Framework
HIPAA Security Rule
Worum es geht
Die US-Sicherheitsregel (45 CFR Teil 164, Subpart C): administrative, physische und technische Schutzmaßnahmen für elektronische geschützte Gesundheitsinformationen, als Standards und Implementierungsspezifikationen, die als Required oder Addressable gekennzeichnet sind. Das HHS hat im Januar 2025 erhebliche Änderungen vorgeschlagen; prüfen Sie deren Status, bevor Sie sich auf die Unterscheidung Addressable verlassen.
Für wen es relevant ist
Betroffene Stellen (Krankenversicherungen, Gesundheitsdaten-Clearinghouses und Leistungserbringer, die elektronisch abrechnen) sowie deren Geschäftspartner.
So wird geprüft
Keine Zertifizierung. Das Office for Civil Rights des HHS setzt sie durch Beschwerden, Untersuchungen von Datenpannen und Audits durch. Eine dokumentierte Risikoanalyse ist der Eckpfeiler; Prüfungsbestätigungen durch Dritte sind gängige Nachweise, aber nicht offiziell.
69
Normen und Spezifikationen
68
Einem anderen Framework zugeordnet
54%
Abgedeckte Themen (27/50)
Deckt nur die HIPAA Security Rule ab (nicht die Privacy Rule oder die Breach Notification Rule).
Vergleiche
Anforderungen
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
| ID | Anforderung | Themen | Zugeordnet in |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 von 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | Risikobewertung, Schwachstellenmanagement | 13 von 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | Risikomanagement, Schwachstellenmanagement | 13 von 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | Insider-Bedrohungen | 8 von 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | Kont. Überwachung, SIEM / SOC | 10 von 13 |
| §164.308(a)(2) | Assigned Security Responsibility | Rollen und Verantwortlichkeiten | 9 von 13 |
| §164.308(a)(3) | Workforce Security | — | 1 von 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 von 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | Insider-Bedrohungen | 8 von 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 von 13 |
| §164.308(a)(4) | Information Access Management | Zugriffskontrolle | 11 von 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 von 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 von 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 von 13 |
| §164.308(a)(5) | Security Awareness and Training | Awareness & Training | 10 von 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | Awareness & Training | 10 von 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | Endpoint-Schutz | 10 von 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 von 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 von 13 |
| §164.308(a)(6) | Security Incident Procedures | Incident Response | 12 von 13 |
| §164.308(a)(6)(ii) | Response and Reporting | Incident Response, Mitigation, Meldung | 12 von 13 |
| §164.308(a)(7) | Contingency Plan | Wiederherstellungsplanung | 9 von 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | Backup & Recovery | 11 von 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | Wiederherstellungsplanung, Disaster Recovery | 10 von 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | Business Continuity | 8 von 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | Disaster Recovery | 10 von 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 von 13 |
| §164.308(a)(8) | Evaluation | Compliance, Schwachstellenmanagement | 13 von 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Cloud-Sicherheit, Lieferantenrisikomanagement | 12 von 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 von 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | Physische Sicherheit | 8 von 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 von 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | Physische Sicherheit | 8 von 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | Physische Sicherheit | 8 von 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 von 13 |
| §164.310(b) | Workstation Use | Physische Sicherheit | 8 von 13 |
| §164.310(c) | Workstation Security | Physische Sicherheit | 8 von 13 |
| §164.310(d) | Device and Media Controls | Asset-Management, Mobile Security | 13 von 13 |
| §164.310(d)(2)(i) | Disposal | Datenschutz | 11 von 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 von 13 |
| §164.310(d)(2)(iii) | Accountability | Asset-Management | 13 von 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | Backup & Recovery | 11 von 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | Zugriffskontrolle | 11 von 13 |
| §164.312(a)(2)(i) | Unique User Identification | Zugriffskontrolle | 11 von 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 von 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 von 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | Verschlüsselung | 10 von 13 |
| §164.312(b) | Audit Controls | Protokollierung & Audit | 10 von 13 |
| §164.312(c) | Integrity | Datenschutz | 11 von 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 von 13 |
| §164.312(d) | Person or Entity Authentication | Zugriffskontrolle | 11 von 13 |
| §164.312(e)(1) | Transmission Security | — | 1 von 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 von 13 |
| §164.312(e)(2)(ii) | Encryption | Verschlüsselung | 10 von 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Lieferantenrisikomanagement | 10 von 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 von 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 von 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 von 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | keine |
| §164.314(b) | Requirements for Group Health Plans | — | 1 von 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 von 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 von 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 von 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 von 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | Governance-Richtlinie | 9 von 13 |
| §164.316(b) | Documentation | — | 1 von 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 von 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 von 13 |
| §164.316(b)(2)(iii) | Updates | Governance-Richtlinie | 9 von 13 |
Themenabdeckung
Themen mit zugeordneten HIPAA-Anforderungen (27):
Governance-RichtlinieAwareness & TrainingRisikomanagementRollen und VerantwortlichkeitenComplianceAsset-ManagementRisikobewertungSchwachstellenmanagementZugriffskontrolleVerschlüsselungDatenschutzBackup & RecoveryEndpoint-SchutzMobile SecurityCloud-SicherheitKont. ÜberwachungProtokollierung & AuditSIEM / SOCIncident ResponseMitigationMeldungWiederherstellungsplanungBusiness ContinuityDisaster RecoveryInsider-BedrohungenLieferantenrisikomanagementPhysische Sicherheit
Keine Zuordnung in unseren Daten Keine HIPAA-Anforderung (23):
LieferkettenrisikoGeschäftsumfeldDatenklassifizierungThreat IntelligenceMulti-Faktor-AuthentifizierungPrivilegierter ZugriffFirewall / NetzsegmentierungPatch-ManagementSichere KonfigurationSichere EntwicklungE-Mail-SicherheitWebanwendungssicherheitZero TrustDNS-SicherheitWAFDLPAngriffserkennungAnomalieerkennungForensikKommunikationErkenntnisse aus VorfällenKommunikation & WiederherstellungAPI-Sicherheit