Comparación
ISO 27001 frente a la Regla de Seguridad de HIPAA: un SGSI para ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · datos 2026-10-27
ISO/IEC 27001 es un sistema de gestión internacional y certificable; la Regla de Seguridad de HIPAA es un requisito legal de EE. UU. para proteger la información de salud protegida electrónica. Las organizaciones sanitarias y sus proveedores utilizan cada vez más un SGSI basado en ISO 27001 como forma de gestionar sus salvaguardas de HIPAA, sobre todo cuando operan a nivel internacional.
Al pasar de ISO a HIPAA, casi todas las normas y especificaciones de la Regla de Seguridad están en correspondencia o tienen una relación tangencial. El análisis y la gestión de riesgos, la seguridad del personal, el control de acceso, los controles de auditoría, la integridad, la seguridad de la transmisión, la planificación de contingencias y el acceso a las instalaciones tienen todos equivalentes en el Anexo A. Lo que queda es, en su mayoría, contenido legal específico de HIPAA, como las cláusulas de los contratos con socios comerciales y la reutilización de soportes.
Al pasar de HIPAA a ISO, hay más que añadir. HIPAA no exige un sistema de gestión, por lo que las cláusulas de ISO (alcance, liderazgo, objetivos, información documentada, auditoría interna y revisión por la dirección) son nuevas. Tampoco lo son los controles de desarrollo seguro (ciclo de vida de desarrollo seguro, codificación segura, pruebas de seguridad), que HIPAA no aborda directamente.
Si certifica en ISO 27001, incluya de forma explícita el ePHI en el alcance del SGSI y mantenga su análisis de riesgos de HIPAA trazable con su evaluación de riesgos de ISO.
Conclusiones clave
- ISO → HIPAA: añada acuerdos con socios comerciales y documentación específica de HIPAA.
- HIPAA → ISO: construya el SGSI en torno a su análisis de riesgos existente; añada controles de desarrollo seguro si desarrolla software.
- Un certificado ISO no constituye por sí solo una prueba de cumplimiento de HIPAA.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene ISO 27001 → necesita HIPAA
69 req. 38 asignados · · 2 sin asignación Abrir en vista de brechas →De los 69 requisitos de HIPAA Security Rule, 38 se corresponden con algo en ISO 27001, 29 solo guardan una relación tangencial y 2 no tienen correspondencia en nuestros datos.
Cubre solo la Regla de Seguridad de HIPAA (no las reglas de Privacidad ni de Notificación de Violaciones).
Probablemente trabajo nuevo: requisitos de HIPAA sin correspondencia con ISO 27001 (2)
| HIPAA | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (29)
| HIPAA | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | Solo comparte subcategorías de CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | Solo comparte subcategorías de CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04: relacionado, no es una correspondencia | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | Solo comparte subcategorías de CSF PR.AT-01, PR.AT-02: relacionado, no es una correspondencia | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | Solo comparte subcategorías de CSF ID.RA-04, ID.RA-05: relacionado, no es una correspondencia | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, no es una correspondencia | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | Solo comparte subcategorías de CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…: relacionado, no es una correspondencia | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…: relacionado, no es una correspondencia | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | Solo comparte subcategorías de CSF PR.DS-02: relacionado, no es una correspondencia | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, no es una correspondencia | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, no es una correspondencia | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, no es una correspondencia | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | Solo comparte subcategorías de CSF ID.AM-08, ID.IM-02: relacionado, no es una correspondencia | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Solo comparte subcategorías de CSF ID.AM-08, ID.IM-02: relacionado, no es una correspondencia | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Solo comparte subcategorías de CSF ID.AM-08, ID.IM-02: relacionado, no es una correspondencia | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, no es una correspondencia | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | Solo comparte subcategorías de CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…: relacionado, no es una correspondencia | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | Solo comparte subcategorías de CSF ID.AM-08, ID.IM-02: relacionado, no es una correspondencia | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | Solo comparte subcategorías de CSF ID.AM-07, ID.AM-08: relacionado, no es una correspondencia | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | Solo comparte subcategorías de CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, no es una correspondencia | |
Correspondencia (38)
| HIPAA | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Correspondencia | Clause 6.1.2Clause 6.1.3A.8.8+1 | Mismo tema: Evaluación de riesgos, Gestión de vulnerabilidades |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Editorial | A.8.8Clause 6.1.1Clause 6.1.3+1 | Mismo tema: Gestión de vulnerabilidades, Gestión de riesgos (selección editorial) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Editorial | A.6.1A.6.4A.8.16 | Mismo tema: Amenaza interna (selección editorial) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Correspondencia | A.5.25A.8.16 | Mismo tema: SIEM / SOC, Monitoreo cont. |
| §164.308(a)(2) | Assigned Security Responsibility | Correspondencia | A.5.2A.5.4 | Mismo tema: Funciones y responsabilidades |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Correspondencia | A.6.1A.6.4A.8.16 | Mismo tema: Amenaza interna |
| §164.308(a)(4) | Information Access Management | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| §164.308(a)(5) | Security Awareness and Training | Correspondencia | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Correspondencia | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Editorial | A.8.1A.8.7A.8.19 | Mismo tema: Protección de endpoints (selección editorial) |
| §164.308(a)(6) | Security Incident Procedures | Correspondencia | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes |
| §164.308(a)(6)(ii) | Required Response and Reporting | Correspondencia | A.5.5A.5.24A.5.25+2 | Mismo tema: Notificación, Respuesta a incidentes |
| §164.308(a)(7) | Contingency Plan | Correspondencia | A.5.29A.5.30 | Mismo tema: Planificación de la recuperación |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Correspondencia | A.8.13 | Mismo tema: Copias de seguridad y recuperación |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Correspondencia | A.5.29A.5.30A.8.14 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Correspondencia | A.5.29A.5.30A.8.14 | Mismo tema: Continuidad del negocio |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Editorial | A.5.30A.8.14 | Mismo tema: Recuperación ante desastres (selección editorial) |
| §164.308(a)(8) | Evaluation | Correspondencia | A.8.8A.5.31A.5.36+1 | Mismo tema: Gestión de vulnerabilidades, Cumplimiento |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Correspondencia | A.5.19A.5.20A.5.22+1 | Mismo tema: Gestión de riesgos de proveedores |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Correspondencia | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Editorial | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física (selección editorial) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Correspondencia | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física |
| §164.310(b) | Workstation Use | Correspondencia | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física |
| §164.310(c) | Workstation Security | Correspondencia | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física |
| §164.310(d) | Device and Media Controls | Correspondencia | A.5.9A.5.11A.7.14+2 | Mismo tema: Gestión de activos |
| §164.310(d)(2)(i) | Required Disposal | Editorial | A.5.14A.8.10A.8.11 | Mismo tema: Protección de datos (selección editorial) |
| §164.310(d)(2)(iii) | Addressable Accountability | Correspondencia | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Correspondencia | A.8.13 | Mismo tema: Copias de seguridad y recuperación |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| §164.312(a)(2)(i) | Required Unique User Identification | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Correspondencia | A.8.24 | Mismo tema: Cifrado |
| §164.312(b) | Audit Controls | Correspondencia | A.8.15A.8.17 | Mismo tema: Registro y auditoría |
| §164.312(c) | Integrity | Correspondencia | A.5.14A.8.10A.8.11 | Mismo tema: Protección de datos |
| §164.312(d) | Person or Entity Authentication | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| §164.312(e)(2)(ii) | Addressable Encryption | Correspondencia | A.8.24 | Mismo tema: Cifrado |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Correspondencia | A.5.1A.5.37Clause 5.2 | Mismo tema: Política de gobernanza |
| §164.316(b)(2)(iii) | Required Updates | Correspondencia | A.5.1A.5.37Clause 5.2 | Mismo tema: Política de gobernanza |
Tiene HIPAA → necesita ISO 27001
123 req. 58 asignados · · 19 sin asignación Abrir en vista de brechas →De los 123 requisitos de ISO/IEC 27001:2022, 58 se corresponden con algo en HIPAA, 46 solo guardan una relación tangencial y 19 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de ISO 27001 sin correspondencia con HIPAA (19)
| ISO 27001 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| A.8.28 | Secure coding | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| A.8.29 | Security testing in development and acceptance | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| A.8.31 | Separation of development, test and production environments | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 4.3 | Determining the scope of the ISMS | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 4.4 | Information security management system | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 5.1 | Leadership and commitment | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 6.3 | Planning of changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 7.1 | Resources | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 7.5.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 7.5.2 | Creating and updating | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 7.5.3 | Control of documented information | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 9.2.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 9.2.2 | Internal audit programme | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Clause 10.2 | Nonconformity and corrective action | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (46)
| ISO 27001 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, no es una correspondencia | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | Solo comparte subcategorías de CSF GV.OV-01, RS.CO-03: relacionado, no es una correspondencia | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | Solo comparte subcategorías de CSF DE.AE-07, ID.RA-03, ID.RA-05: relacionado, no es una correspondencia | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | Solo comparte subcategorías de CSF GV.OC-05, ID.AM-08: relacionado, no es una correspondencia | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | Solo comparte subcategorías de CSF ID.AM-05, ID.AM-08, PR.DS-01: relacionado, no es una correspondencia | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Solo comparte subcategorías de CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | Solo comparte subcategorías de CSF PR.AA-03, PR.AA-05: relacionado, no es una correspondencia | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | Solo comparte subcategorías de CSF GV.SC-03, GV.SC-09, GV.SC-10: relacionado, no es una correspondencia | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | Solo comparte subcategorías de CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…: relacionado, no es una correspondencia | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | Solo comparte subcategorías de CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…: relacionado, no es una correspondencia | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Solo comparte subcategorías de CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, no es una correspondencia | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Solo comparte subcategorías de CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, no es una correspondencia | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | Solo comparte subcategorías de CSF GV.RR-04: relacionado, no es una correspondencia | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.IR-02: relacionado, no es una correspondencia | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | Solo comparte subcategorías de CSF ID.AM-08, PR.DS-01: relacionado, no es una correspondencia | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | Solo comparte subcategorías de CSF ID.AM-08, PR.IR-02: relacionado, no es una correspondencia | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, no es una correspondencia | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-03, PR.AA-05: relacionado, no es una correspondencia | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Solo comparte subcategorías de CSF DE.CM-09: relacionado, no es una correspondencia | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Solo comparte subcategorías de CSF ID.AM-03, PR.IR-01, PR.DS-02: relacionado, no es una correspondencia | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Solo comparte subcategorías de CSF ID.AM-03, PR.IR-01: relacionado, no es una correspondencia | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Solo comparte subcategorías de CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| A.8.30 | Outsourced development | §164.308(a)(8) | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | Solo comparte subcategorías de CSF GV.OV-03, ID.RA-07: relacionado, no es una correspondencia | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | Solo comparte subcategorías de CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…: relacionado, no es una correspondencia | |
| Clause 7.2 | Competence | §164.308(a)(2) | Solo comparte subcategorías de CSF GV.RR-01, GV.RR-02: relacionado, no es una correspondencia | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | Solo comparte subcategorías de CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: relacionado, no es una correspondencia | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | Solo comparte subcategorías de CSF GV.SC-03, RC.RP-04: relacionado, no es una correspondencia | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Solo comparte subcategorías de CSF ID.IM-02, PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Solo comparte subcategorías de CSF ID.IM-02, PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Solo comparte subcategorías de CSF ID.IM-02, PR.PS-01: relacionado, no es una correspondencia | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | Solo comparte subcategorías de CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06: relacionado, no es una correspondencia | |
Correspondencia (58)
| ISO 27001 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | Correspondencia | §164.316(a)§164.316(b)(2)(iii) | Mismo tema: Política de gobernanza |
| A.5.2 | Information security roles and responsibilities | Correspondencia | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades |
| A.5.4 | Management responsibilities | Correspondencia | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades |
| A.5.5 | Contact with authorities | Correspondencia | §164.308(a)(6)(ii) | Mismo tema: Notificación |
| A.5.9 | Inventory of information and other associated assets | Correspondencia | §164.310(d)§164.310(d)(2)(iii) | Mismo tema: Gestión de activos |
| A.5.11 | Return of assets | Correspondencia | §164.310(d)§164.310(d)(2)(iii) | Mismo tema: Gestión de activos |
| A.5.14 | Information transfer | Correspondencia | §164.312(c)§164.310(d)(2)(i) | Mismo tema: Protección de datos |
| A.5.15 | Access control | Correspondencia | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mismo tema: Control de acceso |
| A.5.16 | Identity management | Correspondencia | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mismo tema: Control de acceso |
| A.5.18 | Access rights | Correspondencia | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mismo tema: Control de acceso |
| A.5.19 | Information security in supplier relationships | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| A.5.20 | Addressing information security within supplier agreements | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| A.5.23 | Information security for use of cloud services | Correspondencia | §164.308(b)(1) | Mismo tema: Seguridad en la nube |
| A.5.24 | Information security incident management planning and preparation | Correspondencia | §164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: Respuesta a incidentes |
| A.5.25 | Assessment and decision on information security events | Correspondencia | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: SIEM / SOC, Respuesta a incidentes |
| A.5.26 | Response to information security incidents | Correspondencia | §164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: Respuesta a incidentes, Mitigación |
| A.5.29 | Information security during disruption | Correspondencia | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | Mismo tema: Planificación de la recuperación, Continuidad del negocio |
| A.5.30 | ICT readiness for business continuity | Correspondencia | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres, Continuidad del negocio |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | §164.308(a)(8) | Mismo tema: Cumplimiento (selección editorial) |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | §164.308(a)(8) | Mismo tema: Cumplimiento (selección editorial) |
| A.5.37 | Documented operating procedures | Correspondencia | §164.316(a)§164.316(b)(2)(iii) | Mismo tema: Política de gobernanza |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Correspondencia | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mismo tema: Amenaza interna |
| A.6.3 | Information security awareness, education and training | Correspondencia | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mismo tema: Concienciación y formación |
| A.6.4 | Disciplinary process | Correspondencia | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mismo tema: Amenaza interna |
| A.6.7 | Remote working | Editorial | §164.310(d) | Mismo tema: Seguridad móvil (selección editorial) |
| A.6.8 | Information security event reporting | Correspondencia | §164.308(a)(6)(ii) | Mismo tema: Notificación |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.2 | Physical entry | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.3 | Securing offices, rooms and facilities | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.4 | Physical security monitoring | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.5 | Protecting against physical and environmental threats | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.6 | Working in secure areas | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.8 | Equipment siting and protection | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.11 | Supporting utilities | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.12 | Cabling security | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| A.7.14 | Secure disposal or re-use of equipment | Correspondencia | §164.310(d)§164.310(d)(2)(iii) | Mismo tema: Gestión de activos |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Editorial | §164.308(a)(5)(ii)(B)§164.310(d) | Mismo tema: Protección de endpoints, Seguridad móvil (selección editorial) |
| A.8.3 | Information access restriction | Correspondencia | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mismo tema: Control de acceso |
| A.8.7 | Protection against malware | Editorial | §164.308(a)(5)(ii)(B) | Mismo tema: Protección de endpoints (selección editorial) |
| A.8.8 | Management of technical vulnerabilities | Correspondencia | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Mismo tema: Gestión de vulnerabilidades |
| A.8.10 | Information deletion | Correspondencia | §164.312(c)§164.310(d)(2)(i) | Mismo tema: Protección de datos |
| A.8.11 | Data masking | Correspondencia | §164.312(c)§164.310(d)(2)(i) | Mismo tema: Protección de datos |
| A.8.13 | Information backup | Correspondencia | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Mismo tema: Copias de seguridad y recuperación |
| A.8.14 | Redundancy of information processing facilities | Correspondencia | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Mismo tema: Recuperación ante desastres, Continuidad del negocio |
| A.8.15 | Logging | Correspondencia | §164.312(b) | Mismo tema: Registro y auditoría |
| A.8.16 | Monitoring activities | Correspondencia | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mismo tema: Monitoreo cont., SIEM / SOC, Amenaza interna |
| A.8.17 | Clock synchronization | Correspondencia | §164.312(b) | Mismo tema: Registro y auditoría |
| A.8.19 | Installation of software on operational systems | Editorial | §164.308(a)(5)(ii)(B) | Mismo tema: Protección de endpoints (selección editorial) |
| A.8.24 | Use of cryptography | Correspondencia | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Mismo tema: Cifrado |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | Correspondencia | §164.316(a)§164.316(b)(2)(iii) | Mismo tema: Política de gobernanza |
| Clause 6.1.1 | General | Editorial | §164.308(a)(1)(ii)(B) | Mismo tema: Gestión de riesgos (selección editorial) |
| Clause 6.1.2 | Information security risk assessment | Correspondencia | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos |
| Clause 6.1.3 | Information security risk treatment | Correspondencia | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Mismo tema: Evaluación de riesgos, Gestión de riesgos |
| Clause 7.3 | Awareness | Correspondencia | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mismo tema: Concienciación y formación |
| Clause 8.2 | Information security risk assessment | Editorial | §164.308(a)(1)(ii)(A) | Selección editorial de ControlMapping: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | Editorial | §164.308(a)(1)(ii)(B) | Selección editorial de ControlMapping: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | §164.308(a)(8) | Mismo tema: Cumplimiento (selección editorial) |
Por tema
Ambos cubren (27):
Política de gobernanzaConcienciación y formaciónGestión de riesgosFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosGestión de vulnerabilidadesControl de accesoCifradoProtección de datosCopias de seguridad y recuperaciónProtección de endpointsSeguridad móvilSeguridad en la nubeMonitoreo cont.Registro y auditoríaSIEM / SOCRespuesta a incidentesMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioRecuperación ante desastresAmenaza internaGestión de riesgos de proveedoresSeguridad física
Solo ISO 27001 (23):
Riesgo de la cadena de suministroEntorno empresarialClasificación de datosInteligencia de amenazasAutenticación multifactorAcceso privilegiadoCortafuegos / Segmentación de redGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad DNSWAFDLPDetección de intrusionesDetección de anomalíasAnálisis forenseComunicaciónLecciones aprendidasComunicaciones y restauraciónSeguridad de APIs
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.