptedCoreData有多稳定？我知道他们不支持多对多关系。但是，我通过创建一个实体来表示关系来解决这个问题（类似于在实际 SQL DB 中使用第三个表完成的方式）。我想听听任何有加密核心数据经验的人讲述他们的经历和面临的问题。特别是，这与加密单个属性的性能相比如何？

• 其次，你们是否看到我计划实施的安全措施有任何问题。您想提及的任何建议或改进。

YC 最近有一家名为 Truevault.com 的初创公司似乎很有趣，它允许您通过 API 将 JSON 文档存储在他们的数据库中，并且符合 HIPAA 标准。

我正在开发一个医疗保健应用程序，我想知道在 HIPAA 合规性方面哪个策略更好：

1) Heroku + Truevault - 最初部署更容易，但 Heroku 不会签署商业伙伴协议，所以即使我没有将 PHI 存储在 heroku 服务器上或暂时存储在那里，也不确定这是否真的符合 HIPAA。

2) 在 Amazon EC2 上运行所有内容 - 亚马逊将签署 BAA，所以这里没有问题，但必须自己进行服务器维护（而不是）

3) Heroku + Amazon S3 数据库 - 在 Heroku 上运行服务器，但将所有内容存储在 S3 上，Amazon 签署 BAA

任何有经验的人最合规又实用？提前致谢。

我正在开发一个医疗计费软件，应该是 HIPAA 投诉。我当前的架构为每个租户使用单独的数据库。但我需要将其更改为多租户架构。那么具有多租户架构的 HIPAA 有什么问题吗？

是否可以获得与该主题相关的任何文件/证明？