Aturan Keamanan HIPAA melalui kacamata NIST CSF 2.0

Aturan Keamanan HIPAA singkat dan sengaja fleksibel: pengamanan administratif, fisik, dan teknis untuk informasi kesehatan terlindungi elektronik (ePHI), dengan standar dan spesifikasi implementasi yang ditandai wajib atau dapat disesuaikan. NIST CSF 2.0 lebih luas. Tim keamanan layanan kesehatan semakin menggunakan CSF untuk menjalankan program mereka dan melaporkan kepada dewan, lalu menunjukkan kepatuhan HIPAA dari situ. Seberapa baik cara itu berhasil?

Angka utama

Dari 69 standar dan spesifikasi HIPAA, 38 (55%) dipetakan ke sesuatu dalam NIST CSF 2.0, 29 hanya terkait secara longgar, dan 2 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Hampir setiap persyaratan Aturan Keamanan dipetakan ke hasil CSF 2.0. Banyak keterkaitan ini berasal dari Crosswalk NIST sendiri dari Aturan Keamanan HIPAA ke SP 800-53, yang diikuti ControlMapping hingga ke CSF.

Berdasarkan pengamanan

bagian HIPAA	Dipetakan	Terkait secara longgar	Tidak ada pemetaan
§164.308 Administrative safeguards	19 dari 30	11	0
§164.310 Physical safeguards	9 dari 12	2	1
§164.312 Technical safeguards	7 dari 12	5	0
§164.314 Organizational requirements	1 dari 10	8	1
§164.316 Policies and documentation	2 dari 5	3	0

Miliki NIST CSF 2.0, butuhkan HIPAA. Persyaratan demi persyaratan: buka laporan celah →

Dua yang tidak terpetakan

Persyaratan tanpa pemetaan dalam data kami adalah yang sempit: spesifikasi tentang penggunaan ulang media (menghapus ePHI sebelum media elektronik digunakan kembali) dan spesifikasi tentang kontrak mitra bisnis. Keduanya memiliki tempat yang jelas dalam program yang matang (prosedur pemusnahan data dan kontrak pemasok), tetapi tidak ada hasil CSF yang menyebutkannya secara langsung, dan kami belum menambahkan tautan editorial untuknya. Keduanya layak mendapat baris eksplisit dalam kumpulan kontrol HIPAA Anda.

Apa yang ditambahkan CSF di luar HIPAA

Dari 106 subkategori NIST CSF 2.0, 63 (59%) dipetakan ke sesuatu dalam HIPAA, 27 hanya terkait secara longgar, dan 16 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Arah sebaliknya menunjukkan apa yang terlewat oleh program yang hanya berfokus pada HIPAA. Hasil CSF tanpa pemetaan HIPAA terkonsentrasi pada fungsi Mengatur, yang ditambahkan CSF 2.0 pada 2024: konteks organisasi, strategi dan selera risiko, manajemen risiko rantai pasok sebagai program, serta pengawasan. Aturan Keamanan meminta analisis dan manajemen risiko, tetapi hanya sedikit membahas bagaimana organisasi menetapkan strategi risikonya atau mengelola risiko pihak ketiga secara sistematis. Mengadopsi CSF mengisi celah tersebut.

Poin utama

• Program NIST CSF 2.0 memetakan hampir setiap standar dan spesifikasi implementasi Aturan Keamanan HIPAA.
• Pengecualiannya sempit (penggunaan ulang media dan spesifikasi kontrak mitra bisnis) dan mudah ditambahkan.
• CSF menambahkan tata kelola yang tidak dimiliki HIPAA, terutama strategi risiko dan manajemen risiko rantai pasok.
• Pertahankan analisis risiko HIPAA sebagai hasil kerja terdokumentasi tersendiri, apa pun kerangka kerja yang Anda jalankan.

Menggunakan CSF untuk menjalankan program HIPAA

1. Bangun Profil Saat Ini dan Profil Target Anda dalam CSF 2.0, dan catat untuk setiap subkategori standar Aturan Keamanan mana yang didukungnya.
2. Simpan analisis risiko HIPAA (§164.308(a)(1)(ii)(A)) sebagai hasil kerja terdokumentasi tersendiri. Ini adalah fondasi Aturan Keamanan dan hal pertama yang diminta penyelidik HHS.
3. Catat keputusan wajib versus dapat disesuaikan untuk setiap spesifikasi implementasi, beserta alasannya, sampai perubahan aturan yang diusulkan ditetapkan.
4. Laporkan kepada pimpinan dalam istilah CSF, dan kepada auditor serta penyelidik dalam istilah HIPAA, dari kumpulan kontrol yang sama.

Laporan kesenjangan CSF 2.0 → HIPAA mencantumkan setiap standar dan spesifikasi beserta hasil CSF-nya, dan perbandingan NIST CSF vs HIPAA mencakup kedua arah. Teks Aturan Keamanan yang ditampilkan di situs ini berasal dari NIST SP 800-66r2.

Pertanyaan

Apakah kepatuhan NIST CSF memenuhi HIPAA?

Tidak ada kerangka kerja yang 'memenuhi' HIPAA dengan sendirinya: HHS menegakkan Aturan Keamanan itu sendiri. Namun, program CSF 2.0 mencakup hampir setiap persyaratan Aturan Keamanan, dan HHS merujuk pada panduan NIST (SP 800-66) untuk menerapkannya.

Apakah Aturan Keamanan HIPAA sedang berubah?

HHS mengusulkan perubahan signifikan pada Januari 2025, termasuk penghapusan perbedaan antara spesifikasi wajib dan dapat disesuaikan. Periksa status terkini sebelum mengandalkan perbedaan tersebut.

Apakah HHS mengakui NIST CSF untuk HIPAA?

HHS menerbitkan NIST SP 800-66 sebagai panduan untuk menerapkan Aturan Keamanan dan telah menunjuk pada praktik keamanan yang diakui, seperti NIST Cybersecurity Framework, sebagai hal yang relevan ketika mempertimbangkan penegakan. Penggunaan CSF tidak menggantikan persyaratan Aturan Keamanan itu sendiri, termasuk analisis risiko yang terdokumentasi.