Marco
HIPAA Security Rule
Qué es
La Regla de Seguridad de EE. UU. (45 CFR Parte 164, Subparte C): salvaguardas administrativas, físicas y técnicas para la información sanitaria protegida electrónica, en forma de normas y especificaciones de implementación marcadas como Obligatoria o De aplicación flexible. El HHS propuso cambios significativos en enero de 2025; verifique su estado antes de basarse en la distinción de aplicación flexible.
Quién lo necesita
Entidades cubiertas (planes de salud, cámaras de compensación de servicios sanitarios y proveedores que realizan transacciones electrónicas) y sus socios comerciales.
Cómo se evalúa
No existe certificación. La Oficina de Derechos Civiles del HHS la hace cumplir mediante denuncias, investigaciones de brechas de seguridad y auditorías. Un análisis de riesgos documentado es la piedra angular; las certificaciones de terceros son pruebas habituales, pero no son oficiales.
69
Normas y especificaciones
68
Con correspondencia con otro marco
54%
Temas cubiertos (27/50)
Cubre solo la Regla de Seguridad de HIPAA (no las reglas de Privacidad ni de Notificación de Violaciones).
Comparativas
Requisitos
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
| ID | Requisito | Temas | Con correspondencia en |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 de 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | Evaluación de riesgos, Gestión de vulnerabilidades | 13 de 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | Gestión de riesgos, Gestión de vulnerabilidades | 13 de 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | Amenaza interna | 8 de 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | Monitoreo cont., SIEM / SOC | 10 de 13 |
| §164.308(a)(2) | Assigned Security Responsibility | Funciones y responsabilidades | 9 de 13 |
| §164.308(a)(3) | Workforce Security | — | 1 de 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 de 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | Amenaza interna | 8 de 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 de 13 |
| §164.308(a)(4) | Information Access Management | Control de acceso | 11 de 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 de 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 de 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 de 13 |
| §164.308(a)(5) | Security Awareness and Training | Concienciación y formación | 10 de 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | Concienciación y formación | 10 de 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | Protección de endpoints | 10 de 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 de 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 de 13 |
| §164.308(a)(6) | Security Incident Procedures | Respuesta a incidentes | 12 de 13 |
| §164.308(a)(6)(ii) | Response and Reporting | Respuesta a incidentes, Mitigación, Notificación | 12 de 13 |
| §164.308(a)(7) | Contingency Plan | Planificación de la recuperación | 9 de 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | Copias de seguridad y recuperación | 11 de 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | Planificación de la recuperación, Recuperación ante desastres | 10 de 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | Continuidad del negocio | 8 de 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | Recuperación ante desastres | 10 de 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 de 13 |
| §164.308(a)(8) | Evaluation | Cumplimiento, Gestión de vulnerabilidades | 13 de 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Seguridad en la nube, Gestión de riesgos de proveedores | 12 de 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 de 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | Seguridad física | 8 de 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 de 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | Seguridad física | 8 de 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | Seguridad física | 8 de 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 de 13 |
| §164.310(b) | Workstation Use | Seguridad física | 8 de 13 |
| §164.310(c) | Workstation Security | Seguridad física | 8 de 13 |
| §164.310(d) | Device and Media Controls | Gestión de activos, Seguridad móvil | 13 de 13 |
| §164.310(d)(2)(i) | Disposal | Protección de datos | 11 de 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 de 13 |
| §164.310(d)(2)(iii) | Accountability | Gestión de activos | 13 de 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | Copias de seguridad y recuperación | 11 de 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | Control de acceso | 11 de 13 |
| §164.312(a)(2)(i) | Unique User Identification | Control de acceso | 11 de 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 de 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 de 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | Cifrado | 10 de 13 |
| §164.312(b) | Audit Controls | Registro y auditoría | 10 de 13 |
| §164.312(c) | Integrity | Protección de datos | 11 de 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 de 13 |
| §164.312(d) | Person or Entity Authentication | Control de acceso | 11 de 13 |
| §164.312(e)(1) | Transmission Security | — | 1 de 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 de 13 |
| §164.312(e)(2)(ii) | Encryption | Cifrado | 10 de 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Gestión de riesgos de proveedores | 10 de 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 de 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 de 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 de 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | ninguno |
| §164.314(b) | Requirements for Group Health Plans | — | 1 de 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | Política de gobernanza | 9 de 13 |
| §164.316(b) | Documentation | — | 1 de 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 de 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 de 13 |
| §164.316(b)(2)(iii) | Updates | Política de gobernanza | 9 de 13 |
Cobertura del tema
Temas con requisitos de HIPAA asignados (27):
Política de gobernanzaConcienciación y formaciónGestión de riesgosFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosGestión de vulnerabilidadesControl de accesoCifradoProtección de datosCopias de seguridad y recuperaciónProtección de endpointsSeguridad móvilSeguridad en la nubeMonitoreo cont.Registro y auditoríaSIEM / SOCRespuesta a incidentesMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioRecuperación ante desastresAmenaza internaGestión de riesgos de proveedoresSeguridad física
Sin correspondencia en nuestros datos Ningún requisito de HIPAA (23):
Riesgo de la cadena de suministroEntorno empresarialClasificación de datosInteligencia de amenazasAutenticación multifactorAcceso privilegiadoCortafuegos / Segmentación de redGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad DNSWAFDLPDetección de intrusionesDetección de anomalíasAnálisis forenseComunicaciónLecciones aprendidasComunicaciones y restauraciónSeguridad de APIs