hipaa-compliance

hipaa-compliance 技能概覽

hipaa-compliance 是專為美國醫療隱私與安全工作設計的 HIPAA 入口。當任務明確涉及 PHI、受規範實體、業務夥伴、BAA、外洩風險，或某個工作流程是否會帶來 HIPAA 風險時，就應該使用 hipaa-compliance skill。

這個技能適合做什麼

它幫你判斷某個產品、功能或工作流程是否與 HIPAA 相關，以及在實作前需要哪些防護邊界。它的核心工作不是做通用資安審查，而是回答：「這個設計會不會造成 HIPAA 暴露？在正式上線前，哪些條件必須成立？」

這個技能的不同之處

這個 skill 是刻意做得精簡且具 canonical 性質。它不會取代更完整的醫療隱私實作，也不會取代一般資安審查；它是用正確的 HIPAA 視角來處理問題，避免把 HIPAA 規則過度套用到不相干的工作上，或把真正的合規問題看得太輕。

最適合的使用者

如果你正在審查或打造面向病患的系統、臨床工具、內部支援流程、日誌管線、分析流程，或可能接觸 PHI 的 LLM 輔助工作流程，就適合安裝 hipaa-compliance。對需要在深入審查前快速且一致地做初步判斷的合規、產品與工程團隊，尤其有幫助。

如何使用 hipaa-compliance skill

安裝並驗證這個技能

請依照 repo 中顯示的 hipaa-compliance 安裝指令執行，並確認這個 skill 已可在你的 agent 工作流程中使用。如果你是先在目錄中瀏覽，建議先看 SKILL.md 確認適用範圍，再把它用在正式工作上。

提供給技能正確的輸入

hipaa-compliance 的使用方式，在你把合規問題、資料類型、角色與工作流程放在同一個 prompt 時，效果最好。例如：「請檢查這個客服 chatbot 是否能看到預約備註、這是否會造成 PHI 暴露，以及最低必要控制需要哪些。」

先從 canonical 流程開始

先讀 SKILL.md，如果 repo 裡還有連結的說明，再接著看那些內容。對這個 repository 而言，關鍵判斷路徑是：先確認請求是否屬於 HIPAA 範圍，再把具體實作細節交給更廣泛的 healthcare privacy skill，並把 HIPAA 當成合規外層，而不是獨立的架構設計藍圖。

能帶來更好結果的 prompt 形式

好的 hipaa-compliance prompt 會包含系統情境、具體功能，以及你要它做出的決策。差的 prompt 只會說「讓它符合 HIPAA」。更好的寫法是：「評估儲存患者初診 bot 的聊天逐字稿是否允許、哪些資料應排除，以及需要哪些稽核／記錄限制。」

hipaa-compliance skill 常見問答

hipaa-compliance 單獨就夠了嗎？

通常不夠。repo 也明確說明，hipaa-compliance 是處理 HIPAA 決策的外層，而 healthcare-phi-compliance 才負責具體的隱私與處理規則。只要工作真的涉及 PHI 流程，兩個一起用會更完整。

什麼情況下不該用這個技能？

不要把 hipaa-compliance 用在一般 app 安全、普通隱私設計，或完全不碰 PHI 的非醫療產品上。如果問題本質是一般身分驗證、密鑰保護、輸入驗證，或部署強化，security-review 會更合適。

這個技能適合新手嗎？

可以，但前提是你已經知道該工作流程的基本事實。這個 skill 對新手有幫助，因為它會把問題縮小到 HIPAA 相關的決策關卡；但你仍然需要清楚提供：涉及哪些資料、誰可以存取。

它能幫忙做合規審查嗎？

可以。當你需要先快速檢查日誌、分析、支援工具，或可能暴露 PHI 的 LLM prompt 時，hipaa-compliance for Compliance Review 很適合。它最強的用途是作為正式法律或資安審查前的初步分流層。

如何改進 hipaa-compliance skill

補上缺少的合規事實

品質提升最大的關鍵，是把資料、角色與用途說清楚。請明確指出系統處理的是診斷筆記、預約資料、付款資訊、逐字稿、圖片，還是識別碼，以及使用者是受規範實體、業務夥伴，還是供應商。

要求做出決策，而不只是摘要

要得到更好的 hipaa-compliance 使用結果，請要求具體輸出，例如「風險評估」、「可不可以上線的判斷」、「控制項清單」，或「上線前必須改哪些」。這樣能逼迫回應把 HIPAA 顧慮轉成可執行動作。

注意常見失敗模式

最常見的錯誤，是把所有醫療周邊功能都視為同等受管制。另一個常見問題，是忽略透過日誌、分析、客服工單或 prompt 造成的間接暴露。如果有這些管道，務必明講，讓技能可以評估 minimum necessary 存取與外洩態勢。

用第一版再迭代一次

第一輪之後，請再補一層情境：PHI 出現在哪裡、保存多久、誰看得到，以及涉及哪些外部服務。通常只要補到這個程度，就足以把一般性回答，轉成可用於真實實作決策的 hipaa-compliance 指南。