HIPAA Security Rule attraverso la lente del NIST CSF 2.0

L'HIPAA Security Rule è breve e volutamente flessibile: salvaguardie amministrative, fisiche e tecniche per le informazioni sanitarie protette in formato elettronico (ePHI), con standard e specifiche di implementazione contrassegnati come required o addressable. Il NIST CSF 2.0 è più ampio. I team di sicurezza sanitaria usano sempre più il CSF per gestire il programma e riferire ai consigli di amministrazione, per poi dimostrare la conformità HIPAA a partire da esso. Quanto funziona davvero?

Il dato principale

Dei 69 standard e specifiche di HIPAA, 38 (55%) corrispondono a qualcosa in NIST CSF 2.0, 29 sono solo debolmente correlati e 2 non hanno mappature nei nostri dati. Apri il report sui gap →

Quasi ogni requisito della Security Rule corrisponde a un risultato del CSF 2.0. Molti di questi collegamenti derivano dal crosswalk di NIST tra HIPAA Security Rule e SP 800-53, che ControlMapping segue fino al CSF.

Per salvaguardia

HIPAA sezione	Mappato	Correlazione debole	Nessuna mappatura
§164.308 Administrative safeguards	19 di 30	11	0
§164.310 Physical safeguards	9 di 12	2	1
§164.312 Technical safeguards	7 di 12	5	0
§164.314 Organizational requirements	1 di 10	8	1
§164.316 Policies and documentation	2 di 5	3	0

Hai NIST CSF 2.0, ti serve HIPAA. Requisito per requisito: apri il report sul gap →

I due che non corrispondono

I requisiti senza mappatura nei nostri dati sono quelli più circoscritti: la specifica sul riutilizzo dei supporti (rimozione degli ePHI prima del riutilizzo dei supporti elettronici) e una specifica sui contratti con i business associate. Entrambi hanno una collocazione naturale in un programma maturo (procedure di distruzione dei dati e contratti con i fornitori), ma nessun risultato del CSF li nomina direttamente e non abbiamo aggiunto collegamenti editoriali per essi. Vale la pena dedicare una riga esplicita a entrambi nel vostro set di controlli HIPAA.

Cosa aggiunge il CSF rispetto all'HIPAA

Dei 106 sottocategorie di NIST CSF 2.0, 63 (59%) corrispondono a qualcosa in HIPAA, 27 sono solo debolmente correlati e 16 non hanno mappature nei nostri dati. Apri il report sui gap →

La direzione inversa mostra cosa manca a un programma basato solo sull'HIPAA. I risultati del CSF senza mappatura HIPAA si concentrano nella funzione Governare, introdotta dal CSF 2.0 nel 2024: contesto organizzativo, strategia e propensione al rischio, gestione del rischio della catena di fornitura come parte del programma, e supervisione. La Security Rule richiede la risk analysis e la gestione del rischio, ma dice poco su come l'organizzazione definisca la propria strategia di rischio o gestisca sistematicamente il rischio di terze parti. Adottare il CSF colma queste lacune.

Punti chiave

• Un programma NIST CSF 2.0 copre quasi ogni standard e specifica di implementazione dell'HIPAA Security Rule.
• Le eccezioni sono circoscritte (riutilizzo dei supporti e specifica sui contratti con i business associate) e facili da aggiungere.
• Il CSF aggiunge una governance che l'HIPAA non ha, in particolare sulla strategia di rischio e sulla gestione del rischio della catena di fornitura.
• Mantenete la risk analysis HIPAA come deliverable documentato a sé stante, qualunque framework adottiate.

Usare il CSF per gestire un programma HIPAA

1. Costruite i vostri Current e Target Profile nel CSF 2.0 e annotate per ogni sottocategoria quale standard della Security Rule supporta.
2. Conservate la risk analysis HIPAA (§164.308(a)(1)(ii)(A)) come deliverable documentato a sé stante. È la pietra angolare della Security Rule e la prima cosa che gli investigatori HHS richiedono.
3. Registrate le decisioni required rispetto ad addressable per ogni specifica di implementazione, con la relativa motivazione, finché le modifiche proposte alla norma non saranno definite.
4. Riferite alla direzione in termini CSF e ad auditor e investigatori in termini HIPAA, a partire dallo stesso set di controlli.

Il report di gap CSF 2.0 → HIPAA elenca ogni standard e specifica con i relativi risultati CSF, mentre il confronto tra NIST CSF vs HIPAA copre entrambe le direzioni. Il testo della Security Rule mostrato su questo sito proviene dal NIST SP 800-66r2.

Domande

La conformità al NIST CSF soddisfa l'HIPAA?

Nessun framework 'soddisfa' da solo l'HIPAA: è HHS a far rispettare la Security Rule in quanto tale. Ma un programma CSF 2.0 copre quasi ogni requisito della Security Rule, e HHS indica la guida NIST (SP 800-66) per implementarlo.

L'HIPAA Security Rule sta cambiando?

Nel gennaio 2025 HHS ha proposto modifiche significative, tra cui l'eliminazione della distinzione tra specifiche required e addressable. Verificate lo stato attuale prima di fare affidamento su tale distinzione.

HHS riconosce il NIST CSF ai fini dell'HIPAA?

HHS pubblica il NIST SP 800-66 come guida per implementare la Security Rule e ha indicato che le pratiche di sicurezza riconosciute, come il NIST Cybersecurity Framework, sono rilevanti quando valuta le azioni di enforcement. L'uso del CSF non sostituisce i requisiti propri della Security Rule, inclusa la risk analysis documentata.