फ़्रेमवर्क
HIPAA Security Rule
यह क्या है
US सुरक्षा नियम (45 CFR भाग 164, उपभाग C): इलेक्ट्रॉनिक संरक्षित स्वास्थ्य सूचना के लिए प्रशासनिक, भौतिक और तकनीकी सुरक्षा उपाय, जो Required या Addressable के रूप में चिह्नित मानकों और कार्यान्वयन विनिर्देशों के रूप में दिए गए हैं। HHS ने जनवरी 2025 में महत्वपूर्ण बदलावों का प्रस्ताव रखा था; Addressable अंतर पर भरोसा करने से पहले उनकी स्थिति जाँच लें।
इसकी ज़रूरत किसे है
आच्छादित संस्थाएँ (स्वास्थ्य योजनाएँ, स्वास्थ्य सेवा क्लियरिंगहाउस और वे प्रदाता जो इलेक्ट्रॉनिक रूप से लेनदेन करते हैं) और उनके व्यावसायिक सहयोगी।
मूल्यांकन कैसे होता है
कोई प्रमाणन नहीं। HHS का सिविल अधिकार कार्यालय (Office for Civil Rights) शिकायतों, उल्लंघन जाँचों और ऑडिट के माध्यम से इसे लागू करता है। दस्तावेज़ीकृत जोखिम विश्लेषण इसका आधार है; तृतीय-पक्ष आश्वासन सामान्य साक्ष्य हैं, लेकिन आधिकारिक नहीं।
69
मानक और विनिर्देश
68
किसी अन्य फ्रेमवर्क से मैप किया गया
54%
कवर किए गए विषय (27/50)
केवल HIPAA सुरक्षा नियम को कवर करता है (गोपनीयता या उल्लंघन सूचना नियम को नहीं)।
तुलनाएँ
आवश्यकताएँ
आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।
| ID | आवश्यकता | विषय | में मैप किया गया |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 13 में से 1 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | जोखिम मूल्यांकन, भेद्यता प्रबंधन | 13 में से 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | जोखिम प्रबंधन, भेद्यता प्रबंधन | 13 में से 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | इनसाइडर थ्रेट | 13 में से 8 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | सतत निगरानी, SIEM / SOC | 13 में से 10 |
| §164.308(a)(2) | Assigned Security Responsibility | भूमिकाएँ और उत्तरदायित्व | 13 में से 9 |
| §164.308(a)(3) | Workforce Security | — | 13 में से 1 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 13 में से 1 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | इनसाइडर थ्रेट | 13 में से 8 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 13 में से 1 |
| §164.308(a)(4) | Information Access Management | एक्सेस कंट्रोल | 13 में से 11 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 13 में से 1 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 13 में से 1 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 13 में से 1 |
| §164.308(a)(5) | Security Awareness and Training | जागरूकता और प्रशिक्षण | 13 में से 10 |
| §164.308(a)(5)(ii)(A) | Security Reminders | जागरूकता और प्रशिक्षण | 13 में से 10 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | एंडपॉइंट सुरक्षा | 13 में से 10 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 13 में से 1 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 13 में से 1 |
| §164.308(a)(6) | Security Incident Procedures | घटना प्रतिक्रिया | 13 में से 12 |
| §164.308(a)(6)(ii) | Response and Reporting | घटना प्रतिक्रिया, शमन, रिपोर्टिंग | 13 में से 12 |
| §164.308(a)(7) | Contingency Plan | रिकवरी योजना | 13 में से 9 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | बैकअप और रिकवरी | 13 में से 11 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | रिकवरी योजना, आपदा पुनर्प्राप्ति | 13 में से 10 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | व्यवसाय निरंतरता | 13 में से 8 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | आपदा पुनर्प्राप्ति | 13 में से 10 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 13 में से 1 |
| §164.308(a)(8) | Evaluation | अनुपालन, भेद्यता प्रबंधन | 13 में से 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | क्लाउड सुरक्षा, वेंडर जोखिम प्रबंधन | 13 में से 12 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 13 में से 1 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | भौतिक सुरक्षा | 13 में से 8 |
| §164.310(a)(2)(i) | Contingency Operations | — | 13 में से 1 |
| §164.310(a)(2)(ii) | Facility Security Plan | भौतिक सुरक्षा | 13 में से 8 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | भौतिक सुरक्षा | 13 में से 8 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 13 में से 1 |
| §164.310(b) | Workstation Use | भौतिक सुरक्षा | 13 में से 8 |
| §164.310(c) | Workstation Security | भौतिक सुरक्षा | 13 में से 8 |
| §164.310(d) | Device and Media Controls | एसेट प्रबंधन, मोबाइल सुरक्षा | 13 में से 13 |
| §164.310(d)(2)(i) | Disposal | डेटा संरक्षण | 13 में से 11 |
| §164.310(d)(2)(ii) | Media Re-use | — | 13 में से 1 |
| §164.310(d)(2)(iii) | Accountability | एसेट प्रबंधन | 13 में से 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | बैकअप और रिकवरी | 13 में से 11 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | एक्सेस कंट्रोल | 13 में से 11 |
| §164.312(a)(2)(i) | Unique User Identification | एक्सेस कंट्रोल | 13 में से 11 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 13 में से 1 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 13 में से 1 |
| §164.312(a)(2)(iv) | Encryption and Decryption | एन्क्रिप्शन | 13 में से 10 |
| §164.312(b) | Audit Controls | लॉगिंग और ऑडिट | 13 में से 10 |
| §164.312(c) | Integrity | डेटा संरक्षण | 13 में से 11 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 13 में से 1 |
| §164.312(d) | Person or Entity Authentication | एक्सेस कंट्रोल | 13 में से 11 |
| §164.312(e)(1) | Transmission Security | — | 13 में से 1 |
| §164.312(e)(2)(i) | Integrity Controls | — | 13 में से 1 |
| §164.312(e)(2)(ii) | Encryption | एन्क्रिप्शन | 13 में से 10 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | वेंडर जोखिम प्रबंधन | 13 में से 10 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 13 में से 1 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 13 में से 1 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 13 में से 1 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | कोई नहीं |
| §164.314(b) | Requirements for Group Health Plans | — | 13 में से 1 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 13 में से 1 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 13 में से 1 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 13 में से 1 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 13 में से 1 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | शासन नीति | 13 में से 9 |
| §164.316(b) | Documentation | — | 13 में से 1 |
| §164.316(b)(2)(i) | Time Limit | — | 13 में से 1 |
| §164.316(b)(2)(ii) | Availability | — | 13 में से 1 |
| §164.316(b)(2)(iii) | Updates | शासन नीति | 13 में से 9 |
विषय कवरेज
HIPAA की मैप की गई आवश्यकताओं वाले विषय (27):
शासन नीतिजागरूकता और प्रशिक्षणजोखिम प्रबंधनभूमिकाएँ और उत्तरदायित्वअनुपालनएसेट प्रबंधनजोखिम मूल्यांकनभेद्यता प्रबंधनएक्सेस कंट्रोलएन्क्रिप्शनडेटा संरक्षणबैकअप और रिकवरीएंडपॉइंट सुरक्षामोबाइल सुरक्षाक्लाउड सुरक्षासतत निगरानीलॉगिंग और ऑडिटSIEM / SOCघटना प्रतिक्रियाशमनरिपोर्टिंगरिकवरी योजनाव्यवसाय निरंतरताआपदा पुनर्प्राप्तिइनसाइडर थ्रेटवेंडर जोखिम प्रबंधनभौतिक सुरक्षा
हमारे डेटा में कोई मैपिंग नहीं कोई HIPAA आवश्यकता नहीं (23):
आपूर्ति श्रृंखला जोखिमव्यावसायिक परिवेशडेटा वर्गीकरणथ्रेट इंटेलिजेंसमल्टी-फ़ैक्टर ऑथेंटिकेशनविशेषाधिकार प्राप्त पहुँचफ़ायरवॉल / नेट सेगपैच प्रबंधनसुरक्षित कॉन्फ़िगरेशनसुरक्षित विकासईमेल सुरक्षावेब सुरक्षाज़ीरो ट्रस्टDNS सुरक्षाWAFDLPघुसपैठ का पता लगानाविसंगति पहचान (Anomaly Detection)फ़ॉरेंसिकसंचारसीखे गए सबकसंचार और बहालीAPI सुरक्षा