比較
ISO 27001とHIPAAセキュリティ規則の比較：ePHIのためのISMS
ISO/IEC 27001:2022 · HIPAA Security Rule · データ 2026-10-27
ISO/IEC 27001は国際的に認証取得可能なマネジメントシステムであり、HIPAAセキュリティ規則は電子的保護対象医療情報（ePHI）の保護を定める米国の法的要件です。医療機関およびその委託先は、特に国際的に事業を展開する場合、HIPAAの保護措置を運用する手段としてISO 27001のISMSを採用するケースが増えています。
ISOからHIPAAへの対応を見ると、セキュリティ規則の標準および実装仕様のほぼすべてが、対応付けされるか緩やかに関連しています。リスク分析およびリスク管理、ワークフォースのセキュリティ、アクセス制御、監査制御、完全性、送信のセキュリティ、緊急時対応計画、施設へのアクセスは、いずれも附属書Aに対応する管理策があります。残るのは主にHIPAA固有の法的内容であり、例えばビジネスassociate契約の条項やメディアの再利用などです。
HIPAAからISOへの対応を見ると、追加すべき事項が多くなります。HIPAAはマネジメントシステムを要求しないため、ISOの各条項（適用範囲、リーダーシップ、目的、文書化された情報、内部監査、マネジメントレビュー）は新たに必要になります。また、HIPAAが直接扱っていないセキュアな開発管理策（セキュアな開発ライフサイクル、セキュアコーディング、セキュリティテスト）も同様に新規となります。
ISO 27001の認証を取得する場合は、ePHIをISMSの適用範囲に明示的に含め、HIPAAのリスク分析をISOのリスクアセスメントまで追跡可能な状態に保ってください。
要点
- ISO → HIPAA：ビジネスassociate契約とHIPAA固有の文書を追加します。
- HIPAA → ISO：既存のリスク分析を中心にISMSを構築します。ソフトウェアを開発している場合は、セキュアな開発に関する管理策を追加します。
- ISOの認証だけでは、HIPAA準拠の証拠にはなりません。
HIPAA Security Rule の要件 69 件のうち、38 件は ISO 27001 の何らかの項目にマッピングされ、29 件は緩やかに関連するのみで、2 件は当サイトのデータにマッピングがありません。
HIPAA セキュリティ規則のみを対象としています（プライバシー規則および違反通知規則は対象外）。
新規対応が必要と見込まれる項目: ISO 27001 へのマッピングがない HIPAA の要件 (2)
| HIPAA | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには ISO 27001 へのマッピングがありません。 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには ISO 27001 へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (29)
| HIPAA | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | CSF PR.AT-01, PR.AT-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | CSF ID.RA-04, ID.RA-05 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… のみを共有: 関連はあるがマッピングではありません | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11… のみを共有: 関連はあるがマッピングではありません | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02… のみを共有: 関連はあるがマッピングではありません | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | CSF ID.AM-08, ID.IM-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | CSF ID.AM-07, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (38)
| HIPAA | 要件 | 一致 | ISO 27001 | 証跡 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | 対応表 | Clause 6.1.2Clause 6.1.3A.8.8+1 | 同じトピック： リスクアセスメント, 脆弱性管理 |
| §164.308(a)(1)(ii)(B) | Required Risk Management | 編集 | A.8.8Clause 6.1.1Clause 6.1.3+1 | 同じトピック： 脆弱性管理, リスクマネジメント (編集部のおすすめ) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | 編集 | A.6.1A.6.4A.8.16 | 同じトピック： 内部脅威 (編集部のおすすめ) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | 対応表 | A.5.25A.8.16 | 同じトピック： SIEM / SOC, 継続的モニタリング |
| §164.308(a)(2) | Assigned Security Responsibility | 対応表 | A.5.2A.5.4 | 同じトピック： 役割と責任 |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | 対応表 | A.6.1A.6.4A.8.16 | 同じトピック： 内部脅威 |
| §164.308(a)(4) | Information Access Management | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| §164.308(a)(5) | Security Awareness and Training | 対応表 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | 対応表 | A.6.3Clause 7.3 | 同じトピック： 意識向上とトレーニング |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | 編集 | A.8.1A.8.7A.8.19 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| §164.308(a)(6) | Security Incident Procedures | 対応表 | A.5.24A.5.25A.5.26 | 同じトピック： インシデント対応 |
| §164.308(a)(6)(ii) | Required Response and Reporting | 対応表 | A.5.5A.5.24A.5.25+2 | 同じトピック： 報告, インシデント対応 |
| §164.308(a)(7) | Contingency Plan | 対応表 | A.5.29A.5.30 | 同じトピック： 復旧計画 |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | 対応表 | A.8.13 | 同じトピック： バックアップと復旧 |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | 対応表 | A.5.29A.5.30A.8.14 | 同じトピック： 復旧計画, ディザスタリカバリ |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | 対応表 | A.5.29A.5.30A.8.14 | 同じトピック： 事業継続 |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | 編集 | A.5.30A.8.14 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| §164.308(a)(8) | Evaluation | 対応表 | A.8.8A.5.31A.5.36+1 | 同じトピック： 脆弱性管理, コンプライアンス |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 対応表 | A.5.19A.5.20A.5.22+1 | 同じトピック： ベンダーリスク管理 |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | 対応表 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | 編集 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | 対応表 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ |
| §164.310(b) | Workstation Use | 対応表 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ |
| §164.310(c) | Workstation Security | 対応表 | A.7.1A.7.2A.7.3+6 | 同じトピック： 物理的セキュリティ |
| §164.310(d) | Device and Media Controls | 対応表 | A.5.9A.5.11A.7.14+2 | 同じトピック： 資産管理 |
| §164.310(d)(2)(i) | Required Disposal | 編集 | A.5.14A.8.10A.8.11 | 同じトピック： データ保護 (編集部のおすすめ) |
| §164.310(d)(2)(iii) | Addressable Accountability | 対応表 | A.5.9A.5.11A.7.14 | 同じトピック： 資産管理 |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | 対応表 | A.8.13 | 同じトピック： バックアップと復旧 |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| §164.312(a)(2)(i) | Required Unique User Identification | 対応表 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | 対応表 | A.8.24 | 同じトピック： 暗号化 |
| §164.312(b) | Audit Controls | 対応表 | A.8.15A.8.17 | 同じトピック： ログ記録と監査 |
| §164.312(c) | Integrity | 対応表 | A.5.14A.8.10A.8.11 | 同じトピック： データ保護 |
| §164.312(d) | Person or Entity Authentication | 編集 | A.5.15A.5.16A.5.18+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| §164.312(e)(2)(ii) | Addressable Encryption | 対応表 | A.8.24 | 同じトピック： 暗号化 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 対応表 | A.5.19A.5.20A.5.22 | 同じトピック： ベンダーリスク管理 |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | 対応表 | A.5.1A.5.37Clause 5.2 | 同じトピック： ガバナンスポリシー |
| §164.316(b)(2)(iii) | Required Updates | 対応表 | A.5.1A.5.37Clause 5.2 | 同じトピック： ガバナンスポリシー |
ISO/IEC 27001:2022 の要件 123 件のうち、58 件は HIPAA の何らかの項目にマッピングされ、46 件は緩やかに関連するのみで、19 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: HIPAA へのマッピングがない ISO 27001 の要件 (19)
| ISO 27001 | 要件 | 一致 | HIPAA | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| A.8.28 | Secure coding | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| A.8.29 | Security testing in development and acceptance | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| A.8.31 | Separation of development, test and production environments | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 4.3 | Determining the scope of the ISMS | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 4.4 | Information security management system | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 5.1 | Leadership and commitment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 6.2 | Information security objectives and planning to achieve them | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 6.3 | Planning of changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 7.1 | Resources | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 7.5.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 7.5.2 | Creating and updating | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 7.5.3 | Control of documented information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 9.2.1 | General | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 9.2.2 | Internal audit programme | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| Clause 10.2 | Nonconformity and corrective action | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (46)
| ISO 27001 | 要件 | 一致 | HIPAA | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10… のみを共有: 関連はあるがマッピングではありません | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | CSF GV.OV-01, RS.CO-03 のみを共有: 関連はあるがマッピングではありません | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | CSF DE.AE-07, ID.RA-03, ID.RA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | CSF GV.OC-05, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | CSF ID.AM-05, ID.AM-08, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | CSF PR.AA-03, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | CSF GV.SC-03, GV.SC-09, GV.SC-10 のみを共有: 関連はあるがマッピングではありません | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03… のみを共有: 関連はあるがマッピングではありません | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01… のみを共有: 関連はあるがマッピングではありません | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10… のみを共有: 関連はあるがマッピングではありません | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10… のみを共有: 関連はあるがマッピングではありません | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | CSF GV.RR-04 のみを共有: 関連はあるがマッピングではありません | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | CSF PR.DS-01, PR.IR-02 のみを共有: 関連はあるがマッピングではありません | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | CSF ID.AM-08, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | CSF ID.AM-08, PR.IR-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10… のみを共有: 関連はあるがマッピングではありません | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | CSF PR.AA-01, PR.AA-03, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | CSF DE.CM-09 のみを共有: 関連はあるがマッピングではありません | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | CSF ID.AM-03, PR.IR-01, PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | CSF ID.AM-03, PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | CSF PR.IR-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.30 | Outsourced development | §164.308(a)(8) | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | CSF GV.OV-03, ID.RA-07 のみを共有: 関連はあるがマッピングではありません | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | CSF PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02… のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.2 | Competence | §164.308(a)(2) | CSF GV.RR-01, GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03 のみを共有: 関連はあるがマッピングではありません | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | CSF GV.SC-03, RC.RP-04 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | CSF ID.IM-02, PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | CSF ID.IM-02, PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | CSF ID.IM-02, PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (58)
| ISO 27001 | 要件 | 一致 | HIPAA | 証跡 |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | 対応表 | §164.316(a)§164.316(b)(2)(iii) | 同じトピック： ガバナンスポリシー |
| A.5.2 | Information security roles and responsibilities | 対応表 | §164.308(a)(2) | 同じトピック： 役割と責任 |
| A.5.4 | Management responsibilities | 対応表 | §164.308(a)(2) | 同じトピック： 役割と責任 |
| A.5.5 | Contact with authorities | 対応表 | §164.308(a)(6)(ii) | 同じトピック： 報告 |
| A.5.9 | Inventory of information and other associated assets | 対応表 | §164.310(d)§164.310(d)(2)(iii) | 同じトピック： 資産管理 |
| A.5.11 | Return of assets | 対応表 | §164.310(d)§164.310(d)(2)(iii) | 同じトピック： 資産管理 |
| A.5.14 | Information transfer | 対応表 | §164.312(c)§164.310(d)(2)(i) | 同じトピック： データ保護 |
| A.5.15 | Access control | 対応表 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 同じトピック： アクセス制御 |
| A.5.16 | Identity management | 対応表 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 同じトピック： アクセス制御 |
| A.5.18 | Access rights | 対応表 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 同じトピック： アクセス制御 |
| A.5.19 | Information security in supplier relationships | 対応表 | §164.308(b)(1)§164.314(a) | 同じトピック： ベンダーリスク管理 |
| A.5.20 | Addressing information security within supplier agreements | 対応表 | §164.308(b)(1)§164.314(a) | 同じトピック： ベンダーリスク管理 |
| A.5.22 | Monitoring, review and change management of supplier services | 対応表 | §164.308(b)(1)§164.314(a) | 同じトピック： ベンダーリスク管理 |
| A.5.23 | Information security for use of cloud services | 対応表 | §164.308(b)(1) | 同じトピック： クラウドセキュリティ |
| A.5.24 | Information security incident management planning and preparation | 対応表 | §164.308(a)(6)§164.308(a)(6)(ii) | 同じトピック： インシデント対応 |
| A.5.25 | Assessment and decision on information security events | 対応表 | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | 同じトピック： SIEM / SOC, インシデント対応 |
| A.5.26 | Response to information security incidents | 対応表 | §164.308(a)(6)§164.308(a)(6)(ii) | 同じトピック： インシデント対応, 緩和策 |
| A.5.29 | Information security during disruption | 対応表 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | 同じトピック： 復旧計画, 事業継続 |
| A.5.30 | ICT readiness for business continuity | 対応表 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | 同じトピック： 復旧計画, ディザスタリカバリ, 事業継続 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 編集 | §164.308(a)(8) | 同じトピック： コンプライアンス (編集部のおすすめ) |
| A.5.36 | Compliance with policies, rules and standards for information security | 編集 | §164.308(a)(8) | 同じトピック： コンプライアンス (編集部のおすすめ) |
| A.5.37 | Documented operating procedures | 対応表 | §164.316(a)§164.316(b)(2)(iii) | 同じトピック： ガバナンスポリシー |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | 対応表 | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 同じトピック： 内部脅威 |
| A.6.3 | Information security awareness, education and training | 対応表 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 同じトピック： 意識向上とトレーニング |
| A.6.4 | Disciplinary process | 対応表 | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 同じトピック： 内部脅威 |
| A.6.7 | Remote working | 編集 | §164.310(d) | 同じトピック： モバイルセキュリティ (編集部のおすすめ) |
| A.6.8 | Information security event reporting | 対応表 | §164.308(a)(6)(ii) | 同じトピック： 報告 |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.2 | Physical entry | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.3 | Securing offices, rooms and facilities | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.4 | Physical security monitoring | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.5 | Protecting against physical and environmental threats | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.6 | Working in secure areas | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.8 | Equipment siting and protection | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.11 | Supporting utilities | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.12 | Cabling security | 対応表 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 同じトピック： 物理的セキュリティ |
| A.7.14 | Secure disposal or re-use of equipment | 対応表 | §164.310(d)§164.310(d)(2)(iii) | 同じトピック： 資産管理 |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | 編集 | §164.308(a)(5)(ii)(B)§164.310(d) | 同じトピック： エンドポイント保護, モバイルセキュリティ (編集部のおすすめ) |
| A.8.3 | Information access restriction | 対応表 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 同じトピック： アクセス制御 |
| A.8.7 | Protection against malware | 編集 | §164.308(a)(5)(ii)(B) | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| A.8.8 | Management of technical vulnerabilities | 対応表 | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 同じトピック： 脆弱性管理 |
| A.8.10 | Information deletion | 対応表 | §164.312(c)§164.310(d)(2)(i) | 同じトピック： データ保護 |
| A.8.11 | Data masking | 対応表 | §164.312(c)§164.310(d)(2)(i) | 同じトピック： データ保護 |
| A.8.13 | Information backup | 対応表 | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | 同じトピック： バックアップと復旧 |
| A.8.14 | Redundancy of information processing facilities | 対応表 | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | 同じトピック： ディザスタリカバリ, 事業継続 |
| A.8.15 | Logging | 対応表 | §164.312(b) | 同じトピック： ログ記録と監査 |
| A.8.16 | Monitoring activities | 対応表 | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 同じトピック： 継続的モニタリング, SIEM / SOC, 内部脅威 |
| A.8.17 | Clock synchronization | 対応表 | §164.312(b) | 同じトピック： ログ記録と監査 |
| A.8.19 | Installation of software on operational systems | 編集 | §164.308(a)(5)(ii)(B) | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| A.8.24 | Use of cryptography | 対応表 | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | 同じトピック： 暗号化 |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | 対応表 | §164.316(a)§164.316(b)(2)(iii) | 同じトピック： ガバナンスポリシー |
| Clause 6.1.1 | General | 編集 | §164.308(a)(1)(ii)(B) | 同じトピック： リスクマネジメント (編集部のおすすめ) |
| Clause 6.1.2 | Information security risk assessment | 対応表 | §164.308(a)(1)(ii)(A) | 同じトピック： リスクアセスメント |
| Clause 6.1.3 | Information security risk treatment | 対応表 | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 同じトピック： リスクアセスメント, リスクマネジメント |
| Clause 7.3 | Awareness | 対応表 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 同じトピック： 意識向上とトレーニング |
| Clause 8.2 | Information security risk assessment | 編集 | §164.308(a)(1)(ii)(A) | ControlMapping編集部： HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | 編集 | §164.308(a)(1)(ii)(B) | ControlMapping編集部： HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 編集 | §164.308(a)(8) | 同じトピック： コンプライアンス (編集部のおすすめ) |
トピック別
両方でカバー（27）：
ガバナンスポリシー意識向上とトレーニングリスクマネジメント役割と責任コンプライアンス資産管理リスクアセスメント脆弱性管理アクセス制御暗号化データ保護バックアップと復旧エンドポイント保護モバイルセキュリティクラウドセキュリティ継続的モニタリングログ記録と監査SIEM / SOCインシデント対応緩和策報告復旧計画事業継続ディザスタリカバリ内部脅威ベンダーリスク管理物理的セキュリティ
ISO 27001 のみ（23）:
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.