Perbandingan
ISO 27001 vs HIPAA Security Rule: ISMS untuk ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · data 2026-10-27
ISO/IEC 27001 adalah sistem manajemen internasional yang dapat disertifikasi; HIPAA Security Rule adalah persyaratan hukum AS untuk melindungi informasi kesehatan elektronik yang dilindungi (electronic protected health information). Organisasi layanan kesehatan dan vendor mereka semakin sering menggunakan ISMS ISO 27001 sebagai cara untuk menjalankan safeguard HIPAA mereka, terutama ketika beroperasi secara internasional.
Dari ISO ke HIPAA, hampir setiap standar dan spesifikasi Security Rule dipetakan atau terkait secara longgar. Analisis risiko dan manajemen risiko, keamanan tenaga kerja, kontrol akses, kontrol audit, integritas, keamanan transmisi, perencanaan kontinjensi, dan akses fasilitas semuanya memiliki padanan di Annex A. Yang tersisa sebagian besar adalah konten hukum yang spesifik untuk HIPAA, seperti ketentuan kontrak business associate dan penggunaan ulang media.
Dari HIPAA ke ISO, ada lebih banyak yang perlu ditambahkan. HIPAA tidak mensyaratkan sistem manajemen, sehingga klausul ISO (ruang lingkup, kepemimpinan, sasaran, informasi terdokumentasi, audit internal, tinjauan manajemen) merupakan hal baru. Kontrol pengembangan yang aman (siklus hidup pengembangan aman, pengodean aman, pengujian keamanan) juga baru, karena HIPAA tidak membahasnya secara langsung.
Jika Anda melakukan sertifikasi ISO 27001, secara eksplisit jadikan ePHI bagian dari ruang lingkup ISMS dan pastikan analisis risiko HIPAA Anda dapat ditelusuri ke penilaian risiko ISO Anda.
Poin utama
- ISO → HIPAA: tambahkan business associate agreement dan dokumentasi yang spesifik untuk HIPAA.
- HIPAA → ISO: bangun ISMS di sekitar analisis risiko yang sudah ada; tambahkan kontrol pengembangan aman jika Anda membangun perangkat lunak.
- Sertifikat ISO tidak dengan sendirinya merupakan bukti kepatuhan terhadap HIPAA.
Miliki ISO 27001 → butuhkan HIPAA
69 persyaratan 38 terpetakan · · 2 tanpa pemetaan Buka di tampilan kesenjangan →Dari 69 persyaratan HIPAA Security Rule, 38 dipetakan ke sesuatu dalam ISO 27001, 29 hanya terkait secara longgar, dan 2 tidak memiliki pemetaan dalam data kami.
Hanya mencakup HIPAA Security Rule (tidak mencakup Privacy Rule atau Breach Notification Rule).
Kemungkinan pekerjaan baru: persyaratan HIPAA tanpa pemetaan ke ISO 27001 (2)
| HIPAA | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (29)
| HIPAA | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | Hanya berbagi CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…: terkait, bukan pemetaan | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | Hanya berbagi CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04: terkait, bukan pemetaan | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | Hanya berbagi CSF PR.AT-01, PR.AT-02: terkait, bukan pemetaan | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | Hanya berbagi CSF ID.RA-04, ID.RA-05: terkait, bukan pemetaan | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | Hanya berbagi CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: terkait, bukan pemetaan | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | Hanya berbagi CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…: terkait, bukan pemetaan | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | Hanya berbagi CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…: terkait, bukan pemetaan | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | Hanya berbagi CSF PR.DS-02: terkait, bukan pemetaan | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | Hanya berbagi CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: terkait, bukan pemetaan | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | Hanya berbagi CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: terkait, bukan pemetaan | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | Hanya berbagi CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: terkait, bukan pemetaan | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | Hanya berbagi CSF ID.AM-08, ID.IM-02: terkait, bukan pemetaan | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Hanya berbagi CSF ID.AM-08, ID.IM-02: terkait, bukan pemetaan | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Hanya berbagi CSF ID.AM-08, ID.IM-02: terkait, bukan pemetaan | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | Hanya berbagi CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: terkait, bukan pemetaan | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | Hanya berbagi CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…: terkait, bukan pemetaan | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | Hanya berbagi CSF ID.AM-08, ID.IM-02: terkait, bukan pemetaan | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | Hanya berbagi CSF ID.AM-07, ID.AM-08: terkait, bukan pemetaan | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | Hanya berbagi CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: terkait, bukan pemetaan | |
Dipetakan (38)
| HIPAA | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Crosswalk | Clause 6.1.2Clause 6.1.3A.8.8+1 | Topik sama: Penilaian Risiko, Manajemen Kerentanan |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Editorial | A.8.8Clause 6.1.1Clause 6.1.3+1 | Topik sama: Manajemen Kerentanan, Manajemen Risiko (pilihan editor) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Editorial | A.6.1A.6.4A.8.16 | Topik sama: Ancaman Orang Dalam (pilihan editor) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Crosswalk | A.5.25A.8.16 | Topik sama: SIEM / SOC, Pemantauan Berkelanjutan |
| §164.308(a)(2) | Assigned Security Responsibility | Crosswalk | A.5.2A.5.4 | Topik sama: Peran & Tanggung Jawab |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Crosswalk | A.6.1A.6.4A.8.16 | Topik sama: Ancaman Orang Dalam |
| §164.308(a)(4) | Information Access Management | Crosswalk | A.5.15A.5.16A.5.18+1 | Topik sama: Kontrol Akses |
| §164.308(a)(5) | Security Awareness and Training | Crosswalk | A.6.3Clause 7.3 | Topik sama: Kesadaran & Pelatihan |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Crosswalk | A.6.3Clause 7.3 | Topik sama: Kesadaran & Pelatihan |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Editorial | A.8.1A.8.7A.8.19 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| §164.308(a)(6) | Security Incident Procedures | Crosswalk | A.5.24A.5.25A.5.26 | Topik sama: Respons Insiden |
| §164.308(a)(6)(ii) | Required Response and Reporting | Crosswalk | A.5.5A.5.24A.5.25+2 | Topik sama: Pelaporan, Respons Insiden |
| §164.308(a)(7) | Contingency Plan | Crosswalk | A.5.29A.5.30 | Topik sama: Perencanaan Pemulihan |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Crosswalk | A.8.13 | Topik sama: Cadangan & Pemulihan |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Crosswalk | A.5.29A.5.30A.8.14 | Topik sama: Perencanaan Pemulihan, Pemulihan Bencana |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Crosswalk | A.5.29A.5.30A.8.14 | Topik sama: Kelangsungan Usaha |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Editorial | A.5.30A.8.14 | Topik sama: Pemulihan Bencana (pilihan editor) |
| §164.308(a)(8) | Evaluation | Crosswalk | A.8.8A.5.31A.5.36+1 | Topik sama: Manajemen Kerentanan, Kepatuhan |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Crosswalk | A.5.19A.5.20A.5.22+1 | Topik sama: Manajemen Risiko Vendor |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Editorial | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik (pilihan editor) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| §164.310(b) | Workstation Use | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| §164.310(c) | Workstation Security | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| §164.310(d) | Device and Media Controls | Crosswalk | A.5.9A.5.11A.7.14+2 | Topik sama: Manajemen Aset |
| §164.310(d)(2)(i) | Required Disposal | Editorial | A.5.14A.8.10A.8.11 | Topik sama: Perlindungan Data (pilihan editor) |
| §164.310(d)(2)(iii) | Addressable Accountability | Crosswalk | A.5.9A.5.11A.7.14 | Topik sama: Manajemen Aset |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Crosswalk | A.8.13 | Topik sama: Cadangan & Pemulihan |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Crosswalk | A.5.15A.5.16A.5.18+1 | Topik sama: Kontrol Akses |
| §164.312(a)(2)(i) | Required Unique User Identification | Crosswalk | A.5.15A.5.16A.5.18+1 | Topik sama: Kontrol Akses |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Crosswalk | A.8.24 | Topik sama: Enkripsi |
| §164.312(b) | Audit Controls | Crosswalk | A.8.15A.8.17 | Topik sama: Pencatatan & Audit |
| §164.312(c) | Integrity | Crosswalk | A.5.14A.8.10A.8.11 | Topik sama: Perlindungan Data |
| §164.312(d) | Person or Entity Authentication | Editorial | A.5.15A.5.16A.5.18+1 | Topik sama: Kontrol Akses (pilihan editor) |
| §164.312(e)(2)(ii) | Addressable Encryption | Crosswalk | A.8.24 | Topik sama: Enkripsi |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Crosswalk | A.5.19A.5.20A.5.22 | Topik sama: Manajemen Risiko Vendor |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Crosswalk | A.5.1A.5.37Clause 5.2 | Topik sama: Kebijakan Tata Kelola |
| §164.316(b)(2)(iii) | Required Updates | Crosswalk | A.5.1A.5.37Clause 5.2 | Topik sama: Kebijakan Tata Kelola |
Miliki HIPAA → butuhkan ISO 27001
123 persyaratan 58 terpetakan · · 19 tanpa pemetaan Buka di tampilan kesenjangan →Dari 123 persyaratan ISO/IEC 27001:2022, 58 dipetakan ke sesuatu dalam HIPAA, 46 hanya terkait secara longgar, dan 19 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan ISO 27001 tanpa pemetaan ke HIPAA (19)
| ISO 27001 | Persyaratan | Kecocokan | HIPAA | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| A.8.28 | Secure coding | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| A.8.29 | Security testing in development and acceptance | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| A.8.31 | Separation of development, test and production environments | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 4.3 | Determining the scope of the ISMS | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 4.4 | Information security management system | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 5.1 | Leadership and commitment | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 6.2 | Information security objectives and planning to achieve them | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 6.3 | Planning of changes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 7.1 | Resources | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 7.5.1 | General | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 7.5.2 | Creating and updating | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 7.5.3 | Control of documented information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 9.2.1 | General | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 9.2.2 | Internal audit programme | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| Clause 10.2 | Nonconformity and corrective action | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (46)
| ISO 27001 | Persyaratan | Kecocokan | HIPAA | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Hanya berbagi CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: terkait, bukan pemetaan | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | Hanya berbagi CSF GV.OV-01, RS.CO-03: terkait, bukan pemetaan | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | Hanya berbagi CSF DE.AE-07, ID.RA-03, ID.RA-05: terkait, bukan pemetaan | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | Hanya berbagi CSF GV.OC-05, ID.AM-08: terkait, bukan pemetaan | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | Hanya berbagi CSF ID.AM-05, ID.AM-08, PR.DS-01: terkait, bukan pemetaan | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Hanya berbagi CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | Hanya berbagi CSF PR.AA-03, PR.AA-05: terkait, bukan pemetaan | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | Hanya berbagi CSF GV.SC-03, GV.SC-09, GV.SC-10: terkait, bukan pemetaan | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | Hanya berbagi CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…: terkait, bukan pemetaan | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | Hanya berbagi CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…: terkait, bukan pemetaan | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Hanya berbagi CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: terkait, bukan pemetaan | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Hanya berbagi CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: terkait, bukan pemetaan | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | Hanya berbagi CSF GV.RR-04: terkait, bukan pemetaan | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Hanya berbagi CSF PR.DS-01, PR.IR-02: terkait, bukan pemetaan | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | Hanya berbagi CSF ID.AM-08, PR.DS-01: terkait, bukan pemetaan | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | Hanya berbagi CSF ID.AM-08, PR.IR-02: terkait, bukan pemetaan | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | Hanya berbagi CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: terkait, bukan pemetaan | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | Hanya berbagi CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | Hanya berbagi CSF PR.AA-01, PR.AA-03, PR.AA-05: terkait, bukan pemetaan | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Hanya berbagi CSF DE.CM-09: terkait, bukan pemetaan | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | Hanya berbagi CSF PR.AA-05: terkait, bukan pemetaan | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Hanya berbagi CSF ID.AM-03, PR.IR-01, PR.DS-02: terkait, bukan pemetaan | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Hanya berbagi CSF ID.AM-03, PR.IR-01: terkait, bukan pemetaan | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Hanya berbagi CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | Hanya berbagi CSF PR.IR-01: terkait, bukan pemetaan | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan | |
| A.8.30 | Outsourced development | §164.308(a)(8) | Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | Hanya berbagi CSF GV.OV-03, ID.RA-07: terkait, bukan pemetaan | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | Hanya berbagi CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…: terkait, bukan pemetaan | |
| Clause 7.2 | Competence | §164.308(a)(2) | Hanya berbagi CSF GV.RR-01, GV.RR-02: terkait, bukan pemetaan | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | Hanya berbagi CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: terkait, bukan pemetaan | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | Hanya berbagi CSF GV.SC-03, RC.RP-04: terkait, bukan pemetaan | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Hanya berbagi CSF ID.IM-02, PR.PS-01: terkait, bukan pemetaan | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Hanya berbagi CSF ID.IM-02, PR.PS-01: terkait, bukan pemetaan | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Hanya berbagi CSF ID.IM-02, PR.PS-01: terkait, bukan pemetaan | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | Hanya berbagi CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06: terkait, bukan pemetaan | |
Dipetakan (58)
| ISO 27001 | Persyaratan | Kecocokan | HIPAA | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Topik sama: Kebijakan Tata Kelola |
| A.5.2 | Information security roles and responsibilities | Crosswalk | §164.308(a)(2) | Topik sama: Peran & Tanggung Jawab |
| A.5.4 | Management responsibilities | Crosswalk | §164.308(a)(2) | Topik sama: Peran & Tanggung Jawab |
| A.5.5 | Contact with authorities | Crosswalk | §164.308(a)(6)(ii) | Topik sama: Pelaporan |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Topik sama: Manajemen Aset |
| A.5.11 | Return of assets | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Topik sama: Manajemen Aset |
| A.5.14 | Information transfer | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Topik sama: Perlindungan Data |
| A.5.15 | Access control | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Topik sama: Kontrol Akses |
| A.5.16 | Identity management | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Topik sama: Kontrol Akses |
| A.5.18 | Access rights | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Topik sama: Kontrol Akses |
| A.5.19 | Information security in supplier relationships | Crosswalk | §164.308(b)(1)§164.314(a) | Topik sama: Manajemen Risiko Vendor |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | §164.308(b)(1)§164.314(a) | Topik sama: Manajemen Risiko Vendor |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | §164.308(b)(1)§164.314(a) | Topik sama: Manajemen Risiko Vendor |
| A.5.23 | Information security for use of cloud services | Crosswalk | §164.308(b)(1) | Topik sama: Keamanan Cloud |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | §164.308(a)(6)§164.308(a)(6)(ii) | Topik sama: Respons Insiden |
| A.5.25 | Assessment and decision on information security events | Crosswalk | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Topik sama: SIEM / SOC, Respons Insiden |
| A.5.26 | Response to information security incidents | Crosswalk | §164.308(a)(6)§164.308(a)(6)(ii) | Topik sama: Respons Insiden, Mitigasi |
| A.5.29 | Information security during disruption | Crosswalk | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | Topik sama: Perencanaan Pemulihan, Kelangsungan Usaha |
| A.5.30 | ICT readiness for business continuity | Crosswalk | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | Topik sama: Perencanaan Pemulihan, Pemulihan Bencana, Kelangsungan Usaha |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | §164.308(a)(8) | Topik sama: Kepatuhan (pilihan editor) |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | §164.308(a)(8) | Topik sama: Kepatuhan (pilihan editor) |
| A.5.37 | Documented operating procedures | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Topik sama: Kebijakan Tata Kelola |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Crosswalk | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Topik sama: Ancaman Orang Dalam |
| A.6.3 | Information security awareness, education and training | Crosswalk | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Topik sama: Kesadaran & Pelatihan |
| A.6.4 | Disciplinary process | Crosswalk | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Topik sama: Ancaman Orang Dalam |
| A.6.7 | Remote working | Editorial | §164.310(d) | Topik sama: Keamanan Seluler (pilihan editor) |
| A.6.8 | Information security event reporting | Crosswalk | §164.308(a)(6)(ii) | Topik sama: Pelaporan |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.2 | Physical entry | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.4 | Physical security monitoring | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.6 | Working in secure areas | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.8 | Equipment siting and protection | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.11 | Supporting utilities | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.12 | Cabling security | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Topik sama: Keamanan Fisik |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Topik sama: Manajemen Aset |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Editorial | §164.308(a)(5)(ii)(B)§164.310(d) | Topik sama: Perlindungan Endpoint, Keamanan Seluler (pilihan editor) |
| A.8.3 | Information access restriction | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Topik sama: Kontrol Akses |
| A.8.7 | Protection against malware | Editorial | §164.308(a)(5)(ii)(B) | Topik sama: Perlindungan Endpoint (pilihan editor) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Topik sama: Manajemen Kerentanan |
| A.8.10 | Information deletion | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Topik sama: Perlindungan Data |
| A.8.11 | Data masking | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Topik sama: Perlindungan Data |
| A.8.13 | Information backup | Crosswalk | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Topik sama: Cadangan & Pemulihan |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Topik sama: Pemulihan Bencana, Kelangsungan Usaha |
| A.8.15 | Logging | Crosswalk | §164.312(b) | Topik sama: Pencatatan & Audit |
| A.8.16 | Monitoring activities | Crosswalk | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Topik sama: Pemantauan Berkelanjutan, SIEM / SOC, Ancaman Orang Dalam |
| A.8.17 | Clock synchronization | Crosswalk | §164.312(b) | Topik sama: Pencatatan & Audit |
| A.8.19 | Installation of software on operational systems | Editorial | §164.308(a)(5)(ii)(B) | Topik sama: Perlindungan Endpoint (pilihan editor) |
| A.8.24 | Use of cryptography | Crosswalk | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Topik sama: Enkripsi |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Topik sama: Kebijakan Tata Kelola |
| Clause 6.1.1 | General | Editorial | §164.308(a)(1)(ii)(B) | Topik sama: Manajemen Risiko (pilihan editor) |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | §164.308(a)(1)(ii)(A) | Topik sama: Penilaian Risiko |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Topik sama: Penilaian Risiko, Manajemen Risiko |
| Clause 7.3 | Awareness | Crosswalk | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Topik sama: Kesadaran & Pelatihan |
| Clause 8.2 | Information security risk assessment | Editorial | §164.308(a)(1)(ii)(A) | Editorial ControlMapping: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | Editorial | §164.308(a)(1)(ii)(B) | Editorial ControlMapping: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | §164.308(a)(8) | Topik sama: Kepatuhan (pilihan editor) |
Menurut topik
Keduanya mencakup (27):
Kebijakan Tata KelolaKesadaran & PelatihanManajemen RisikoPeran & Tanggung JawabKepatuhanManajemen AsetPenilaian RisikoManajemen KerentananKontrol AksesEnkripsiPerlindungan DataCadangan & PemulihanPerlindungan EndpointKeamanan SelulerKeamanan CloudPemantauan BerkelanjutanPencatatan & AuditSIEM / SOCRespons InsidenMitigasiPelaporanPerencanaan PemulihanKelangsungan UsahaPemulihan BencanaAncaman Orang DalamManajemen Risiko VendorKeamanan Fisik
Hanya ISO 27001 (23):
Risiko Rantai PasokLingkungan BisnisKlasifikasi DataIntelijen AncamanAutentikasi Multi-FaktorAkses IstimewaFirewall / Segmentasi JaringanManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustKeamanan DNSWAFDLPDeteksi IntrusiDeteksi AnomaliForensikKomunikasiPelajaran yang DipetikKomunikasi & PemulihanKeamanan API
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.