20 道HIPAA 隐私、安全与合规练习题及答案

CEHRS 电子健康档案专员认证考试练习的全部HIPAA 隐私、安全与合规练习题，附正确答案和简短解析。

1. 外院一名正在为该患者提供治疗的医生来电，索取患者的完整病历。电子病历专员担心发送整份病历违反最小必要标准。下列哪项说法正确？
- A.最小必要标准不适用于为治疗目的向医务人员作出的披露✓ 答案
- B.最小必要标准适用于承保实体作出的每一次信息披露
- C.除非患者另行签署一份授权书，否则最小必要标准一律适用
- D.最小必要标准适用于纸质病历，但不适用于电子健康记录
HIPAA 隐私规则列出了最小必要标准的若干例外情形，其中第一项就是为治疗目的向医务人员作出的披露或医务人员为治疗提出的索取；其余例外包括向患者本人披露、依患者签署的授权书披露、向卫生与公众服务部提供合规调查所需资料，以及法律强制要求的披露。由于治疗属于例外，向正在治疗该患者的医生提供其索取的病历是允许的。
编号 QB-FK48ZP依据： HIPAA Privacy Rule, 45 CFR 164.502(b) minimum necessary standard报告此题的问题
2. 某诊所计划参加联邦电子病历激励项目，并询问电子病历专员对所用软件有何要求。该诊所的 EHR 系统必须满足下列哪项条件？
- A.经医生所属州级医学会评审认可的系统
- B.已在该诊所的医疗责任保险公司登记的系统
- C.经该诊所最大商业保险付款方书面批准的系统
- D.经联邦健康信息技术认证项目认证的系统✓ 答案
联邦电子病历激励项目历来都以“经认证的电子健康记录技术”为基础：系统必须通过国家健康信息技术认证项目的认证，认证会检验其能否完成项目所考核的功能，例如电子处方、健康信息交换以及让患者电子化获取自己的记录。保险公司、付款方和专业学会都不参与这项认证。
编号 QB-X3X2EP依据： ONC Health IT Certification Program; NHA CEHRS Test Plan, Regulatory Compliance报告此题的问题
3. 某数据集正按“安全港”方法进行去标识化处理，文件中有一位患者已 94 岁。该患者的年龄必须如何处理？
- A.原样报告，因为年龄本身不属于标识符
- B.按覆盖该患者所在十年的年龄段报告
- C.在删除出生日期后按确切年龄报告
- D.归入“90 岁及以上”这一个合并类别中报告✓ 答案
在“安全港”方法下，超过 89 岁的年龄以及任何能显示其超过 89 岁的日期元素，都必须合并为“90 岁及以上”一个类别，因为高龄在人群中极为罕见，足以反向指向某个具体的人。89 岁及以下的年龄可以保留，而与个人相关的、年份以外的日期仍须删除。
编号 QB-EKRVTN依据： HIPAA Privacy Rule, 45 CFR 164.514(b) Safe Harbor de-identification报告此题的问题
4. 一名研究人员向电子病历专员索取一份患者数据文件，该文件保留入院日期和邮政编码，但已删除姓名、账号等直接标识符。关于该文件，下列哪项说法正确？
- A.它已属于去标识化数据，可以不附加任何条件地共享
- B.它属于有限数据集，可用于任何业务目的对外提供
- C.它属于有限数据集，须签署数据使用协议后方可提供✓ 答案
- D.它已属于去标识化数据，因为日期和邮编不是标识符
有限数据集仍然属于受保护健康信息：它删除了十六项直接标识符，但可以保留城镇、州、邮政编码、所有日期和年龄，正因如此它不被视为去标识化数据。它只能用于研究、公共卫生或医疗运营，且必须在接收方签署限定用途、禁止重新识别的数据使用协议之后才能提供。
编号 QB-24Z2XS依据： HIPAA Privacy Rule, 45 CFR 164.514(e) limited data set and data use agreement报告此题的问题
5. 收到一份授权书，其中写明了索取方、说明了所需记录，并有患者的签名和签署日期，但没有填写有效期截止日或终止事件。电子病历专员应当怎么做？
- A.仅提供就诊摘要，因为该表格只是部分内容填写完整
- B.退回该表格，并请患者重新提交一份填写完整的授权书✓ 答案
- C.照常提供记录，并把该表格连同一份缺项说明一并归档
- D.在表格上补填一年的有效期截止日，然后提供所需记录
有效期截止日或终止事件是 HIPAA 隐私规则要求的核心要素之一，其他核心要素包括对信息的具体描述、披露方、接收方、使用目的以及患者本人的签名和日期。缺少任何核心要素的授权书在形式上即为无效，因此不得据以披露信息，工作人员也不得自行代为填补该要素。
编号 QB-HKTVBS依据： HIPAA Privacy Rule, 45 CFR 164.508(c) core elements of a valid authorization报告此题的问题
6. 一位患者要求获取其病历中的全部内容，并特别点名索取心理咨询师保存的心理治疗笔记。电子病历专员应如何处理这部分心理治疗笔记？
- A.仅以工作人员撰写的摘要形式提供给患者，不提供原件
- B.在咨询师会签该申请之后，才把这些笔记提供给患者
- C.在患者支付复印费后，与病历其余部分一并提供给患者
- D.它们不在 HIPAA 隐私规则规定的患者查阅权范围之内✓ 答案
患者的查阅权覆盖指定记录集，但 HIPAA 隐私规则将两类信息完全排除在外：一是心理治疗笔记，即咨询师单独保存的会谈记录；二是为应对可能的诉讼而整理的资料。病历的其余部分仍须提供，而心理治疗笔记只有在患者另行签署有效授权书时才可由医务人员选择披露。
编号 QB-Z3NQRR依据： HIPAA Privacy Rule, 45 CFR 164.524 right of access报告此题的问题
7. 一位患者要求获取其受保护健康信息的披露清单。下列哪一项披露必须列入该清单？
- A.依据患者本人签署的授权书发送给其雇主的病历副本
- B.依法律要求向公共卫生机构报送的传染病报告✓ 答案
- C.发送给正在为该患者提供治疗的专科医生的病历摘要
- D.向该患者所属健康保险计划提交的含临床细节的理赔申请
披露清单覆盖申请之前六年内的披露，但明确排除为治疗、付款和医疗运营目的的披露、依授权书作出的披露、向患者本人的披露、附带性披露以及其他若干情形。依法律要求向公共卫生机构报送的报告不属于任何一项排除情形，因此必须记录其日期、接收方、所披露信息的简要说明和目的。
编号 QB-GKFJ6R依据： HIPAA Privacy Rule, 45 CFR 164.528 accounting of disclosures报告此题的问题
8. 一名来电者自称是该患者的律师，要求当天把完整病历传真到他的办公室。电子病历专员首先应当怎么做？
- A.把该电话转接给最后一次为该患者提供治疗的医生处理
- B.核实其身份以及其接收该病历的书面授权依据✓ 答案
- C.按其提供的号码传真病历，事后在系统中记录本次来电
- D.当天先传真一份就诊摘要，其余病历于次日邮寄寄出
HIPAA 隐私规则要求承保实体在披露受保护健康信息之前，先核实索取者的身份及其接收该信息的权限。对律师而言，这意味着须有患者签署的有效授权书或其他法律文书在案，并且随后只能提供授权书中实际列明的那部分记录。
编号 QB-YAR392依据： HIPAA Privacy Rule, 45 CFR 164.514(h) verification requirements报告此题的问题
9. 一名护士的 EHR 账号被锁定，她请求使用电子病历专员的账号登录记录病情，以免耽误工作。恰当的做法是什么？
- A.把密码告诉她使用，并在下班时把密码更换一次
- B.替她登录，并在她录入记录期间守在工作站旁边
- C.以专员本人的账号，代她把相关记录录入病历系统
- D.请她联系技术支持台，尽快恢复她本人的账号✓ 答案
HIPAA 安全规则要求为每一名工作人员分配唯一的用户标识，其目的正是让系统中的每一项操作都能追溯到具体的个人。使用他人账号书写病历会破坏这种可追溯性，使审计轨迹失真，并让账号所有人为自己未作的记录承担责任，因此正确做法是尽快恢复该护士本人的访问权限。
编号 QB-KKHJPU依据： HIPAA Security Rule, 45 CFR 164.312(a) unique user identification报告此题的问题
10. 一名拥有全系统访问权限的电子病历专员因担心其成年弟弟，调阅了他最近一次就诊的记录，并且从未向任何人透露所看到的内容。这一行为应如何认定？
- A.属于违规，因为她调阅该记录没有任何与工作相关的理由✓ 答案
- B.可以接受，因为她并未把所看到的任何内容透露给其他人
- C.可以接受，因为直系亲属之间有权相互查看各自的就诊记录
- D.只有当该次就诊涉及受特别保护的治疗类别时才属于违规
授予访问权限是为了让工作人员完成本职工作，出于好奇或个人关心而使用这些权限即属未经授权的访问，即使没有复制、打印或转述任何内容也是如此。亲属关系并不构成查阅理由；她弟弟应当自行申请查阅本人记录或签署授权书，而审计日志会清楚显示她的用户标识出现在该病历上。
编号 QB-8YHXVS依据： HIPAA Privacy Rule, 45 CFR 164.502; HIPAA Security Rule, 45 CFR 164.308(a)(4) information access management报告此题的问题
11. 一名用户从收费部门调岗到前台挂号处工作。应当如何处理该用户的 EHR 账号？
- A.暂停该账号，直到该用户重新完成一次新员工培训
- B.增加新岗位权限，并保留原有权限以便顶班时使用
- C.按新岗位调整权限，同时撤销其原岗位的各项权限✓ 答案
- D.保持账号权限不变，等待下一次年度权限审核时处理
信息访问管理要求对权限进行设定、审核和修改，使其与用户当前的岗位相符，这正是基于角色的访问控制以及最小必要标准在系统权限上的具体体现。若在新增挂号权限的同时保留原有收费权限，该用户就仍能访问其现岗位根本不需要的数据。
编号 QB-RFQ4GT依据： HIPAA Security Rule, 45 CFR 164.308(a)(4) access establishment and modification报告此题的问题
12. 经风险分析后，某诊所认为在其环境下对某一台服务器上存储的电子受保护健康信息进行加密并不合理可行。按照 HIPAA 安全规则，该诊所必须怎么做？
- A.记录其判断理由，并落实一项等效的替代安全措施✓ 答案
- B.把该决定报送联邦执法机构，并等待其书面批准后执行
- C.把该决定写入风险分析报告即可，无需再采取其他行动
- D.完全放弃该项规范，因为“可选择性”措施本来就非强制
“可选择性”实施规范并不等于可以不做：实体必须评估该措施在自身环境中是否合理适当；若认定不合理，就必须书面记录理由，并实施能够达到同一标准的等效替代措施。存储中电子受保护健康信息的加密和自动注销属于可选择性规范，而唯一用户标识和紧急访问程序则是必须实施的规范。
编号 QB-7Y6MQR依据： HIPAA Security Rule, 45 CFR 164.306(d) addressable implementation specifications报告此题的问题
13. 在繁忙的登记台显示器上加装了防窥膜，使旁边站立的人无法看清屏幕内容。按照 HIPAA 安全规则，这属于下列哪一类安全保障措施？
- A.物理层面的安全保障措施✓ 答案
- B.管理层面的安全保障措施
- C.技术层面的安全保障措施
- D.组织层面的合规要求事项
物理保障措施保护设备、介质及其所处的空间，其中“工作站安全”涵盖设备如何摆放、如何遮挡视线，与设施出入控制、设备与介质处置同属这一类。技术保障措施指系统内部的控制手段，如唯一登录标识、审计控制和自动注销；管理保障措施则是围绕这些内容的政策、培训和风险管理。
编号 QB-QFCSAS依据： HIPAA Security Rule, 45 CFR 164.310 physical safeguards报告此题的问题
14. 一家依据业务伙伴协议提供服务的听打转录供应商发现，一个存放口述录音文件的文件夹曾暴露在公开互联网上。该供应商必须向谁通报此事件？
- A.为该承保实体核发执业许可的州级主管机构
- B.负责监管 HIPAA 执法的联邦民权执法办公室
- C.其病历受到影响的那家承保实体（医疗机构）✓ 答案
- D.受影响的患者本人以及当地的各家新闻媒体机构
根据 HITECH 法案确立的违规通报要求，业务伙伴在发现数据泄露后应通报承保实体，再由承保实体承担向患者本人、必要时向媒体以及向联邦主管部门通报的义务。由承保实体统一对外通报，可确保由同一方负责风险评估，并承担证明已履行通报义务的举证责任。
编号 QB-6YT9JQ依据： HITECH Act breach notification; 45 CFR 164.410 notification by a business associate报告此题的问题
15. 一台存有电子受保护健康信息的笔记本电脑在员工车内被盗。下列哪一项事实最直接决定是否需要履行数据泄露通报义务？
- A.机内信息是否已按联邦认可的标准进行了加密处理✓ 答案
- B.被盗后是否已及时向当地警察部门报案并留有报案记录
- C.该笔记本电脑属于诊所资产还是员工本人的私人财产
- D.该电脑的登录界面是否设置了足够强度的开机登录密码
只有“未受保护的”受保护健康信息才会触发泄露通报义务，即未通过符合联邦指引的加密或销毁手段变得不可用、不可读或不可辨识的信息。被盗的电脑若已达到该加密标准，通常不构成须通报的泄露事件；未加密的电脑则被推定为发生泄露，除非四要素风险评估表明信息被侵害的可能性很低。
编号 QB-PFZE5R依据： HITECH Act breach notification; 45 CFR 164.402 definition of unsecured protected health information报告此题的问题
16. 某机构的系统忠实记录了每一次对电子受保护健康信息的访问，但从来没有人查看这些日志。按照 HIPAA 安全规则，这种做法如何认定？
- A.不合规，因为系统活动记录必须被定期审阅、不能只生成不看✓ 答案
- B.合规，因为规则要求的记录机制已经建立并且正在正常运行
- C.不合规，因为这些日志必须打印出来并作为纸质记录归档保存
- D.合规，因为查看日志属于“可选择性”规范而非必须实施的要求
审计控制要求建立能够“记录并检查”含电子受保护健康信息系统中活动的机制，而另一项管理保障要求（信息系统活动审阅）使“检查”这一步成为强制性而非可选项。无人查阅的日志既无法发现违规窥探，也无法支撑泄露风险评估，机构更无从证明自己对访问行为进行了监控。
编号 QB-5YFXCP依据： HIPAA Security Rule, 45 CFR 164.312(b) audit controls and 45 CFR 164.308(a)(1) information system activity review报告此题的问题
17. 电子病历专员发现，昨天有一组生命体征数据被录入了错误患者的病历中。这条错误记录在病历中应如何处理？
- A.删除该错误记录，使这份病历中只保留准确无误的临床信息
- B.就地覆盖原有数值，并把此次改动记录在科室另设的台账中
- C.请系统管理员从底层数据库中彻底清除这条错误录入的记录
- D.录入一条带日期的更正说明，并让原始记录在病历中仍可查看✓ 答案
健康记录属于法律文书，因此更正错误的方式是新增一条注明日期、时间和记录人的更正条目，同时保留原始记录可供调阅；患者申请修改病历时，处理方式同样是“增补而非删除”。删除或覆盖原有条目会破坏记录和审计轨迹的完整性，也会毁掉解释基于错误数据所作医疗决定所需的证据。
编号 QB-NFN4YP依据： HIPAA Privacy Rule, 45 CFR 164.526 amendment of protected health information; NHA CEHRS Test Plan, Regulatory Compliance报告此题的问题
18. 一次持续两小时的非计划性停机结束后，停机期间书写的纸质记录正被录入 EHR。这些补录条目的日期和时间应如何填写？
- A.填写录入病历的时间，因为病历是在那一刻才发生变更
- B.填写实际提供医疗服务的时间，并标注为“补录条目”✓ 答案
- C.填写实际提供医疗服务的时间，从而看不出存在补录延迟
- D.统一填写系统恢复上线的时间，适用于整包停机记录文件
停机后补录的文书必须同时体现两个事实：条目要标注实际提供医疗服务的日期和时间，以保证临床时间顺序准确；同时要标记为“补录条目”，让病历显示其实际录入时间。若为掩盖延迟而倒填日期，即使临床内容属实也构成对法律记录的伪造。随后还应把纸质原件扫描入病历，并抽样审核已核对的病历。
编号 QB-CYX9KX依据： HIPAA Security Rule, 45 CFR 164.308(a)(7) contingency plan; NHA CEHRS Test Plan, Regulatory Compliance报告此题的问题
19. HIPAA 安全规则的应急计划中，哪一项内容被界定为“建立并维护可检索的电子受保护健康信息精确副本”？
- A.应急运行模式计划
- B.数据备份计划✓ 答案
- C.数据重要性分析
- D.灾难恢复计划
应急计划标准把三项必须实施的内容区分开来，而考生常把它们混为一谈：数据备份计划负责生成可检索的精确副本；灾难恢复计划负责恢复已丢失的数据；应急运行模式计划则负责在系统中断期间维持关键业务流程运转并保障信息安全。至于对各应用和数据集重要性排序的“数据重要性分析”，属于可选择性规范而非必须实施项。
编号 QB-VF5F6Y依据： HIPAA Security Rule, 45 CFR 164.308(a)(7) contingency plan报告此题的问题
20. 医生在 EHR 中以自由文本录入的用药医嘱写着给予该药“.5 mg”。为什么必须在执行该医嘱前先予更正？
- A.剂量的小数末位之后必须再加一个零，即始终保留末尾零
- B.小于 1 的剂量必须写成分数形式，不得使用小数形式表示
- C.剂量必须用文字拼写出来，而不能使用阿拉伯数字来书写
- D.小于 1 的剂量必须在小数点前写上前导零，即写成 0.5 mg✓ 答案
未写前导零的剂量被列入医疗认证标准的“禁用书写方式”清单，因为一旦小数点被漏看，“.5 mg”就会被读成“5 mg”，造成十倍过量，因此该医嘱必须写成 0.5 mg。与之相对的规则是用药剂量中禁止保留末尾零，因为“5.0 mg”可能被读成“50 mg”；这两条规则同样适用于手写医嘱和电子自由文本医嘱。
编号 QB-5WHSCP依据： The Joint Commission Do Not Use List of abbreviations, acronyms and symbols报告此题的问题

本考试的其他主题

登记、接诊与数据采集18 道免费练习题培训、支持与数据核对18 道免费练习题临床记录与病历书写18 道免费练习题模板、数据交换与远程医疗18 道免费练习题医嘱录入支持与患者教育17 道免费练习题收入周期与报销20 道免费练习题报表与数据质量18 道免费练习题

练习题依据 NHA CEHRS 考试大纲、HIPAA 隐私与安全规则（45 CFR 第 164 部）以及 HITECH 法案编写。本网站与美国医疗职业协会（NHA）无关联，也未获其认可。每套电子健康档案系统的界面与菜单各不相同，因此本题库中的工作流程均以通用方式描述——实际操作请遵循你所用系统的文档和所在机构的规定。病历保存期限、可接受的缩写规范以及信息发布的许多细节，由各州法律和机构政策规定，而非由联邦统一规定；罚款金额也会随时间调整。以上内容请以现行权威资料为准，切勿以练习题为准。报考资格与当前考试要求请在报考前向 NHA 确认。关于 CEHRS 认证 →

1. 外院一名正在为该患者提供治疗的医生来电，索取患者的完整病历。电子病历专员担心发送整份病历违反最小必要标准。下列哪项说法正确？

2. 某诊所计划参加联邦电子病历激励项目，并询问电子病历专员对所用软件有何要求。该诊所的 EHR 系统必须满足下列哪项条件？

3. 某数据集正按“安全港”方法进行去标识化处理，文件中有一位患者已 94 岁。该患者的年龄必须如何处理？

4. 一名研究人员向电子病历专员索取一份患者数据文件，该文件保留入院日期和邮政编码，但已删除姓名、账号等直接标识符。关于该文件，下列哪项说法正确？

5. 收到一份授权书，其中写明了索取方、说明了所需记录，并有患者的签名和签署日期，但没有填写有效期截止日或终止事件。电子病历专员应当怎么做？

6. 一位患者要求获取其病历中的全部内容，并特别点名索取心理咨询师保存的心理治疗笔记。电子病历专员应如何处理这部分心理治疗笔记？

7. 一位患者要求获取其受保护健康信息的披露清单。下列哪一项披露必须列入该清单？

8. 一名来电者自称是该患者的律师，要求当天把完整病历传真到他的办公室。电子病历专员首先应当怎么做？

9. 一名护士的 EHR 账号被锁定，她请求使用电子病历专员的账号登录记录病情，以免耽误工作。恰当的做法是什么？

10. 一名拥有全系统访问权限的电子病历专员因担心其成年弟弟，调阅了他最近一次就诊的记录，并且从未向任何人透露所看到的内容。这一行为应如何认定？

11. 一名用户从收费部门调岗到前台挂号处工作。应当如何处理该用户的 EHR 账号？

12. 经风险分析后，某诊所认为在其环境下对某一台服务器上存储的电子受保护健康信息进行加密并不合理可行。按照 HIPAA 安全规则，该诊所必须怎么做？

13. 在繁忙的登记台显示器上加装了防窥膜，使旁边站立的人无法看清屏幕内容。按照 HIPAA 安全规则，这属于下列哪一类安全保障措施？

14. 一家依据业务伙伴协议提供服务的听打转录供应商发现，一个存放口述录音文件的文件夹曾暴露在公开互联网上。该供应商必须向谁通报此事件？

15. 一台存有电子受保护健康信息的笔记本电脑在员工车内被盗。下列哪一项事实最直接决定是否需要履行数据泄露通报义务？

16. 某机构的系统忠实记录了每一次对电子受保护健康信息的访问，但从来没有人查看这些日志。按照 HIPAA 安全规则，这种做法如何认定？

17. 电子病历专员发现，昨天有一组生命体征数据被录入了错误患者的病历中。这条错误记录在病历中应如何处理？

18. 一次持续两小时的非计划性停机结束后，停机期间书写的纸质记录正被录入 EHR。这些补录条目的日期和时间应如何填写？

19. HIPAA 安全规则的应急计划中，哪一项内容被界定为“建立并维护可检索的电子受保护健康信息精确副本”？

20. 医生在 EHR 中以自由文本录入的用药医嘱写着给予该药“.5 mg”。为什么必须在执行该医嘱前先予更正？

本考试的其他主题