Comparación
NIST CSF 2.0 vs. Regla de Seguridad de HIPAA: uso del CSF para cumplir con HIPAA
NIST Cybersecurity Framework 2.0 · HIPAA Security Rule · datos 2026-10-27
La Regla de Seguridad de HIPAA (45 CFR Parte 164, Subparte C) exige que las entidades cubiertas y los asociados comerciales protejan la información de salud protegida en formato electrónico mediante salvaguardas administrativas, físicas y técnicas. Algunas especificaciones de implementación son obligatorias y otras son de aplicación flexible. La Oficina de Derechos Civiles (Office for Civil Rights) la hace cumplir, y un análisis de riesgos exhaustivo es su eje central.
La propia guía de NIST, SP 800-66 Rev 2, vincula la Regla de Seguridad con los controles de NIST, y ControlMapping utiliza la Correspondencia HIPAA → SP 800-53 de NIST para enlazar cada requisito de HIPAA con los resultados del CSF. Yendo del CSF a HIPAA, casi todas las normas y especificaciones de la Regla de Seguridad tienen correspondencia o relación tangencial: un programa alineado con el CSF cubre gran parte de lo que exige HIPAA.
Los demás elementos de HIPAA son obligaciones específicas sin un resultado claro en el CSF, como las cláusulas de los contratos con asociados comerciales y la reutilización de soportes. Se trata de requisitos legales y contractuales más que de controles técnicos.
Yendo de HIPAA al CSF, el CSF exige más que HIPAA: resultados de gobernanza como la estrategia de riesgo, las expectativas de las partes interesadas y la gestión del riesgo de la cadena de suministro, la verificación de identidad, la inteligencia sobre amenazas y el desarrollo de software seguro. HHS propuso actualizaciones significativas a la Regla de Seguridad en enero de 2025; compruebe la versión vigente de la norma antes de basarse en la distinción entre obligatorio y de aplicación flexible.
Conclusiones clave
- Comience con un análisis de riesgos documentado: es el requisito de HIPAA en el que más se centran los auditores y las investigaciones de la OCR.
- CSF → HIPAA: añada los elementos legales (acuerdos con asociados comerciales, políticas y conservación de la documentación).
- HIPAA aquí se refiere únicamente a la Regla de Seguridad, no a las reglas de Privacidad ni de Notificación de Violaciones.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene NIST CSF 2.0 → necesita HIPAA
69 req. 38 asignados · · 2 sin asignación Abrir en vista de brechas →De los 69 requisitos de HIPAA Security Rule, 38 se corresponden con algo en NIST CSF 2.0, 29 solo guardan una relación tangencial y 2 no tienen correspondencia en nuestros datos.
Cubre solo la Regla de Seguridad de HIPAA (no las reglas de Privacidad ni de Notificación de Violaciones).
Probablemente trabajo nuevo: requisitos de HIPAA sin correspondencia con NIST CSF 2.0 (2)
| HIPAA | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (29)
| HIPAA | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | GV.OC-03GV.OV-01GV.PO-01+2 | Solo comparte subcategorías de CSF GV.OC-03, GV.OV-01, GV.PO-01: relacionado, no es una correspondencia | |
| §164.308(a)(3) | Workforce Security | DE.CM-01DE.CM-03GV.OC-03+5 | Solo comparte subcategorías de CSF DE.CM-01, DE.CM-03, GV.OC-03: relacionado, no es una correspondencia | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | DE.CM-01DE.CM-03DE.CM-06+5 | Solo comparte subcategorías de CSF DE.CM-01, DE.CM-03, DE.CM-06: relacionado, no es una correspondencia | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | GV.OC-03GV.OV-01GV.PO-01+3 | Solo comparte subcategorías de CSF GV.OC-03, GV.OV-01, GV.PO-01: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | ID.AM-03PR.AA-05PR.DS-01+2 | Solo comparte subcategorías de CSF ID.AM-03, PR.AA-05, PR.DS-01: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | DE.CM-01DE.CM-03DE.CM-06+5 | Solo comparte subcategorías de CSF DE.CM-01, DE.CM-03, DE.CM-06: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | DE.CM-01DE.CM-03GV.OC-03+5 | Solo comparte subcategorías de CSF DE.CM-01, DE.CM-03, GV.OC-03: relacionado, no es una correspondencia | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | DE.AE-02DE.AE-03PR.AT-01+2 | Solo comparte subcategorías de CSF DE.AE-02, DE.AE-03, PR.AT-01: relacionado, no es una correspondencia | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | PR.AT-01PR.AT-02 | Solo comparte subcategorías de CSF PR.AT-01, PR.AT-02: relacionado, no es una correspondencia | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | GV.OC-04ID.AM-05ID.RA-04+4 | Solo comparte subcategorías de CSF GV.OC-04, ID.AM-05, ID.RA-04: relacionado, no es una correspondencia | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | DE.CM-06GV.OC-05GV.SC-04+5 | Solo comparte subcategorías de CSF DE.CM-06, GV.OC-05, GV.SC-04: relacionado, no es una correspondencia | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | DE.CM-02GV.OC-04PR.AA-06+5 | Solo comparte subcategorías de CSF DE.CM-02, GV.OC-04, PR.AA-06: relacionado, no es una correspondencia | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | GV.OC-03GV.OV-01GV.PO-01+3 | Solo comparte subcategorías de CSF GV.OC-03, GV.OV-01, GV.PO-01: relacionado, no es una correspondencia | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | DE.CM-01DE.CM-03GV.OC-04+5 | Solo comparte subcategorías de CSF DE.CM-01, DE.CM-03, GV.OC-04: relacionado, no es una correspondencia | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | PR.AA-03 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | DE.CM-09ID.RA-09PR.DS-01+3 | Solo comparte subcategorías de CSF DE.CM-09, ID.RA-09, PR.DS-01: relacionado, no es una correspondencia | |
| §164.312(e)(1) | Transmission Security | PR.DS-02 | Solo comparte subcategorías de CSF PR.DS-02: relacionado, no es una correspondencia | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | DE.CM-09ID.RA-09PR.DS-01+3 | Solo comparte subcategorías de CSF DE.CM-09, ID.RA-09, PR.DS-01: relacionado, no es una correspondencia | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | DE.CM-06GV.OC-05GV.RR-04+5 | Solo comparte subcategorías de CSF DE.CM-06, GV.OC-05, GV.RR-04: relacionado, no es una correspondencia | |
| §164.314(a)(2)(ii) | Required Other Arrangements | DE.CM-06GV.OC-05GV.RR-04+5 | Solo comparte subcategorías de CSF DE.CM-06, GV.OC-05, GV.RR-04: relacionado, no es una correspondencia | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | DE.CM-06GV.OC-05GV.RR-04+5 | Solo comparte subcategorías de CSF DE.CM-06, GV.OC-05, GV.RR-04: relacionado, no es una correspondencia | |
| §164.314(b) | Requirements for Group Health Plans | ID.AM-03ID.AM-08 | Solo comparte subcategorías de CSF ID.AM-03, ID.AM-08: relacionado, no es una correspondencia | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | Solo comparte subcategorías de CSF ID.AM-03, ID.AM-08: relacionado, no es una correspondencia | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | Solo comparte subcategorías de CSF ID.AM-03, ID.AM-08: relacionado, no es una correspondencia | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | DE.CM-06GV.OC-05GV.SC-04+5 | Solo comparte subcategorías de CSF DE.CM-06, GV.OC-05, GV.SC-04: relacionado, no es una correspondencia | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | RC.CO-03RS.AN-06RS.AN-07+5 | Solo comparte subcategorías de CSF RC.CO-03, RS.AN-06, RS.AN-07: relacionado, no es una correspondencia | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | ID.AM-03ID.AM-08ID.RA-01 | Solo comparte subcategorías de CSF ID.AM-03, ID.AM-08, ID.RA-01: relacionado, no es una correspondencia | |
| §164.316(b)(2)(i) | Required Time Limit | ID.AM-07ID.AM-08 | Solo comparte subcategorías de CSF ID.AM-07, ID.AM-08: relacionado, no es una correspondencia | |
| §164.316(b)(2)(ii) | Required Availability | GV.OC-03GV.OV-01GV.PO-01+5 | Solo comparte subcategorías de CSF GV.OC-03, GV.OV-01, GV.PO-01: relacionado, no es una correspondencia | |
Correspondencia (38)
| HIPAA | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Correspondencia | ID.RA-03ID.RA-04ID.RA-05+3 | Mismo tema: Evaluación de riesgos |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Editorial | GV.RM-01GV.RM-02GV.RM-03+3 | Mismo tema: Gestión de riesgos (selección editorial) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Editorial | DE.CM-03GV.RR-04 | Mismo tema: Amenaza interna (selección editorial) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Correspondencia | DE.AE-03DE.AE-06DE.AE-08+3 | Mismo tema: SIEM / SOC |
| §164.308(a)(2) | Assigned Security Responsibility | Correspondencia | GV.RR-01GV.RR-02GV.RR-03 | Mismo tema: Funciones y responsabilidades |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Correspondencia | DE.CM-03GV.RR-04 | Mismo tema: Amenaza interna |
| §164.308(a)(4) | Information Access Management | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| §164.308(a)(5) | Security Awareness and Training | Correspondencia | PR.AT-01PR.AT-02 | Mismo tema: Concienciación y formación |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Correspondencia | PR.AT-01PR.AT-02 | Mismo tema: Concienciación y formación |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Editorial | DE.CM-09PR.PS-05 | Mismo tema: Protección de endpoints (selección editorial) |
| §164.308(a)(6) | Security Incident Procedures | Correspondencia | ID.IM-04RS.MA-01RS.MA-02+2 | Mismo tema: Respuesta a incidentes |
| §164.308(a)(6)(ii) | Required Response and Reporting | Correspondencia | ID.IM-04RS.CO-02RS.MA-01+5 | Mismo tema: Respuesta a incidentes, Notificación |
| §164.308(a)(7) | Contingency Plan | Correspondencia | ID.IM-04RC.RP-01RC.RP-02 | Mismo tema: Planificación de la recuperación |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Correspondencia | PR.DS-11RC.RP-03 | Mismo tema: Copias de seguridad y recuperación |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Correspondencia | ID.IM-04PR.IR-03RC.RP-01+2 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Correspondencia | GV.OC-04PR.IR-03RC.RP-04 | Mismo tema: Continuidad del negocio |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Editorial | PR.IR-03RC.RP-02RC.RP-05 | Mismo tema: Recuperación ante desastres (selección editorial) |
| §164.308(a)(8) | Evaluation | Correspondencia | ID.RA-01ID.RA-08GV.OC-03+1 | Mismo tema: Gestión de vulnerabilidades, Cumplimiento |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Correspondencia | DE.CM-06GV.SC-04GV.SC-06+5 | Mismo tema: Gestión de riesgos de proveedores |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Editorial | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física (selección editorial) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| §164.310(b) | Workstation Use | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| §164.310(c) | Workstation Security | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| §164.310(d) | Device and Media Controls | Correspondencia | ID.AM-01ID.AM-02ID.AM-04+3 | Mismo tema: Gestión de activos |
| §164.310(d)(2)(i) | Required Disposal | Editorial | PR.DS-01PR.DS-02PR.DS-10 | Mismo tema: Protección de datos (selección editorial) |
| §164.310(d)(2)(iii) | Addressable Accountability | Correspondencia | ID.AM-01ID.AM-02ID.AM-04+1 | Mismo tema: Gestión de activos |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Correspondencia | PR.DS-11RC.RP-03 | Mismo tema: Copias de seguridad y recuperación |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| §164.312(a)(2)(i) | Required Unique User Identification | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Correspondencia | PR.DS-01PR.DS-02 | Mismo tema: Cifrado |
| §164.312(b) | Audit Controls | Correspondencia | DE.AE-03PR.PS-04 | Mismo tema: Registro y auditoría |
| §164.312(c) | Integrity | Correspondencia | PR.DS-01PR.DS-02PR.DS-10 | Mismo tema: Protección de datos |
| §164.312(d) | Person or Entity Authentication | Editorial | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso (selección editorial) |
| §164.312(e)(2)(ii) | Addressable Encryption | Correspondencia | PR.DS-01PR.DS-02 | Mismo tema: Cifrado |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Correspondencia | DE.CM-06GV.SC-04GV.SC-06+2 | Mismo tema: Gestión de riesgos de proveedores |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Correspondencia | GV.PO-01GV.PO-02 | Mismo tema: Política de gobernanza |
| §164.316(b)(2)(iii) | Required Updates | Correspondencia | GV.PO-01GV.PO-02 | Mismo tema: Política de gobernanza |
Tiene HIPAA → necesita NIST CSF 2.0
106 req. 63 asignados · · 16 sin asignación Abrir en vista de brechas →De los 106 requisitos de NIST Cybersecurity Framework 2.0, 63 se corresponden con algo en HIPAA, 27 solo guardan una relación tangencial y 16 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de NIST CSF 2.0 sin correspondencia con HIPAA (16)
| NIST CSF 2.0 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Govern (GV) · 7 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Identify (ID) · 4 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| Protect (PR) · 4 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (27)
| NIST CSF 2.0 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| Detect (DE) · 2 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(C)§164.308(a)(6)+3 | Solo comparte subcategorías de CSF DE.AE-02: relacionado, no es una correspondencia | |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | Solo comparte subcategorías de CSF DE.AE-07: relacionado, no es una correspondencia | |
| Govern (GV) · 8 | ||||
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | Solo comparte subcategorías de CSF GV.OC-05: relacionado, no es una correspondencia | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Solo comparte subcategorías de CSF GV.OV-01: relacionado, no es una correspondencia | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | Solo comparte subcategorías de CSF GV.RM-07: relacionado, no es una correspondencia | |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)+5 | Solo comparte subcategorías de CSF GV.SC-03: relacionado, no es una correspondencia | |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | Solo comparte subcategorías de CSF GV.SC-05: relacionado, no es una correspondencia | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | §164.308(a)(6)§164.308(a)(7)§164.308(b)(1)+5 | Solo comparte subcategorías de CSF GV.SC-08: relacionado, no es una correspondencia | |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | Solo comparte subcategorías de CSF GV.SC-09: relacionado, no es una correspondencia | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | Solo comparte subcategorías de CSF GV.SC-10: relacionado, no es una correspondencia | |
| Identify (ID) · 5 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | §164.308(a)(1)(ii)(B)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)+5 | Solo comparte subcategorías de CSF ID.AM-03: relacionado, no es una correspondencia | |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+1 | Solo comparte subcategorías de CSF ID.AM-05: relacionado, no es una correspondencia | |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | §164.316(b)(2)(i) | Solo comparte subcategorías de CSF ID.AM-07: relacionado, no es una correspondencia | |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | §164.308(a)(1)(ii)(D)§164.308(a)(8) | Solo comparte subcategorías de CSF ID.RA-07: relacionado, no es una correspondencia | |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | §164.308(b)(4)§164.312(c)§164.312(c)(2)+4 | Solo comparte subcategorías de CSF ID.RA-09: relacionado, no es una correspondencia | |
| Protect (PR) · 3 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)+1 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.310(a)(2)(i) | Solo comparte subcategorías de CSF PR.IR-04: relacionado, no es una correspondencia | |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Solo comparte subcategorías de CSF PR.PS-02: relacionado, no es una correspondencia | |
| Recover (RC) · 3 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | Solo comparte subcategorías de CSF RC.CO-03: relacionado, no es una correspondencia | |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+5 | Solo comparte subcategorías de CSF RC.CO-04: relacionado, no es una correspondencia | |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | §164.308(a)(6)§164.308(a)(6)(ii) | Solo comparte subcategorías de CSF RC.RP-06: relacionado, no es una correspondencia | |
| Respond (RS) · 6 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+1 | Solo comparte subcategorías de CSF RS.AN-03: relacionado, no es una correspondencia | |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | Solo comparte subcategorías de CSF RS.AN-06: relacionado, no es una correspondencia | |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | Solo comparte subcategorías de CSF RS.AN-07: relacionado, no es una correspondencia | |
| RS.AN-08 | An incident's magnitude is estimated and validated | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(6)+2 | Solo comparte subcategorías de CSF RS.AN-08: relacionado, no es una correspondencia | |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | Solo comparte subcategorías de CSF RS.CO-03: relacionado, no es una correspondencia | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | §164.308(a)(6)§164.308(a)(6)(ii) | Solo comparte subcategorías de CSF RS.MA-05: relacionado, no es una correspondencia | |
Correspondencia (63)
| NIST CSF 2.0 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-03 | Information is correlated from multiple sources | Correspondencia | §164.308(a)(1)(ii)(D)§164.312(b) | Mismo tema: SIEM / SOC, Registro y auditoría |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Correspondencia | §164.308(a)(1)(ii)(D) | Mismo tema: SIEM / SOC |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Correspondencia | §164.308(a)(1)(ii)(D) | Mismo tema: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Correspondencia | §164.308(a)(1)(ii)(D) | Mismo tema: Monitoreo cont. |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Correspondencia | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mismo tema: Monitoreo cont., Amenaza interna |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Correspondencia | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(B) | Mismo tema: Monitoreo cont., Protección de endpoints |
| Govern (GV) · 16 | ||||
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Editorial | §164.308(a)(8) | Mismo tema: Cumplimiento (selección editorial) |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Correspondencia | §164.308(a)(7)(ii)(C) | Mismo tema: Continuidad del negocio |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Editorial | §164.308(a)(8) | Mismo tema: Cumplimiento (selección editorial) |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Correspondencia | §164.316(a)§164.316(b)(2)(iii) | Mismo tema: Política de gobernanza |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Correspondencia | §164.316(a)§164.316(b)(2)(iii) | Mismo tema: Política de gobernanza |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Editorial | §164.308(a)(1)(ii)(B) | Mismo tema: Gestión de riesgos (selección editorial) |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Editorial | §164.308(a)(1)(ii)(B) | Mismo tema: Gestión de riesgos (selección editorial) |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Editorial | §164.308(a)(1)(ii)(B) | Mismo tema: Gestión de riesgos (selección editorial) |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Editorial | §164.308(a)(1)(ii)(B) | Mismo tema: Gestión de riesgos (selección editorial) |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Correspondencia | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Correspondencia | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Correspondencia | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades |
| GV.RR-04 | Cybersecurity is included in human resources practices | Correspondencia | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mismo tema: Amenaza interna |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| Identify (ID) · 12 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Correspondencia | §164.310(d)§164.310(d)(2)(iii) | Mismo tema: Gestión de activos |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Correspondencia | §164.310(d)§164.310(d)(2)(iii) | Mismo tema: Gestión de activos |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Correspondencia | §164.308(b)(1)§164.310(d)§164.310(d)(2)(iii) | Mismo tema: Seguridad en la nube, Gestión de activos |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Correspondencia | §164.310(d)§164.310(d)(2)(iii) | Mismo tema: Gestión de activos |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Correspondencia | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+1 | Mismo tema: Respuesta a incidentes, Planificación de la recuperación |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Correspondencia | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Mismo tema: Gestión de vulnerabilidades |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Correspondencia | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Correspondencia | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Correspondencia | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Correspondencia | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Correspondencia | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Mismo tema: Gestión de vulnerabilidades |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Correspondencia | §164.308(b)(1)§164.314(a) | Mismo tema: Gestión de riesgos de proveedores |
| Protect (PR) · 15 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Correspondencia | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mismo tema: Control de acceso |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Correspondencia | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+2 | Mismo tema: Control de acceso |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Correspondencia | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mismo tema: Concienciación y formación |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Correspondencia | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mismo tema: Concienciación y formación |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Correspondencia | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | Mismo tema: Cifrado, Protección de datos |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Correspondencia | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | Mismo tema: Cifrado, Protección de datos |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Correspondencia | §164.312(c)§164.310(d)(2)(i) | Mismo tema: Protección de datos |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Correspondencia | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Mismo tema: Copias de seguridad y recuperación |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Correspondencia | §164.308(b)(1) | Mismo tema: Seguridad en la nube |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Correspondencia | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mismo tema: Seguridad física |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Correspondencia | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Mismo tema: Recuperación ante desastres, Continuidad del negocio |
| PR.PS-01 | Configuration management practices are established and applied | Correspondencia | §164.308(b)(1)§164.310(d) | Mismo tema: Seguridad en la nube, Seguridad móvil |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Correspondencia | §164.312(b) | Mismo tema: Registro y auditoría |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Editorial | §164.308(a)(5)(ii)(B) | Mismo tema: Protección de endpoints (selección editorial) |
| Recover (RC) · 5 | ||||
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Correspondencia | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Mismo tema: Planificación de la recuperación |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Correspondencia | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Mismo tema: Planificación de la recuperación, Recuperación ante desastres |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Correspondencia | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Mismo tema: Copias de seguridad y recuperación |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Correspondencia | §164.308(a)(7)(ii)(C) | Mismo tema: Continuidad del negocio |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Correspondencia | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Mismo tema: Recuperación ante desastres |
| Respond (RS) · 7 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Correspondencia | §164.308(a)(6)(ii) | Mismo tema: Notificación |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Correspondencia | §164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: Respuesta a incidentes |
| RS.MA-02 | Incident reports are triaged and validated | Correspondencia | §164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: Respuesta a incidentes |
| RS.MA-03 | Incidents are categorized and prioritized | Correspondencia | §164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: Respuesta a incidentes |
| RS.MA-04 | Incidents are escalated or elevated as needed | Correspondencia | §164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: Respuesta a incidentes |
| RS.MI-01 | Incidents are contained | Correspondencia | §164.308(a)(6)(ii) | Mismo tema: Mitigación |
| RS.MI-02 | Incidents are eradicated | Correspondencia | §164.308(a)(6)(ii) | Mismo tema: Mitigación |
Por tema
Ambos cubren (27):
Política de gobernanzaConcienciación y formaciónGestión de riesgosFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosGestión de vulnerabilidadesControl de accesoCifradoProtección de datosCopias de seguridad y recuperaciónProtección de endpointsSeguridad móvilSeguridad en la nubeMonitoreo cont.Registro y auditoríaSIEM / SOCRespuesta a incidentesMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioRecuperación ante desastresAmenaza internaGestión de riesgos de proveedoresSeguridad física
Solo NIST CSF 2.0 (23):
Riesgo de la cadena de suministroEntorno empresarialClasificación de datosInteligencia de amenazasAutenticación multifactorAcceso privilegiadoCortafuegos / Segmentación de redGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad DNSWAFDLPDetección de intrusionesDetección de anomalíasAnálisis forenseComunicaciónLecciones aprendidasComunicaciones y restauraciónSeguridad de APIs
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.