English version: Is Your Remote Desktop HIPAA / SOC 2 Compliant?
"我们符合 HIPAA 合规"是很多远程桌面厂商挂在嘴边的话。是不是真合规，完全取决于你怎么配置和使用工具。合规是你做出来的，不是厂商送给你的。
这篇讲清楚主要标准对远程桌面访问受监管数据的真实要求，以及怎么诚实评估厂商声明。
HIPAA：远程访问的要求
HIPAA 的 Security Rule 有三类保护措施。远程桌面相关的是：
| 保护类别 | 在远程桌面场景下的含义 |
|---|---|
| 访问控制 | 每人独立账号，不能共享登录。空闲自动登出。 |
| 审计控制 | 记录每次会话、文件传输、管理动作。日志要防篡改。 |
| 完整性 | 检测对 PHI（受保护健康信息）的未授权修改。会话录制是一种方法。 |
| 身份认证 | 访问前验证身份。强烈建议 MFA。 |
| 传输安全 | PHI 传输加密。端到端加密是最安全的读法。 |
你还需要跟远程桌面厂商签一份 Business Associate Agreement (BAA) —— 只要他们理论上可能看到 PHI（即使是经过中转），就需要。
SOC 2：审计师在看什么
SOC 2 不是 checklist —— 它是一份报告，看你声明的控制措施是否跟实际执行一致。远程桌面相关的，审计师通常查：
- CC6.1（逻辑访问）：远程访问账号的开通与回收。前员工还在名单上吗？
- CC6.6（边界控制）：你怎么防止未授权网络访问？"我们用 E2EE 远程桌面"是其中一部分。
- CC7.2（异常检测）：你监控异常远程访问模式吗？
- CC8.1（变更管理）：远程桌面工具更新有没有测试和审批流程？
你定控制措施，SOC 2 审你有没有遵守。远程桌面工具只是一个输入。
GDPR：数据传输问题
如果你在欧盟或处理欧盟数据，最大的问题是远程桌面流量实际经过哪里：
- 信令服务器位置：GDPR 下连元数据也算"个人数据"。
- 中转 / TURN 服务器位置：经过这里的流量适用该国法律。
- 厂商总部所在地：影响哪国政府能强制访问。
P2P 优先 + 可自托管信令的工具能解决大部分问题。中转优先、总部在美国、不能自托管的厂商，Schrems II 之后很难辩护。
怎么评估厂商声明
厂商说"合规"时，问：
- 什么证据？ 大所或中型审计所出的 Type 2 SOC 2 报告，不是自查。
- 范围是什么？ 一家厂商可能是公司 IT 符合 SOC 2，但他们的远程桌面产品不符合。
- 能拿到 BAA 吗？ HIPAA 必需。真正的厂商有标准版本现成。
- 数据流向哪？ 具体到：信令、中转、元数据。要书面答复。
- 厂商能看到什么？ "端到端加密"应该意味着厂商字面上读不到会话内容。
回答不出这些细节的厂商，不管市场宣传多好，都不算合规级。
配置清单
挑完厂商之后，配置才是合规：
- 每人独立账号（不共享）
- 所有账号启用 MFA
- 空闲自动登出（HIPAA 通常 15 分钟）
- 断开自动锁屏
- 审计日志启用，发往外部 SIEM / 存储
- 必需场景启用会话录制
- 文件传输默认禁用，单工单启用
- 每台设备独立密码，不共享
- 外包访问有有效期，到期自动撤销
- 文档化的离职流程会撤销访问
- 季度访问审计
- 年度事件响应演练
这些勾不上一半，无论你选了什么工具都不算合规。
"合规剧场"陷阱
很多组织有：
- 一份厂商的合规声明
- 没有真用合规功能的实际配置
- 没人看的审计日志
- 没有事件响应预案
这不是合规 —— 是合规剧场。真正的合规是持续执行的、无聊的运营卫生习惯。
接下来读什么
- 安全基础：《远程桌面安全最佳实践》
- E2EE 到底是什么意思：《远程桌面的端到端加密原理》
- 团队搭建：《给团队搭建远程桌面访问》