- Spegnimento
- 26 agosto 2026 alle ore 06:53 UTC
- Autore
- Kamo
- Impegno
- 9a5f0ff
Il §164.524 diritto di accesso, reso reale: un paziente firma e legge il proprio problemi, farmaci, allergie, vaccinazioni e appuntamenti, e può scaricare l'intero record come C-CDA. Una THIRD PRINCIPALE, e le guardie ora conoscono tutti e tre. EhrEndpointGuardTest è cresciuto PORTAL AUTHENTICATED per i gestori che risolvono una sessione paziente e PORTAL DOORS per i due che non possono — attivare un invito e la firma, perché ottenere una sessione è quello che sono per. Entrambe le liste sono di polizia piuttosto che semplicemente scusato: i primi controlli ogni gestore risolve davvero un portale sessione, il secondo che il sign-in verifica una password e che l'attivazione guarda l'invito all'hash del token presentato. TUTTO SIGN-IN FAILURE ANSWERS THE SAME SENTENCE, e un indirizzo sconosciuto ancora costa il tempo di un hash. Distinguere "no tali account" da "password sbagliata" conferma che gli indirizzi sono pazienti di questa pratica — ed essendo un paziente di una clinica oncologica è una diagnosi. Un 404 piuttosto che un 403 su qualcun altro il record è lo stesso ragionamento. FAILURES LOCK THE ACCOUNT, non un IP. Un portale di login è l'unica credenziale l'entità coperta pubblica l'indirizzo di, e l'attacco realistico è un lento spruzzo attraverso molti conti piuttosto che un colpo contro uno, che un tasso per-IP il limite non vede. La rimozione dell'accesso revoca ogni sessione dal vivo, non solo l'account. Disabilitazione da solo lascia chiunque sia firmato a leggere il record fino a quando la loro sessione non avviene per scadere, che non è ciò che nessuno significa ritirare l'accesso. La regola della password è LENGTH SOLO. Regole di composizione — una cifra, un simbolo, un capitale — spingere le persone verso Password1! e lontano dalle lunghe passfrae che sono in realtà forti. Le letture del portale sono verificate come PATIENT REQUEST con una base PATIENT AUTHORIZED, e il record di download è scritto anche al registro di divulgazione. §164.528 non fa richiedere l'accesso del paziente nella loro contabilità, ma 42 CFR §2.25 non ha l'esclusione e "che ha aperto il mio record" merita una risposta completa.