Comparaison
NIST CSF 2.0 vs HIPAA Security Rule : utiliser le CSF pour répondre aux exigences de la HIPAA
NIST Cybersecurity Framework 2.0 · HIPAA Security Rule · données du 2026-10-27
La HIPAA Security Rule (45 CFR Part 164, Subpart C) exige que les entités couvertes et leurs associés commerciaux protègent les informations de santé protégées électroniques au moyen de mesures de sauvegarde administratives, physiques et techniques. Certaines spécifications de mise en œuvre sont obligatoires, d'autres sont adressables. Il s'agit de l'Office for Civil Rights (OCR) qui en assure l'application, et une analyse des risques approfondie en constitue le socle.
Le guide de NIST, SP 800-66 Rev 2, relie la Security Rule aux contrôles de NIST, et ControlMapping utilise la correspondance HIPAA → SP 800-53 de NIST pour rattacher chaque exigence HIPAA aux résultats du CSF. En allant du CSF vers la HIPAA, presque chaque norme et spécification de la Security Rule est mise en correspondance ou faiblement liée : un programme aligné sur le CSF couvre déjà l'essentiel de ce que la HIPAA demande.
Les autres éléments de la HIPAA sont des obligations spécifiques sans résultat CSF équivalent net, comme les clauses des contrats avec les associés commerciaux ou la réutilisation des supports. Il s'agit d'exigences juridiques et contractuelles plutôt que de contrôles techniques.
En allant de la HIPAA vers le CSF, le CSF demande davantage que la HIPAA : des résultats de gouvernance tels que la stratégie de risque, les attentes des parties prenantes et la gestion des risques liés à la chaîne d'approvisionnement, la vérification d'identité, le renseignement sur les menaces et le développement logiciel sécurisé. Le HHS a proposé d'importantes mises à jour de la Security Rule en janvier 2025 ; vérifiez la version en vigueur de la règle avant de vous appuyer sur la distinction entre obligatoire et adressable.
Points clés à retenir
- Commencez par une analyse des risques documentée : c'est l'exigence HIPAA sur laquelle les auditeurs et les enquêtes de l'OCR se concentrent le plus.
- CSF → HIPAA : ajoutez les volets juridiques (accords avec les associés commerciaux, politiques, conservation de la documentation).
- Ici, la HIPAA désigne uniquement la Security Rule, et non les règles relatives à la vie privée ou à la notification des violations.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir NIST CSF 2.0 → viser HIPAA
69 exig. 38 mis en correspondance · · 2 sans correspondance Ouvrir dans la vue des écarts →Sur 69 exigences HIPAA Security Rule, 38 correspondent à un élément de NIST CSF 2.0, 29 sont seulement faiblement liées et 2 n'ont aucune correspondance dans nos données.
Couvre uniquement la règle de sécurité HIPAA (et non les règles de confidentialité ou de notification de violation).
Travaux probablement nouveaux : exigences HIPAA sans correspondance avec NIST CSF 2.0 (2)
| HIPAA | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (29)
| HIPAA | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | GV.OC-03GV.OV-01GV.PO-01+2 | Partage seulement les fonctions CSF GV.OC-03, GV.OV-01, GV.PO-01 : lien indicatif, pas une correspondance | |
| §164.308(a)(3) | Workforce Security | DE.CM-01DE.CM-03GV.OC-03+5 | Partage seulement les fonctions CSF DE.CM-01, DE.CM-03, GV.OC-03 : lien indicatif, pas une correspondance | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | DE.CM-01DE.CM-03DE.CM-06+5 | Partage seulement les fonctions CSF DE.CM-01, DE.CM-03, DE.CM-06 : lien indicatif, pas une correspondance | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | GV.OC-03GV.OV-01GV.PO-01+3 | Partage seulement les fonctions CSF GV.OC-03, GV.OV-01, GV.PO-01 : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | ID.AM-03PR.AA-05PR.DS-01+2 | Partage seulement les fonctions CSF ID.AM-03, PR.AA-05, PR.DS-01 : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | DE.CM-01DE.CM-03DE.CM-06+5 | Partage seulement les fonctions CSF DE.CM-01, DE.CM-03, DE.CM-06 : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | DE.CM-01DE.CM-03GV.OC-03+5 | Partage seulement les fonctions CSF DE.CM-01, DE.CM-03, GV.OC-03 : lien indicatif, pas une correspondance | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | DE.AE-02DE.AE-03PR.AT-01+2 | Partage seulement les fonctions CSF DE.AE-02, DE.AE-03, PR.AT-01 : lien indicatif, pas une correspondance | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | PR.AT-01PR.AT-02 | Partage seulement les fonctions CSF PR.AT-01, PR.AT-02 : lien indicatif, pas une correspondance | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | GV.OC-04ID.AM-05ID.RA-04+4 | Partage seulement les fonctions CSF GV.OC-04, ID.AM-05, ID.RA-04 : lien indicatif, pas une correspondance | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | DE.CM-06GV.OC-05GV.SC-04+5 | Partage seulement les fonctions CSF DE.CM-06, GV.OC-05, GV.SC-04 : lien indicatif, pas une correspondance | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | DE.CM-02GV.OC-04PR.AA-06+5 | Partage seulement les fonctions CSF DE.CM-02, GV.OC-04, PR.AA-06 : lien indicatif, pas une correspondance | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | GV.OC-03GV.OV-01GV.PO-01+3 | Partage seulement les fonctions CSF GV.OC-03, GV.OV-01, GV.PO-01 : lien indicatif, pas une correspondance | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | DE.CM-01DE.CM-03GV.OC-04+5 | Partage seulement les fonctions CSF DE.CM-01, DE.CM-03, GV.OC-04 : lien indicatif, pas une correspondance | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | DE.CM-09ID.RA-09PR.DS-01+3 | Partage seulement les fonctions CSF DE.CM-09, ID.RA-09, PR.DS-01 : lien indicatif, pas une correspondance | |
| §164.312(e)(1) | Transmission Security | PR.DS-02 | Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | DE.CM-09ID.RA-09PR.DS-01+3 | Partage seulement les fonctions CSF DE.CM-09, ID.RA-09, PR.DS-01 : lien indicatif, pas une correspondance | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | DE.CM-06GV.OC-05GV.RR-04+5 | Partage seulement les fonctions CSF DE.CM-06, GV.OC-05, GV.RR-04 : lien indicatif, pas une correspondance | |
| §164.314(a)(2)(ii) | Required Other Arrangements | DE.CM-06GV.OC-05GV.RR-04+5 | Partage seulement les fonctions CSF DE.CM-06, GV.OC-05, GV.RR-04 : lien indicatif, pas une correspondance | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | DE.CM-06GV.OC-05GV.RR-04+5 | Partage seulement les fonctions CSF DE.CM-06, GV.OC-05, GV.RR-04 : lien indicatif, pas une correspondance | |
| §164.314(b) | Requirements for Group Health Plans | ID.AM-03ID.AM-08 | Partage seulement les fonctions CSF ID.AM-03, ID.AM-08 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | Partage seulement les fonctions CSF ID.AM-03, ID.AM-08 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | Partage seulement les fonctions CSF ID.AM-03, ID.AM-08 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | DE.CM-06GV.OC-05GV.SC-04+5 | Partage seulement les fonctions CSF DE.CM-06, GV.OC-05, GV.SC-04 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | RC.CO-03RS.AN-06RS.AN-07+5 | Partage seulement les fonctions CSF RC.CO-03, RS.AN-06, RS.AN-07 : lien indicatif, pas une correspondance | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | ID.AM-03ID.AM-08ID.RA-01 | Partage seulement les fonctions CSF ID.AM-03, ID.AM-08, ID.RA-01 : lien indicatif, pas une correspondance | |
| §164.316(b)(2)(i) | Required Time Limit | ID.AM-07ID.AM-08 | Partage seulement les fonctions CSF ID.AM-07, ID.AM-08 : lien indicatif, pas une correspondance | |
| §164.316(b)(2)(ii) | Required Availability | GV.OC-03GV.OV-01GV.PO-01+5 | Partage seulement les fonctions CSF GV.OC-03, GV.OV-01, GV.PO-01 : lien indicatif, pas une correspondance | |
Mis en correspondance (38)
| HIPAA | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Correspondance | ID.RA-03ID.RA-04ID.RA-05+3 | Même sujet : Évaluation des risques |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Éditorial | GV.RM-01GV.RM-02GV.RM-03+3 | Même sujet : Gestion des risques (choix de la rédaction) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Éditorial | DE.CM-03GV.RR-04 | Même sujet : Menace interne (choix de la rédaction) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Correspondance | DE.AE-03DE.AE-06DE.AE-08+3 | Même sujet : SIEM / SOC |
| §164.308(a)(2) | Assigned Security Responsibility | Correspondance | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Correspondance | DE.CM-03GV.RR-04 | Même sujet : Menace interne |
| §164.308(a)(4) | Information Access Management | Correspondance | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès |
| §164.308(a)(5) | Security Awareness and Training | Correspondance | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Correspondance | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Éditorial | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux (choix de la rédaction) |
| §164.308(a)(6) | Security Incident Procedures | Correspondance | ID.IM-04RS.MA-01RS.MA-02+2 | Même sujet : Réponse aux incidents |
| §164.308(a)(6)(ii) | Required Response and Reporting | Correspondance | ID.IM-04RS.CO-02RS.MA-01+5 | Même sujet : Réponse aux incidents, Notification |
| §164.308(a)(7) | Contingency Plan | Correspondance | ID.IM-04RC.RP-01RC.RP-02 | Même sujet : Planification de la reprise |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Correspondance | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Correspondance | ID.IM-04PR.IR-03RC.RP-01+2 | Même sujet : Planification de la reprise, Reprise après sinistre |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Correspondance | GV.OC-04PR.IR-03RC.RP-04 | Même sujet : Continuité des activités |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Éditorial | PR.IR-03RC.RP-02RC.RP-05 | Même sujet : Reprise après sinistre (choix de la rédaction) |
| §164.308(a)(8) | Evaluation | Correspondance | ID.RA-01ID.RA-08GV.OC-03+1 | Même sujet : Gestion des vulnérabilités, Conformité |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Correspondance | DE.CM-06GV.SC-04GV.SC-06+5 | Même sujet : Gestion des risques fournisseurs |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Éditorial | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique (choix de la rédaction) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| §164.310(b) | Workstation Use | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| §164.310(c) | Workstation Security | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| §164.310(d) | Device and Media Controls | Correspondance | ID.AM-01ID.AM-02ID.AM-04+3 | Même sujet : Gestion des actifs |
| §164.310(d)(2)(i) | Required Disposal | Éditorial | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Protection des données (choix de la rédaction) |
| §164.310(d)(2)(iii) | Addressable Accountability | Correspondance | ID.AM-01ID.AM-02ID.AM-04+1 | Même sujet : Gestion des actifs |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Correspondance | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Correspondance | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès |
| §164.312(a)(2)(i) | Required Unique User Identification | Correspondance | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Correspondance | PR.DS-01PR.DS-02 | Même sujet : Chiffrement |
| §164.312(b) | Audit Controls | Correspondance | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit |
| §164.312(c) | Integrity | Correspondance | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Protection des données |
| §164.312(d) | Person or Entity Authentication | Éditorial | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| §164.312(e)(2)(ii) | Addressable Encryption | Correspondance | PR.DS-01PR.DS-02 | Même sujet : Chiffrement |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Correspondance | DE.CM-06GV.SC-04GV.SC-06+2 | Même sujet : Gestion des risques fournisseurs |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Correspondance | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance |
| §164.316(b)(2)(iii) | Required Updates | Correspondance | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance |
Avoir HIPAA → viser NIST CSF 2.0
106 exig. 63 mis en correspondance · · 16 sans correspondance Ouvrir dans la vue des écarts →Sur 106 exigences NIST Cybersecurity Framework 2.0, 63 correspondent à un élément de HIPAA, 27 sont seulement faiblement liées et 16 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences NIST CSF 2.0 sans correspondance avec HIPAA (16)
| NIST CSF 2.0 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Govern (GV) · 7 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Identify (ID) · 4 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Protect (PR) · 4 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (27)
| NIST CSF 2.0 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| Detect (DE) · 2 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(C)§164.308(a)(6)+3 | Partage seulement les fonctions CSF DE.AE-02 : lien indicatif, pas une correspondance | |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | Partage seulement les fonctions CSF DE.AE-07 : lien indicatif, pas une correspondance | |
| Govern (GV) · 8 | ||||
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | Partage seulement les fonctions CSF GV.OC-05 : lien indicatif, pas une correspondance | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Partage seulement les fonctions CSF GV.OV-01 : lien indicatif, pas une correspondance | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | Partage seulement les fonctions CSF GV.RM-07 : lien indicatif, pas une correspondance | |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)+5 | Partage seulement les fonctions CSF GV.SC-03 : lien indicatif, pas une correspondance | |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | Partage seulement les fonctions CSF GV.SC-05 : lien indicatif, pas une correspondance | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | §164.308(a)(6)§164.308(a)(7)§164.308(b)(1)+5 | Partage seulement les fonctions CSF GV.SC-08 : lien indicatif, pas une correspondance | |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | Partage seulement les fonctions CSF GV.SC-09 : lien indicatif, pas une correspondance | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | Partage seulement les fonctions CSF GV.SC-10 : lien indicatif, pas une correspondance | |
| Identify (ID) · 5 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | §164.308(a)(1)(ii)(B)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)+5 | Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance | |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+1 | Partage seulement les fonctions CSF ID.AM-05 : lien indicatif, pas une correspondance | |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | §164.316(b)(2)(i) | Partage seulement les fonctions CSF ID.AM-07 : lien indicatif, pas une correspondance | |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | §164.308(a)(1)(ii)(D)§164.308(a)(8) | Partage seulement les fonctions CSF ID.RA-07 : lien indicatif, pas une correspondance | |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | §164.308(b)(4)§164.312(c)§164.312(c)(2)+4 | Partage seulement les fonctions CSF ID.RA-09 : lien indicatif, pas une correspondance | |
| Protect (PR) · 3 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)+1 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.310(a)(2)(i) | Partage seulement les fonctions CSF PR.IR-04 : lien indicatif, pas une correspondance | |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Partage seulement les fonctions CSF PR.PS-02 : lien indicatif, pas une correspondance | |
| Recover (RC) · 3 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | Partage seulement les fonctions CSF RC.CO-03 : lien indicatif, pas une correspondance | |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+5 | Partage seulement les fonctions CSF RC.CO-04 : lien indicatif, pas une correspondance | |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | §164.308(a)(6)§164.308(a)(6)(ii) | Partage seulement les fonctions CSF RC.RP-06 : lien indicatif, pas une correspondance | |
| Respond (RS) · 6 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+1 | Partage seulement les fonctions CSF RS.AN-03 : lien indicatif, pas une correspondance | |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | Partage seulement les fonctions CSF RS.AN-06 : lien indicatif, pas une correspondance | |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | Partage seulement les fonctions CSF RS.AN-07 : lien indicatif, pas une correspondance | |
| RS.AN-08 | An incident's magnitude is estimated and validated | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(6)+2 | Partage seulement les fonctions CSF RS.AN-08 : lien indicatif, pas une correspondance | |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | Partage seulement les fonctions CSF RS.CO-03 : lien indicatif, pas une correspondance | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | §164.308(a)(6)§164.308(a)(6)(ii) | Partage seulement les fonctions CSF RS.MA-05 : lien indicatif, pas une correspondance | |
Mis en correspondance (63)
| NIST CSF 2.0 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-03 | Information is correlated from multiple sources | Correspondance | §164.308(a)(1)(ii)(D)§164.312(b) | Même sujet : SIEM / SOC, Journalisation et audit |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Correspondance | §164.308(a)(1)(ii)(D) | Même sujet : SIEM / SOC |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Correspondance | §164.308(a)(1)(ii)(D) | Même sujet : SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Correspondance | §164.308(a)(1)(ii)(D) | Même sujet : Surveillance continue |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Correspondance | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Même sujet : Surveillance continue, Menace interne |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Correspondance | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(B) | Même sujet : Surveillance continue, Protection des terminaux |
| Govern (GV) · 16 | ||||
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Éditorial | §164.308(a)(8) | Même sujet : Conformité (choix de la rédaction) |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Correspondance | §164.308(a)(7)(ii)(C) | Même sujet : Continuité des activités |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Éditorial | §164.308(a)(8) | Même sujet : Conformité (choix de la rédaction) |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Correspondance | §164.316(a)§164.316(b)(2)(iii) | Même sujet : Politique de gouvernance |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Correspondance | §164.316(a)§164.316(b)(2)(iii) | Même sujet : Politique de gouvernance |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Éditorial | §164.308(a)(1)(ii)(B) | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Éditorial | §164.308(a)(1)(ii)(B) | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Éditorial | §164.308(a)(1)(ii)(B) | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Éditorial | §164.308(a)(1)(ii)(B) | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Correspondance | §164.308(a)(2) | Même sujet : Rôles et responsabilités |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Correspondance | §164.308(a)(2) | Même sujet : Rôles et responsabilités |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Correspondance | §164.308(a)(2) | Même sujet : Rôles et responsabilités |
| GV.RR-04 | Cybersecurity is included in human resources practices | Correspondance | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Même sujet : Menace interne |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| Identify (ID) · 12 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Correspondance | §164.310(d)§164.310(d)(2)(iii) | Même sujet : Gestion des actifs |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Correspondance | §164.310(d)§164.310(d)(2)(iii) | Même sujet : Gestion des actifs |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Correspondance | §164.308(b)(1)§164.310(d)§164.310(d)(2)(iii) | Même sujet : Sécurité du cloud, Gestion des actifs |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Correspondance | §164.310(d)§164.310(d)(2)(iii) | Même sujet : Gestion des actifs |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Correspondance | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+1 | Même sujet : Réponse aux incidents, Planification de la reprise |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Correspondance | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Même sujet : Gestion des vulnérabilités |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Correspondance | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Correspondance | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Correspondance | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Correspondance | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Correspondance | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Même sujet : Gestion des vulnérabilités |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| Protect (PR) · 15 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Correspondance | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Même sujet : Contrôle d'accès |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Correspondance | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+2 | Même sujet : Contrôle d'accès |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Correspondance | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Même sujet : Sensibilisation et formation |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Correspondance | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Même sujet : Sensibilisation et formation |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Correspondance | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | Même sujet : Chiffrement, Protection des données |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Correspondance | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | Même sujet : Chiffrement, Protection des données |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Correspondance | §164.312(c)§164.310(d)(2)(i) | Même sujet : Protection des données |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Correspondance | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Même sujet : Sauvegarde et restauration |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Correspondance | §164.308(b)(1) | Même sujet : Sécurité du cloud |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Correspondance | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Même sujet : Reprise après sinistre, Continuité des activités |
| PR.PS-01 | Configuration management practices are established and applied | Correspondance | §164.308(b)(1)§164.310(d) | Même sujet : Sécurité du cloud, Sécurité mobile |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Correspondance | §164.312(b) | Même sujet : Journalisation et audit |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Éditorial | §164.308(a)(5)(ii)(B) | Même sujet : Protection des terminaux (choix de la rédaction) |
| Recover (RC) · 5 | ||||
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Correspondance | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Même sujet : Planification de la reprise |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Correspondance | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Même sujet : Planification de la reprise, Reprise après sinistre |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Correspondance | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Même sujet : Sauvegarde et restauration |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Correspondance | §164.308(a)(7)(ii)(C) | Même sujet : Continuité des activités |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Correspondance | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Même sujet : Reprise après sinistre |
| Respond (RS) · 7 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Correspondance | §164.308(a)(6)(ii) | Même sujet : Notification |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Correspondance | §164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : Réponse aux incidents |
| RS.MA-02 | Incident reports are triaged and validated | Correspondance | §164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : Réponse aux incidents |
| RS.MA-03 | Incidents are categorized and prioritized | Correspondance | §164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : Réponse aux incidents |
| RS.MA-04 | Incidents are escalated or elevated as needed | Correspondance | §164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : Réponse aux incidents |
| RS.MI-01 | Incidents are contained | Correspondance | §164.308(a)(6)(ii) | Même sujet : Atténuation |
| RS.MI-02 | Incidents are eradicated | Correspondance | §164.308(a)(6)(ii) | Même sujet : Atténuation |
Par thème
Les deux couvrent (27) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesGestion des vulnérabilitésContrôle d'accèsChiffrementProtection des donnéesSauvegarde et restaurationProtection des terminauxSécurité mobileSécurité du cloudSurveillance continueJournalisation et auditSIEM / SOCRéponse aux incidentsAtténuationNotificationPlanification de la repriseContinuité des activitésReprise après sinistreMenace interneGestion des risques fournisseursSécurité physique
Seulement NIST CSF 2.0 (23) :
Risque lié à la chaîne d'approvisionnementEnvironnement métierClassification des donnéesRenseignement sur les menacesAuthentification multifacteurAccès privilégiésPare-feu / Segmentation réseauGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité DNSWAFDLPDétection d'intrusionDétection d'anomaliesCriminalistique numériqueCommunicationEnseignements tirésCommunication et rétablissementSécurité des API
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.