Référentiel
HIPAA Security Rule
De quoi il s'agit
La Security Rule américaine (45 CFR Part 164, Subpart C) : garanties administratives, physiques et techniques applicables aux informations de santé protégées électroniques, sous forme de normes et de spécifications d'implémentation marquées Required ou Addressable. Le HHS a proposé des modifications importantes en janvier 2025 ; vérifiez leur statut avant de vous appuyer sur la distinction Addressable.
À qui il s'adresse
Entités couvertes (régimes de santé, chambres de compensation en santé et prestataires qui effectuent des transactions par voie électronique) et leurs associés commerciaux.
Comment l'évaluation est réalisée
Aucune certification. Le Office for Civil Rights du HHS en assure l'application par le traitement des plaintes, les enquêtes sur les violations et les audits. Une analyse de risques documentée constitue la pierre angulaire ; les attestations de tiers sont des preuves courantes, mais non officielles.
69
Normes et spécifications
68
Mis en correspondance avec un autre référentiel
54%
Sujets couverts (27/50)
Couvre uniquement la règle de sécurité HIPAA (et non les règles de confidentialité ou de notification de violation).
Comparaisons
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 sur 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | Évaluation des risques, Gestion des vulnérabilités | 13 sur 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | Gestion des risques, Gestion des vulnérabilités | 13 sur 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | Menace interne | 8 sur 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | Surveillance continue, SIEM / SOC | 10 sur 13 |
| §164.308(a)(2) | Assigned Security Responsibility | Rôles et responsabilités | 9 sur 13 |
| §164.308(a)(3) | Workforce Security | — | 1 sur 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 sur 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | Menace interne | 8 sur 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 sur 13 |
| §164.308(a)(4) | Information Access Management | Contrôle d'accès | 11 sur 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 sur 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 sur 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 sur 13 |
| §164.308(a)(5) | Security Awareness and Training | Sensibilisation et formation | 10 sur 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | Sensibilisation et formation | 10 sur 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | Protection des terminaux | 10 sur 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 sur 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 sur 13 |
| §164.308(a)(6) | Security Incident Procedures | Réponse aux incidents | 12 sur 13 |
| §164.308(a)(6)(ii) | Response and Reporting | Réponse aux incidents, Atténuation, Notification | 12 sur 13 |
| §164.308(a)(7) | Contingency Plan | Planification de la reprise | 9 sur 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | Sauvegarde et restauration | 11 sur 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | Planification de la reprise, Reprise après sinistre | 10 sur 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | Continuité des activités | 8 sur 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | Reprise après sinistre | 10 sur 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 sur 13 |
| §164.308(a)(8) | Evaluation | Conformité, Gestion des vulnérabilités | 13 sur 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Sécurité du cloud, Gestion des risques fournisseurs | 12 sur 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 sur 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | Sécurité physique | 8 sur 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 sur 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | Sécurité physique | 8 sur 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | Sécurité physique | 8 sur 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 sur 13 |
| §164.310(b) | Workstation Use | Sécurité physique | 8 sur 13 |
| §164.310(c) | Workstation Security | Sécurité physique | 8 sur 13 |
| §164.310(d) | Device and Media Controls | Gestion des actifs, Sécurité mobile | 13 sur 13 |
| §164.310(d)(2)(i) | Disposal | Protection des données | 11 sur 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 sur 13 |
| §164.310(d)(2)(iii) | Accountability | Gestion des actifs | 13 sur 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | Sauvegarde et restauration | 11 sur 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | Contrôle d'accès | 11 sur 13 |
| §164.312(a)(2)(i) | Unique User Identification | Contrôle d'accès | 11 sur 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 sur 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 sur 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | Chiffrement | 10 sur 13 |
| §164.312(b) | Audit Controls | Journalisation et audit | 10 sur 13 |
| §164.312(c) | Integrity | Protection des données | 11 sur 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 sur 13 |
| §164.312(d) | Person or Entity Authentication | Contrôle d'accès | 11 sur 13 |
| §164.312(e)(1) | Transmission Security | — | 1 sur 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 sur 13 |
| §164.312(e)(2)(ii) | Encryption | Chiffrement | 10 sur 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Gestion des risques fournisseurs | 10 sur 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 sur 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 sur 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 sur 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | aucun |
| §164.314(b) | Requirements for Group Health Plans | — | 1 sur 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 sur 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 sur 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 sur 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 sur 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | Politique de gouvernance | 9 sur 13 |
| §164.316(b) | Documentation | — | 1 sur 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 sur 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 sur 13 |
| §164.316(b)(2)(iii) | Updates | Politique de gouvernance | 9 sur 13 |
Couverture du sujet
Thèmes avec des exigences HIPAA mappées (27) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesGestion des vulnérabilitésContrôle d'accèsChiffrementProtection des donnéesSauvegarde et restaurationProtection des terminauxSécurité mobileSécurité du cloudSurveillance continueJournalisation et auditSIEM / SOCRéponse aux incidentsAtténuationNotificationPlanification de la repriseContinuité des activitésReprise après sinistreMenace interneGestion des risques fournisseursSécurité physique
Aucune correspondance dans nos données Aucune exigence HIPAA (23) :
Risque lié à la chaîne d'approvisionnementEnvironnement métierClassification des donnéesRenseignement sur les menacesAuthentification multifacteurAccès privilégiésPare-feu / Segmentation réseauGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité DNSWAFDLPDétection d'intrusionDétection d'anomaliesCriminalistique numériqueCommunicationEnseignements tirésCommunication et rétablissementSécurité des API