在使用合规标签之前解释其贡献
医疗保健域可以发布 DMARC 而不安全的工作流程仍然会暴露患者信息。相反，电子邮件安全项目可能会解决真正的假冒风险，但不会解决所有适用的HIPAA义务。有用的问题是身份验证控制减少了哪些风险，涉及哪些信息和系统，以及组织必须评估哪些其他保护措施。领域结果不应成为得出法律结论的捷径。
本指南使用 2026 年 11 月 8 日审查的 HHS 公共材料。 HHS 安全规则摘要 明确描述了当前有效的规则，并分别指导读者提出修改建议。这是一个概述，而不是完整的规则或法律建议，并表示该规则管辖任何冲突。组织的适当合规性和法律审查员必须确定实际适用性并批准最终解释。
建立实体和信息边界
HHS 将涵盖的健康计划、医疗保健信息交换所、合格的医疗保健提供者和商业伙伴确定为受监管人群。一家企业并不仅仅因为其网站讨论健康而受到覆盖。事实关系和相关电子交易很重要。在将合规性要求附加到域之前，确定实体类别、提供的服务和处理的信息。将该分析与邮箱提供商是否强加自己的发件人规则分开。
安全规则涉及受保护的电子健康信息 (ePHI)。虚构诊所的预约通知说明了消息设计的重要性：仅凭发件人地址无法告诉审阅者主题、正文、附件或链接的工作流程是否包含受保护的信息。库存必须遵循服务中的实际信息和收件人。本指南未检查患者信息、消息、诊所记录或任何组织的业务关联安排。
将域身份验证保持在其技术范围内
DMARC 评估 结盟 在作者域和成功支持的身份验证路径之间，具有策略和报告功能。 DKIM 将签名域与所选消息材料上的签名相关联。这些控制措施有助于制定解决未经授权使用组织域的策略。他们不会验证请求访问患者记录的人的身份或授权。
他们也不加密消息。消息在发送给错误的收件人或源自受损的合法帐户时可以成功进行身份验证。恶意发件人可以使用其控制的不同域。描述正在解决的具体冒充风险，然后确定剩余风险。避免使用暗示绿色认证结果证明患者机密性、无害内容、授权治疗或完全符合HIPAA要求的语言。
分别评估传输和访问
这 HHS 电子邮件常见问题解答 表示安全规则并未明确禁止通过电子邮件发送 ePHI。它指出了访问控制、完整性和传输安全要求，并评估了可用的保护措施并记录了决策。常见问题解答日期为 2013 年 7 月 26 日；现行规则摘要提供了更广泛的当代背景。两个来源均未授权本文批准实际传输。
因此，组织应将传输连接的保护与对存储消息的访问、接收者授权和任何单独的消息级机密性设计区分开来。询问谁可以阅读每个相关服务的信息、如何控制访问以及支持所选保护的证据有哪些。电子邮件身份验证记录本身并不能回答这些问题。不应仅仅因为身份验证调查更容易而将真实消息复制到诊断工具中。
不要将可寻址视为可选
当前的 HHS 摘要解释说，必须实施所需的实施规范，并且可寻址规范不仅仅是可选的。受监管实体必须评估可采取的措施是否合理且适当。如果不是，则规则允许满足标准目的的适当替代方案，并记录决定。这是组织评估的结构化义务，而不是省略加密或其他保护措施的全面许可。
HHS 还描述了风险分析、指定的安全官员、访问管理、事件程序、评估和业务伙伴安排。拟议的域身份验证证据记录可以支持该工作的相关部分，但它不能取代更广泛的评估。审核者需要知道哪个流程在范围内、正在处理哪些风险、谁负责、观察到什么以及尚未解决什么。通用合规徽章不提供任何此类背景。
将提议的规则与当前职责分开
这 HHS NPRM 页面 描述了 2024 年 12 月宣布的拟议变更。当前规则摘要单独链接了该提案。请勿将有关未来最终规则的拟议条款、预期日期或评论作为已生效的职责提出。在发布或做出运营决定之前，请重新检查官方规则状态和适用日期，而不是依赖供应商的摘要或预定议程项目。
对于虚构诊所，下一步是提出证据图：实体和数据范围、适用要求、身份验证贡献、单独的机密性/访问控制、负责的审查者和缺失的证据。每个组织特定的领域仍未得到验证。确切的目录要求是：“使用当前的 HHS 材料和适当的合规性审查，而不仅仅是供应商的主张。”当前的 HHS 研究被保留，但尚未进行适当的审查。实际操作证据、专家批准、所有者发布和公布的大门仍然开放；未声明任何法律认证、产品能力或已完成的控制测试。