Confronto
ISO 27001 vs HIPAA Security Rule: un ISMS per gli ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · dati al 2026-10-27
La ISO/IEC 27001 è un sistema di gestione internazionale certificabile; la HIPAA Security Rule è un requisito legale statunitense per la protezione delle informazioni sanitarie protette in formato elettronico (electronic protected health information, ePHI). Le organizzazioni sanitarie e i loro fornitori utilizzano sempre più spesso un ISMS conforme alla ISO 27001 come modalità per gestire le proprie misure di salvaguardia HIPAA, soprattutto quando operano a livello internazionale.
Passando da ISO a HIPAA, quasi tutti gli standard e le specifiche della Security Rule risultano mappati o con correlazione debole. Analisi e gestione del rischio, sicurezza del personale, controllo degli accessi, controlli di audit, integrità, sicurezza delle trasmissioni, pianificazione della continuità e accesso alle strutture hanno tutti un corrispettivo nell'Allegato A. Ciò che resta è per lo più contenuto legale specifico della HIPAA, come le clausole contrattuali con i business associate e il riutilizzo dei supporti.
Passando da HIPAA a ISO, c'è più da aggiungere. La HIPAA non richiede un sistema di gestione, quindi le clausole ISO (ambito, leadership, obiettivi, informazioni documentate, audit interno, riesame da parte della direzione) sono nuove. Lo sono anche i controlli per lo sviluppo sicuro (ciclo di vita dello sviluppo sicuro, codifica sicura, test di sicurezza), che la HIPAA non affronta direttamente.
Se si certifica secondo la ISO 27001, includere esplicitamente gli ePHI nell'ambito dell'ISMS e mantenere la analisi del rischio HIPAA tracciabile rispetto alla valutazione del rischio ISO.
Punti chiave
- ISO → HIPAA: aggiungere i business associate agreement e la documentazione specifica HIPAA.
- HIPAA → ISO: costruire l'ISMS attorno all'analisi del rischio esistente; aggiungere controlli di sviluppo sicuro se si sviluppa software.
- Un certificato ISO non è, di per sé, una prova di conformità alla HIPAA.
Dei 69 requisiti di HIPAA Security Rule, 38 corrispondono a qualcosa in ISO 27001, 29 sono solo debolmente correlati e 2 non hanno mappature nei nostri dati.
Copre solo la HIPAA Security Rule (non le Privacy Rule o le Breach Notification Rule).
Probabile lavoro aggiuntivo: requisiti di HIPAA senza mappature verso ISO 27001 (2)
| HIPAA | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso ISO 27001 nei nostri dati. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso ISO 27001 nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (29)
| HIPAA | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | Condivide solo le sottocategorie CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…: correlato, non una mappatura | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | Condivide solo le sottocategorie CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04: correlato, non una mappatura | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | Condivide solo le sottocategorie CSF PR.AT-01, PR.AT-02: correlato, non una mappatura | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | Condivide solo le sottocategorie CSF ID.RA-04, ID.RA-05: correlato, non una mappatura | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | Condivide solo le sottocategorie CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: correlato, non una mappatura | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | Condivide solo le sottocategorie CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…: correlato, non una mappatura | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…: correlato, non una mappatura | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | Condivide solo le sottocategorie CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: correlato, non una mappatura | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | Condivide solo le sottocategorie CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: correlato, non una mappatura | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | Condivide solo le sottocategorie CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: correlato, non una mappatura | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | Condivide solo le sottocategorie CSF ID.AM-08, ID.IM-02: correlato, non una mappatura | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Condivide solo le sottocategorie CSF ID.AM-08, ID.IM-02: correlato, non una mappatura | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Condivide solo le sottocategorie CSF ID.AM-08, ID.IM-02: correlato, non una mappatura | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | Condivide solo le sottocategorie CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: correlato, non una mappatura | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | Condivide solo le sottocategorie CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…: correlato, non una mappatura | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | Condivide solo le sottocategorie CSF ID.AM-08, ID.IM-02: correlato, non una mappatura | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | Condivide solo le sottocategorie CSF ID.AM-07, ID.AM-08: correlato, non una mappatura | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | Condivide solo le sottocategorie CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: correlato, non una mappatura | |
Mappato (38)
| HIPAA | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Crosswalk | Clause 6.1.2Clause 6.1.3A.8.8+1 | Stesso argomento: Risk Assessment, Gestione delle vulnerabilità |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Redazione | A.8.8Clause 6.1.1Clause 6.1.3+1 | Stesso argomento: Gestione delle vulnerabilità, Gestione del rischio (selezione della redazione) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Redazione | A.6.1A.6.4A.8.16 | Stesso argomento: Minaccia interna (selezione della redazione) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Crosswalk | A.5.25A.8.16 | Stesso argomento: SIEM / SOC, Monitoraggio continuo |
| §164.308(a)(2) | Assigned Security Responsibility | Crosswalk | A.5.2A.5.4 | Stesso argomento: Ruoli e responsabilità |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Crosswalk | A.6.1A.6.4A.8.16 | Stesso argomento: Minaccia interna |
| §164.308(a)(4) | Information Access Management | Crosswalk | A.5.15A.5.16A.5.18+1 | Stesso argomento: Controllo degli accessi |
| §164.308(a)(5) | Security Awareness and Training | Crosswalk | A.6.3Clause 7.3 | Stesso argomento: Consapevolezza e formazione |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Crosswalk | A.6.3Clause 7.3 | Stesso argomento: Consapevolezza e formazione |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Redazione | A.8.1A.8.7A.8.19 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| §164.308(a)(6) | Security Incident Procedures | Crosswalk | A.5.24A.5.25A.5.26 | Stesso argomento: Gestione degli incidenti |
| §164.308(a)(6)(ii) | Required Response and Reporting | Crosswalk | A.5.5A.5.24A.5.25+2 | Stesso argomento: Segnalazione, Gestione degli incidenti |
| §164.308(a)(7) | Contingency Plan | Crosswalk | A.5.29A.5.30 | Stesso argomento: Pianificazione del ripristino |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Crosswalk | A.8.13 | Stesso argomento: Backup e ripristino |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Crosswalk | A.5.29A.5.30A.8.14 | Stesso argomento: Pianificazione del ripristino, Disaster Recovery |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Crosswalk | A.5.29A.5.30A.8.14 | Stesso argomento: Continuità operativa |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Redazione | A.5.30A.8.14 | Stesso argomento: Disaster Recovery (selezione della redazione) |
| §164.308(a)(8) | Evaluation | Crosswalk | A.8.8A.5.31A.5.36+1 | Stesso argomento: Gestione delle vulnerabilità, Conformità |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Crosswalk | A.5.19A.5.20A.5.22+1 | Stesso argomento: Gestione del rischio dei fornitori |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Crosswalk | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Redazione | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Crosswalk | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica |
| §164.310(b) | Workstation Use | Crosswalk | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica |
| §164.310(c) | Workstation Security | Crosswalk | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica |
| §164.310(d) | Device and Media Controls | Crosswalk | A.5.9A.5.11A.7.14+2 | Stesso argomento: Gestione degli asset |
| §164.310(d)(2)(i) | Required Disposal | Redazione | A.5.14A.8.10A.8.11 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| §164.310(d)(2)(iii) | Addressable Accountability | Crosswalk | A.5.9A.5.11A.7.14 | Stesso argomento: Gestione degli asset |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Crosswalk | A.8.13 | Stesso argomento: Backup e ripristino |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Crosswalk | A.5.15A.5.16A.5.18+1 | Stesso argomento: Controllo degli accessi |
| §164.312(a)(2)(i) | Required Unique User Identification | Crosswalk | A.5.15A.5.16A.5.18+1 | Stesso argomento: Controllo degli accessi |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Crosswalk | A.8.24 | Stesso argomento: Crittografia |
| §164.312(b) | Audit Controls | Crosswalk | A.8.15A.8.17 | Stesso argomento: Logging e audit |
| §164.312(c) | Integrity | Crosswalk | A.5.14A.8.10A.8.11 | Stesso argomento: Protezione dei dati |
| §164.312(d) | Person or Entity Authentication | Redazione | A.5.15A.5.16A.5.18+1 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| §164.312(e)(2)(ii) | Addressable Encryption | Crosswalk | A.8.24 | Stesso argomento: Crittografia |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Crosswalk | A.5.19A.5.20A.5.22 | Stesso argomento: Gestione del rischio dei fornitori |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Crosswalk | A.5.1A.5.37Clause 5.2 | Stesso argomento: Politica di governance |
| §164.316(b)(2)(iii) | Required Updates | Crosswalk | A.5.1A.5.37Clause 5.2 | Stesso argomento: Politica di governance |
Dei 123 requisiti di ISO/IEC 27001:2022, 58 corrispondono a qualcosa in HIPAA, 46 sono solo debolmente correlati e 19 non hanno mappature nei nostri dati.
Probabile lavoro aggiuntivo: requisiti di ISO 27001 senza mappature verso HIPAA (19)
| ISO 27001 | Requisito | Corrispondenza | HIPAA | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| A.8.28 | Secure coding | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| A.8.29 | Security testing in development and acceptance | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| A.8.31 | Separation of development, test and production environments | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 4.3 | Determining the scope of the ISMS | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 4.4 | Information security management system | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 5.1 | Leadership and commitment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 6.2 | Information security objectives and planning to achieve them | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 6.3 | Planning of changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 7.1 | Resources | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 7.5.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 7.5.2 | Creating and updating | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 7.5.3 | Control of documented information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 9.2.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 9.2.2 | Internal audit programme | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| Clause 10.2 | Nonconformity and corrective action | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (46)
| ISO 27001 | Requisito | Corrispondenza | HIPAA | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: correlato, non una mappatura | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | Condivide solo le sottocategorie CSF GV.OV-01, RS.CO-03: correlato, non una mappatura | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | Condivide solo le sottocategorie CSF DE.AE-07, ID.RA-03, ID.RA-05: correlato, non una mappatura | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | Condivide solo le sottocategorie CSF GV.OC-05, ID.AM-08: correlato, non una mappatura | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | Condivide solo le sottocategorie CSF ID.AM-05, ID.AM-08, PR.DS-01: correlato, non una mappatura | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Condivide solo le sottocategorie CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | Condivide solo le sottocategorie CSF PR.AA-03, PR.AA-05: correlato, non una mappatura | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | Condivide solo le sottocategorie CSF GV.SC-03, GV.SC-09, GV.SC-10: correlato, non una mappatura | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | Condivide solo le sottocategorie CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…: correlato, non una mappatura | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | Condivide solo le sottocategorie CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…: correlato, non una mappatura | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Condivide solo le sottocategorie CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: correlato, non una mappatura | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Condivide solo le sottocategorie CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: correlato, non una mappatura | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | Condivide solo le sottocategorie CSF GV.RR-04: correlato, non una mappatura | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.IR-02: correlato, non una mappatura | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | Condivide solo le sottocategorie CSF ID.AM-08, PR.DS-01: correlato, non una mappatura | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | Condivide solo le sottocategorie CSF ID.AM-08, PR.IR-02: correlato, non una mappatura | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: correlato, non una mappatura | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-03, PR.AA-05: correlato, non una mappatura | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Condivide solo le sottocategorie CSF DE.CM-09: correlato, non una mappatura | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Condivide solo le sottocategorie CSF ID.AM-03, PR.IR-01, PR.DS-02: correlato, non una mappatura | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Condivide solo le sottocategorie CSF ID.AM-03, PR.IR-01: correlato, non una mappatura | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Condivide solo le sottocategorie CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | Condivide solo le sottocategorie CSF PR.IR-01: correlato, non una mappatura | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura | |
| A.8.30 | Outsourced development | §164.308(a)(8) | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | Condivide solo le sottocategorie CSF GV.OV-03, ID.RA-07: correlato, non una mappatura | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | Condivide solo le sottocategorie CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…: correlato, non una mappatura | |
| Clause 7.2 | Competence | §164.308(a)(2) | Condivide solo le sottocategorie CSF GV.RR-01, GV.RR-02: correlato, non una mappatura | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | Condivide solo le sottocategorie CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: correlato, non una mappatura | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | Condivide solo le sottocategorie CSF GV.SC-03, RC.RP-04: correlato, non una mappatura | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Condivide solo le sottocategorie CSF ID.IM-02, PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Condivide solo le sottocategorie CSF ID.IM-02, PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Condivide solo le sottocategorie CSF ID.IM-02, PR.PS-01: correlato, non una mappatura | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | Condivide solo le sottocategorie CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06: correlato, non una mappatura | |
Mappato (58)
| ISO 27001 | Requisito | Corrispondenza | HIPAA | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Stesso argomento: Politica di governance |
| A.5.2 | Information security roles and responsibilities | Crosswalk | §164.308(a)(2) | Stesso argomento: Ruoli e responsabilità |
| A.5.4 | Management responsibilities | Crosswalk | §164.308(a)(2) | Stesso argomento: Ruoli e responsabilità |
| A.5.5 | Contact with authorities | Crosswalk | §164.308(a)(6)(ii) | Stesso argomento: Segnalazione |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Stesso argomento: Gestione degli asset |
| A.5.11 | Return of assets | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Stesso argomento: Gestione degli asset |
| A.5.14 | Information transfer | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Stesso argomento: Protezione dei dati |
| A.5.15 | Access control | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Stesso argomento: Controllo degli accessi |
| A.5.16 | Identity management | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Stesso argomento: Controllo degli accessi |
| A.5.18 | Access rights | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Stesso argomento: Controllo degli accessi |
| A.5.19 | Information security in supplier relationships | Crosswalk | §164.308(b)(1)§164.314(a) | Stesso argomento: Gestione del rischio dei fornitori |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | §164.308(b)(1)§164.314(a) | Stesso argomento: Gestione del rischio dei fornitori |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | §164.308(b)(1)§164.314(a) | Stesso argomento: Gestione del rischio dei fornitori |
| A.5.23 | Information security for use of cloud services | Crosswalk | §164.308(b)(1) | Stesso argomento: Sicurezza del cloud |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | §164.308(a)(6)§164.308(a)(6)(ii) | Stesso argomento: Gestione degli incidenti |
| A.5.25 | Assessment and decision on information security events | Crosswalk | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Stesso argomento: SIEM / SOC, Gestione degli incidenti |
| A.5.26 | Response to information security incidents | Crosswalk | §164.308(a)(6)§164.308(a)(6)(ii) | Stesso argomento: Gestione degli incidenti, Mitigazione |
| A.5.29 | Information security during disruption | Crosswalk | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | Stesso argomento: Pianificazione del ripristino, Continuità operativa |
| A.5.30 | ICT readiness for business continuity | Crosswalk | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | Stesso argomento: Pianificazione del ripristino, Disaster Recovery, Continuità operativa |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Redazione | §164.308(a)(8) | Stesso argomento: Conformità (selezione della redazione) |
| A.5.36 | Compliance with policies, rules and standards for information security | Redazione | §164.308(a)(8) | Stesso argomento: Conformità (selezione della redazione) |
| A.5.37 | Documented operating procedures | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Stesso argomento: Politica di governance |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Crosswalk | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Stesso argomento: Minaccia interna |
| A.6.3 | Information security awareness, education and training | Crosswalk | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Stesso argomento: Consapevolezza e formazione |
| A.6.4 | Disciplinary process | Crosswalk | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Stesso argomento: Minaccia interna |
| A.6.7 | Remote working | Redazione | §164.310(d) | Stesso argomento: Sicurezza mobile (selezione della redazione) |
| A.6.8 | Information security event reporting | Crosswalk | §164.308(a)(6)(ii) | Stesso argomento: Segnalazione |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.2 | Physical entry | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.4 | Physical security monitoring | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.6 | Working in secure areas | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.8 | Equipment siting and protection | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.11 | Supporting utilities | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.12 | Cabling security | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Stesso argomento: Sicurezza fisica |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Stesso argomento: Gestione degli asset |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Redazione | §164.308(a)(5)(ii)(B)§164.310(d) | Stesso argomento: Protezione degli endpoint, Sicurezza mobile (selezione della redazione) |
| A.8.3 | Information access restriction | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Stesso argomento: Controllo degli accessi |
| A.8.7 | Protection against malware | Redazione | §164.308(a)(5)(ii)(B) | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Stesso argomento: Gestione delle vulnerabilità |
| A.8.10 | Information deletion | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Stesso argomento: Protezione dei dati |
| A.8.11 | Data masking | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Stesso argomento: Protezione dei dati |
| A.8.13 | Information backup | Crosswalk | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Stesso argomento: Backup e ripristino |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Stesso argomento: Disaster Recovery, Continuità operativa |
| A.8.15 | Logging | Crosswalk | §164.312(b) | Stesso argomento: Logging e audit |
| A.8.16 | Monitoring activities | Crosswalk | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Stesso argomento: Monitoraggio continuo, SIEM / SOC, Minaccia interna |
| A.8.17 | Clock synchronization | Crosswalk | §164.312(b) | Stesso argomento: Logging e audit |
| A.8.19 | Installation of software on operational systems | Redazione | §164.308(a)(5)(ii)(B) | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| A.8.24 | Use of cryptography | Crosswalk | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Stesso argomento: Crittografia |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Stesso argomento: Politica di governance |
| Clause 6.1.1 | General | Redazione | §164.308(a)(1)(ii)(B) | Stesso argomento: Gestione del rischio (selezione della redazione) |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | §164.308(a)(1)(ii)(A) | Stesso argomento: Risk Assessment |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Stesso argomento: Risk Assessment, Gestione del rischio |
| Clause 7.3 | Awareness | Crosswalk | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Stesso argomento: Consapevolezza e formazione |
| Clause 8.2 | Information security risk assessment | Redazione | §164.308(a)(1)(ii)(A) | Scelta editoriale di ControlMapping: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | Redazione | §164.308(a)(1)(ii)(B) | Scelta editoriale di ControlMapping: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Redazione | §164.308(a)(8) | Stesso argomento: Conformità (selezione della redazione) |
Per tema
Coperti da entrambi (27):
Politica di governanceConsapevolezza e formazioneGestione del rischioRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentGestione delle vulnerabilitàControllo degli accessiCrittografiaProtezione dei datiBackup e ripristinoProtezione degli endpointSicurezza mobileSicurezza del cloudMonitoraggio continuoLogging e auditSIEM / SOCGestione degli incidentiMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaDisaster RecoveryMinaccia internaGestione del rischio dei fornitoriSicurezza fisica
Solo ISO 27001 (23):
Gestione del rischio della supply chainContesto aziendaleClassificazione dei datiThreat IntelligenceAutenticazione a più fattoriAccesso privilegiatoFirewall / Segmentazione di reteGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustSicurezza DNSWAFDLPIntrusion DetectionRilevamento delle anomalieAnalisi forenseComunicazioneLezioni appreseComunicazioni e ripristinoSicurezza delle API
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.