Hushmailの「セキュアフォーム」とHIPAA
HushmailのセキュアWebフォームを医療Webサイトに統合する仕事に就きました。フォームは、患者（PHI）のデータをHushmailのサーバーに送信し、データを暗号化してから、Hushmailの電子メールアカウントに送信します。フォームのルーティングは、フォームのアクション属性を https://forms.hush.com/webformname に変更するだけで実行できます。
これは私にはセキュリティが不足しているようです。 1つは、医療サイトがSSLを使用しておらず、Hushmailのドキュメントのどこにも、真に安全な送信のためにWebサイト側でSSLが必要であると記載されていません。明らかに、これらのフォーム送信はHIPAAに準拠している必要があります。平凡なハッカーなら誰でも、Hushmailに送信されて暗号化される前にパケットをキャプチャできるように思えます。
これは安全ですか？フォームのiframeを使用する方が安全ですか？ （SSLを使用しています）サイトでSSLを設定するように説得する必要がありますか？
私はHIPAAについて調べようとしていますが、開発者にとって技術的なものを見つけるのに問題があります。どんな参考文献も歓迎します。
フォームのaction属性にhttps：//がある場合、データはHush SecureFormsサーバーに送信される前に暗号化されます。したがって、ここでの問題は暗号化ではありません。
ただし、ホスティング医療サイトがSSLを使用していないという事実に問題があります。エンドユーザーがフォームを表示するとき、医療サイトから正しいフォームを見ているのか、MITMまたはフィッシング攻撃に関与している悪意のある第三者によってレンダリングされたフォームを見ているのかを知る方法がありません。サードパーティは、医療サイトと同じように見えるが、おそらくハッシュフォームで異なるアクションを伴うページを提供する可能性があります（例： https://HackersServerInNigeria.net ）。この場合、彼らの個人データはHush Formsサーバーではなく、ハッカーが選択したサーバーに送信されます。
また、同じページに安全なコンテンツと安全でないコンテンツを混在させると、ブラウザの警告が表示される場合があります。