الإطار
HIPAA Security Rule
ما هو
قاعدة الأمن الأمريكية (45 CFR Part 164، القسم الفرعي C): ضمانات إدارية وفيزيائية وتقنية للمعلومات الصحية المحمية الإلكترونية، في شكل معايير ومواصفات تطبيق موسومة بأنها Required أو Addressable. اقترحت HHS تغييرات جوهرية في يناير 2025؛ تحقق من حالتها قبل الاعتماد على التمييز بين Required وAddressable.
من يحتاجه
الجهات المشمولة (خطط الصحة، ومقاصّ الرعاية الصحية، ومقدمو الخدمات الذين يجرون معاملات إلكترونيًا) وشركاء أعمالها.
كيف يُقيَّم
لا توجد شهادة رسمية. يُنفذ مكتب الحقوق المدنية في HHS القاعدة من خلال الشكاوى وتحقيقات الخروقات والتدقيق. ويُعد تحليل المخاطر الموثّق حجر الأساس؛ وتُعد الإفادات الصادرة عن أطراف ثالثة أدلة شائعة لكنها ليست رسمية.
69
المعايير والمواصفات
68
مُطابَق مع إطار آخر
54%
الموضوعات المغطاة (27/50)
تغطي قاعدة الأمان في HIPAA فقط (وليس قاعدتي الخصوصية وإشعار خرق البيانات).
المقارنات
المتطلبات
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
| ID | المتطلب | الموضوعات | مُطابَق في |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 من 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | تقييم المخاطر, إدارة الثغرات | 13 من 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | إدارة المخاطر, إدارة الثغرات | 13 من 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | التهديدات الداخلية | 8 من 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | المراقبة المستمرة, SIEM / SOC | 10 من 13 |
| §164.308(a)(2) | Assigned Security Responsibility | الأدوار والمسؤوليات | 9 من 13 |
| §164.308(a)(3) | Workforce Security | — | 1 من 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 من 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | التهديدات الداخلية | 8 من 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 من 13 |
| §164.308(a)(4) | Information Access Management | التحكم في الوصول | 11 من 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 من 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 من 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 من 13 |
| §164.308(a)(5) | Security Awareness and Training | التوعية والتدريب | 10 من 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | التوعية والتدريب | 10 من 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | حماية نقاط النهاية | 10 من 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 من 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 من 13 |
| §164.308(a)(6) | Security Incident Procedures | الاستجابة للحوادث | 12 من 13 |
| §164.308(a)(6)(ii) | Response and Reporting | الاستجابة للحوادث, التخفيف, الإبلاغ | 12 من 13 |
| §164.308(a)(7) | Contingency Plan | تخطيط الاستعادة | 9 من 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | النسخ الاحتياطي والاستعادة | 11 من 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | تخطيط الاستعادة, التعافي من الكوارث | 10 من 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | استمرارية الأعمال | 8 من 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | التعافي من الكوارث | 10 من 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 من 13 |
| §164.308(a)(8) | Evaluation | الامتثال, إدارة الثغرات | 13 من 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | أمن السحابة, إدارة مخاطر الموردين | 12 من 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 من 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | الأمن المادي | 8 من 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 من 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | الأمن المادي | 8 من 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | الأمن المادي | 8 من 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 من 13 |
| §164.310(b) | Workstation Use | الأمن المادي | 8 من 13 |
| §164.310(c) | Workstation Security | الأمن المادي | 8 من 13 |
| §164.310(d) | Device and Media Controls | إدارة الأصول, أمن الأجهزة المحمولة | 13 من 13 |
| §164.310(d)(2)(i) | Disposal | حماية البيانات | 11 من 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 من 13 |
| §164.310(d)(2)(iii) | Accountability | إدارة الأصول | 13 من 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | النسخ الاحتياطي والاستعادة | 11 من 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | التحكم في الوصول | 11 من 13 |
| §164.312(a)(2)(i) | Unique User Identification | التحكم في الوصول | 11 من 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 من 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 من 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | التشفير | 10 من 13 |
| §164.312(b) | Audit Controls | التسجيل والتدقيق | 10 من 13 |
| §164.312(c) | Integrity | حماية البيانات | 11 من 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 من 13 |
| §164.312(d) | Person or Entity Authentication | التحكم في الوصول | 11 من 13 |
| §164.312(e)(1) | Transmission Security | — | 1 من 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 من 13 |
| §164.312(e)(2)(ii) | Encryption | التشفير | 10 من 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | إدارة مخاطر الموردين | 10 من 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 من 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 من 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 من 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | لا شيء |
| §164.314(b) | Requirements for Group Health Plans | — | 1 من 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 من 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 من 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 من 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 من 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | سياسة الحوكمة | 9 من 13 |
| §164.316(b) | Documentation | — | 1 من 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 من 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 من 13 |
| §164.316(b)(2)(iii) | Updates | سياسة الحوكمة | 9 من 13 |
تغطية الموضوع
الموضوعات ذات متطلبات HIPAA المربوطة (27):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطرإدارة الثغراتالتحكم في الوصولالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةحماية نقاط النهايةأمن الأجهزة المحمولةأمن السحابةالمراقبة المستمرةالتسجيل والتدقيقSIEM / SOCالاستجابة للحوادثالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالتعافي من الكوارثالتهديدات الداخليةإدارة مخاطر الموردينالأمن المادي
لا يوجد ربط في بياناتنا لا يوجد متطلب HIPAA (23):
مخاطر سلسلة التوريدبيئة الأعمالتصنيف البياناتاستخبارات التهديداتالمصادقة متعددة العناصرالوصول المميزجدار الحماية / تجزئة الشبكةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمان نظام أسماء النطاقات (DNS)WAFDLPكشف التسللاكتشاف الشذوذالطب الشرعي الرقميالاتصالاتالدروس المستفادةالتواصل والاستعادةأمن واجهات برمجة التطبيقات