フレームワーク
HIPAA Security Rule
概要
米国セキュリティ規則（45 CFR Part 164、Subpart C）：電子的保護対象医療情報に関する管理的、物理的、技術的な保護措置を、「必須（Required）」または「適用可能（Addressable）」と表示された基準および実装仕様として定めています。HHSは2025年1月に大幅な改正を提案しています。Addressableの区分に依拠する前に、その現状をご確認ください。
対象となる読者
対象事業者（医療保険者、医療情報清算機関、および電子的に取引を行う医療提供者）およびそのビジネスアソシエイト。
評価方法
認証制度はありません。HHSの公民権局（Office for Civil Rights）が、苦情、違反調査、監査を通じて本規則を執行します。文書化されたリスク分析が基礎となります。第三者による証明書は一般的な証拠として用いられますが、公式なものではありません。
69
規格・仕様
68
他のフレームワークにマッピング済み
54%
カバーしているトピック（27/50）
HIPAA セキュリティ規則のみを対象としています（プライバシー規則および違反通知規則は対象外）。
比較一覧
要件
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
| ID | 要件 | トピック | マッピング先: |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 13 件中 1 件 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | リスクアセスメント, 脆弱性管理 | 13 件中 13 件 |
| §164.308(a)(1)(ii)(B) | Risk Management | リスクマネジメント, 脆弱性管理 | 13 件中 13 件 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | 内部脅威 | 13 件中 8 件 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | 継続的モニタリング, SIEM / SOC | 13 件中 10 件 |
| §164.308(a)(2) | Assigned Security Responsibility | 役割と責任 | 13 件中 9 件 |
| §164.308(a)(3) | Workforce Security | — | 13 件中 1 件 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 13 件中 1 件 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | 内部脅威 | 13 件中 8 件 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 13 件中 1 件 |
| §164.308(a)(4) | Information Access Management | アクセス制御 | 13 件中 11 件 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 13 件中 1 件 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 13 件中 1 件 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 13 件中 1 件 |
| §164.308(a)(5) | Security Awareness and Training | 意識向上とトレーニング | 13 件中 10 件 |
| §164.308(a)(5)(ii)(A) | Security Reminders | 意識向上とトレーニング | 13 件中 10 件 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | エンドポイント保護 | 13 件中 10 件 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 13 件中 1 件 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 13 件中 1 件 |
| §164.308(a)(6) | Security Incident Procedures | インシデント対応 | 13 件中 12 件 |
| §164.308(a)(6)(ii) | Response and Reporting | インシデント対応, 緩和策, 報告 | 13 件中 12 件 |
| §164.308(a)(7) | Contingency Plan | 復旧計画 | 13 件中 9 件 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | バックアップと復旧 | 13 件中 11 件 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | 復旧計画, ディザスタリカバリ | 13 件中 10 件 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | 事業継続 | 13 件中 8 件 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | ディザスタリカバリ | 13 件中 10 件 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 13 件中 1 件 |
| §164.308(a)(8) | Evaluation | コンプライアンス, 脆弱性管理 | 13 件中 13 件 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | クラウドセキュリティ, ベンダーリスク管理 | 13 件中 12 件 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 13 件中 1 件 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | 物理的セキュリティ | 13 件中 8 件 |
| §164.310(a)(2)(i) | Contingency Operations | — | 13 件中 1 件 |
| §164.310(a)(2)(ii) | Facility Security Plan | 物理的セキュリティ | 13 件中 8 件 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | 物理的セキュリティ | 13 件中 8 件 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 13 件中 1 件 |
| §164.310(b) | Workstation Use | 物理的セキュリティ | 13 件中 8 件 |
| §164.310(c) | Workstation Security | 物理的セキュリティ | 13 件中 8 件 |
| §164.310(d) | Device and Media Controls | 資産管理, モバイルセキュリティ | 13 件中 13 件 |
| §164.310(d)(2)(i) | Disposal | データ保護 | 13 件中 11 件 |
| §164.310(d)(2)(ii) | Media Re-use | — | 13 件中 1 件 |
| §164.310(d)(2)(iii) | Accountability | 資産管理 | 13 件中 13 件 |
| §164.310(d)(2)(iv) | Data Backup and Storage | バックアップと復旧 | 13 件中 11 件 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | アクセス制御 | 13 件中 11 件 |
| §164.312(a)(2)(i) | Unique User Identification | アクセス制御 | 13 件中 11 件 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 13 件中 1 件 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 13 件中 1 件 |
| §164.312(a)(2)(iv) | Encryption and Decryption | 暗号化 | 13 件中 10 件 |
| §164.312(b) | Audit Controls | ログ記録と監査 | 13 件中 10 件 |
| §164.312(c) | Integrity | データ保護 | 13 件中 11 件 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 13 件中 1 件 |
| §164.312(d) | Person or Entity Authentication | アクセス制御 | 13 件中 11 件 |
| §164.312(e)(1) | Transmission Security | — | 13 件中 1 件 |
| §164.312(e)(2)(i) | Integrity Controls | — | 13 件中 1 件 |
| §164.312(e)(2)(ii) | Encryption | 暗号化 | 13 件中 10 件 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | ベンダーリスク管理 | 13 件中 10 件 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 13 件中 1 件 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 13 件中 1 件 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 13 件中 1 件 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | なし |
| §164.314(b) | Requirements for Group Health Plans | — | 13 件中 1 件 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 13 件中 1 件 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 13 件中 1 件 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 13 件中 1 件 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 13 件中 1 件 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | ガバナンスポリシー | 13 件中 9 件 |
| §164.316(b) | Documentation | — | 13 件中 1 件 |
| §164.316(b)(2)(i) | Time Limit | — | 13 件中 1 件 |
| §164.316(b)(2)(ii) | Availability | — | 13 件中 1 件 |
| §164.316(b)(2)(iii) | Updates | ガバナンスポリシー | 13 件中 9 件 |
トピックのカバレッジ
HIPAAのマッピング済み要件を持つトピック（27件）:
ガバナンスポリシー意識向上とトレーニングリスクマネジメント役割と責任コンプライアンス資産管理リスクアセスメント脆弱性管理アクセス制御暗号化データ保護バックアップと復旧エンドポイント保護モバイルセキュリティクラウドセキュリティ継続的モニタリングログ記録と監査SIEM / SOCインシデント対応緩和策報告復旧計画事業継続ディザスタリカバリ内部脅威ベンダーリスク管理物理的セキュリティ
当サイトのデータにはマッピングがありません HIPAA の要件なし（23）: