Framework
HIPAA Security Rule
Di cosa si tratta
La US Security Rule (45 CFR Part 164, Subpart C): salvaguardie amministrative, fisiche e tecniche per le informazioni sanitarie protette in formato elettronico, sotto forma di standard e specifiche di implementazione contrassegnate come Required o Addressable. HHS ha proposto modifiche significative a gennaio 2025; verificarne lo stato prima di fare affidamento sulla distinzione Addressable.
Chi ne ha bisogno
Entità soggette (piani sanitari, clearinghouse sanitari e fornitori di servizi sanitari che effettuano transazioni elettroniche) e relativi business associate.
Come viene valutato
Nessuna certificazione. L'Office for Civil Rights di HHS ne fa rispettare i requisiti tramite reclami, indagini sulle violazioni e audit. L'analisi del rischio documentata è il pilastro fondamentale; le attestazioni di terze parti sono prove comuni ma non ufficiali.
69
Standard e specifiche
68
Mappato su un altro framework
54%
Argomenti coperti (27/50)
Copre solo la HIPAA Security Rule (non le Privacy Rule o le Breach Notification Rule).
Confronti
Requisiti
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
| ID | Requisito | Argomenti | Mappato in |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 di 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | Risk Assessment, Gestione delle vulnerabilità | 13 di 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | Gestione del rischio, Gestione delle vulnerabilità | 13 di 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | Minaccia interna | 8 di 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | Monitoraggio continuo, SIEM / SOC | 10 di 13 |
| §164.308(a)(2) | Assigned Security Responsibility | Ruoli e responsabilità | 9 di 13 |
| §164.308(a)(3) | Workforce Security | — | 1 di 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 di 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | Minaccia interna | 8 di 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 di 13 |
| §164.308(a)(4) | Information Access Management | Controllo degli accessi | 11 di 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 di 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 di 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 di 13 |
| §164.308(a)(5) | Security Awareness and Training | Consapevolezza e formazione | 10 di 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | Consapevolezza e formazione | 10 di 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | Protezione degli endpoint | 10 di 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 di 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 di 13 |
| §164.308(a)(6) | Security Incident Procedures | Gestione degli incidenti | 12 di 13 |
| §164.308(a)(6)(ii) | Response and Reporting | Gestione degli incidenti, Mitigazione, Segnalazione | 12 di 13 |
| §164.308(a)(7) | Contingency Plan | Pianificazione del ripristino | 9 di 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | Backup e ripristino | 11 di 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | Pianificazione del ripristino, Disaster Recovery | 10 di 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | Continuità operativa | 8 di 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | Disaster Recovery | 10 di 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 di 13 |
| §164.308(a)(8) | Evaluation | Conformità, Gestione delle vulnerabilità | 13 di 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Sicurezza del cloud, Gestione del rischio dei fornitori | 12 di 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 di 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | Sicurezza fisica | 8 di 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 di 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | Sicurezza fisica | 8 di 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | Sicurezza fisica | 8 di 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 di 13 |
| §164.310(b) | Workstation Use | Sicurezza fisica | 8 di 13 |
| §164.310(c) | Workstation Security | Sicurezza fisica | 8 di 13 |
| §164.310(d) | Device and Media Controls | Gestione degli asset, Sicurezza mobile | 13 di 13 |
| §164.310(d)(2)(i) | Disposal | Protezione dei dati | 11 di 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 di 13 |
| §164.310(d)(2)(iii) | Accountability | Gestione degli asset | 13 di 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | Backup e ripristino | 11 di 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | Controllo degli accessi | 11 di 13 |
| §164.312(a)(2)(i) | Unique User Identification | Controllo degli accessi | 11 di 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 di 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 di 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | Crittografia | 10 di 13 |
| §164.312(b) | Audit Controls | Logging e audit | 10 di 13 |
| §164.312(c) | Integrity | Protezione dei dati | 11 di 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 di 13 |
| §164.312(d) | Person or Entity Authentication | Controllo degli accessi | 11 di 13 |
| §164.312(e)(1) | Transmission Security | — | 1 di 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 di 13 |
| §164.312(e)(2)(ii) | Encryption | Crittografia | 10 di 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Gestione del rischio dei fornitori | 10 di 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 di 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 di 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 di 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | nessuno |
| §164.314(b) | Requirements for Group Health Plans | — | 1 di 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 di 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 di 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 di 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 di 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | Politica di governance | 9 di 13 |
| §164.316(b) | Documentation | — | 1 di 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 di 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 di 13 |
| §164.316(b)(2)(iii) | Updates | Politica di governance | 9 di 13 |
Copertura dell'argomento
Argomenti con requisiti HIPAA mappati (27):
Politica di governanceConsapevolezza e formazioneGestione del rischioRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentGestione delle vulnerabilitàControllo degli accessiCrittografiaProtezione dei datiBackup e ripristinoProtezione degli endpointSicurezza mobileSicurezza del cloudMonitoraggio continuoLogging e auditSIEM / SOCGestione degli incidentiMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaDisaster RecoveryMinaccia internaGestione del rischio dei fornitoriSicurezza fisica
Nessuna mappatura nei nostri dati Nessun requisito di HIPAA (23):
Gestione del rischio della supply chainContesto aziendaleClassificazione dei datiThreat IntelligenceAutenticazione a più fattoriAccesso privilegiatoFirewall / Segmentazione di reteGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustSicurezza DNSWAFDLPIntrusion DetectionRilevamento delle anomalieAnalisi forenseComunicazioneLezioni appreseComunicazioni e ripristinoSicurezza delle API