Règle de sécurité HIPAA sous l'angle du NIST CSF 2.0

La Règle de sécurité HIPAA est courte et volontairement souple : garanties administratives, physiques et techniques pour les informations de santé protégées électroniques, avec des normes et spécifications d'implémentation marquées comme obligatoires ou adressables. Le NIST CSF 2.0 est plus large. Les équipes de sécurité des établissements de santé utilisent de plus en plus le CSF pour piloter leur programme et rendre compte aux conseils d'administration, puis démontrer la conformité HIPAA à partir de celui-ci. Dans quelle mesure cela fonctionne-t-il ?

Le chiffre clé

Sur les 69 normes et spécifications HIPAA, 38 (55%) correspondent à un élément de NIST CSF 2.0, 29 sont seulement faiblement liés et 2 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Presque chaque exigence de la Règle de sécurité correspond à un résultat du CSF 2.0. Beaucoup de ces liens proviennent de la correspondance HIPAA Security Rule vers SP 800-53 publiée par le NIST lui-même, que ControlMapping suit ensuite jusqu'au CSF.

Par garantie

Section HIPAA	Mis en correspondance	Faiblement liés	Aucune correspondance
§164.308 Administrative safeguards	19 sur 30	11	0
§164.310 Physical safeguards	9 sur 12	2	1
§164.312 Technical safeguards	7 sur 12	5	0
§164.314 Organizational requirements	1 sur 10	8	1
§164.316 Policies and documentation	2 sur 5	3	0

Avoir NIST CSF 2.0, viser HIPAA. Exigence par exigence : ouvrir le rapport d'écarts →

Les deux exigences sans correspondance

Les exigences sans correspondance dans nos données sont des exigences étroites : la spécification sur la réutilisation des supports (suppression des ePHI avant la réutilisation de supports électroniques) et une spécification sur les contrats avec les associés commerciaux. Toutes deux ont une place évidente dans un programme mature (procédures de destruction des données et contrats fournisseurs), mais aucun résultat du CSF ne les nomme directement, et nous n'avons pas ajouté de liens éditoriaux. Elles méritent une mention explicite dans votre jeu de contrôles HIPAA.

Ce que le CSF apporte au-delà de HIPAA

Sur les 106 sous-catégories NIST CSF 2.0, 63 (59%) correspondent à un élément de HIPAA, 27 sont seulement faiblement liés et 16 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Le sens inverse montre ce qu'un programme limité à HIPAA manque. Les résultats du CSF sans correspondance HIPAA se concentrent dans la fonction Gouverner, ajoutée par le CSF 2.0 en 2024 : contexte organisationnel, stratégie et appétence au risque, gestion des risques de la chaîne d'approvisionnement en tant que programme, et supervision. La Règle de sécurité exige une analyse des risques et leur gestion, mais dit peu de choses sur la manière dont l'organisation définit sa stratégie de risque ou gère systématiquement les risques tiers. Adopter le CSF comble ces lacunes.

Points clés

• Un programme NIST CSF 2.0 correspond à presque toutes les normes et spécifications d'implémentation de la Règle de sécurité HIPAA.
• Les exceptions sont étroites (réutilisation des supports et une spécification sur les contrats avec les associés commerciaux) et faciles à ajouter.
• Le CSF ajoute une gouvernance qui manque à HIPAA, en particulier la stratégie de risque et la gestion des risques de la chaîne d'approvisionnement.
• Conservez l'analyse des risques HIPAA comme livrable documenté à part entière, quel que soit le référentiel que vous appliquez.

Utiliser le CSF pour piloter un programme HIPAA

1. Construisez vos profils actuel et cible dans le CSF 2.0, et notez pour chaque sous-catégorie la norme de la Règle de sécurité qu'elle soutient.
2. Conservez l'analyse des risques HIPAA (§164.308(a)(1)(ii)(A)) comme livrable documenté à part entière. Elle est la pierre angulaire de la Règle de sécurité et la première chose que demandent les enquêteurs du HHS.
3. Consignez les décisions obligatoire versus adressable pour chaque spécification d'implémentation, avec leur justification, tant que les modifications proposées de la règle ne sont pas arrêtées.
4. Rendez compte à la direction en termes CSF, et aux auditeurs et enquêteurs en termes HIPAA, à partir du même jeu de contrôles.

Le rapport d'analyse d'écarts CSF 2.0 → HIPAA répertorie chaque norme et spécification avec ses résultats CSF, et la comparaison NIST CSF vs HIPAA couvre les deux sens. Le texte de la Règle de sécurité affiché sur ce site provient du NIST SP 800-66r2.

Questions

La conformité au NIST CSF satisfait-elle HIPAA ?

Aucun référentiel ne « satisfait » HIPAA à lui seul : le HHS applique la Règle de sécurité elle-même. Mais un programme CSF 2.0 couvre presque toutes les exigences de la Règle de sécurité, et le HHS renvoie aux recommandations du NIST (SP 800-66) pour sa mise en œuvre.

La Règle de sécurité HIPAA évolue-t-elle ?

Le HHS a proposé des changements importants en janvier 2025, dont la suppression de la distinction entre spécifications obligatoires et adressables. Vérifiez le statut actuel avant de vous appuyer sur cette distinction.

Le HHS reconnaît-il le NIST CSF pour HIPAA ?

Le HHS publie le NIST SP 800-66 comme guide de mise en œuvre de la Règle de sécurité et a cité les pratiques de sécurité reconnues, telles que le NIST Cybersecurity Framework, comme pertinentes lorsqu'il envisage une application. Utiliser le CSF ne remplace pas les exigences propres de la Règle de sécurité, y compris l'analyse des risques documentée.