프레임워크
HIPAA Security Rule
개요
미국 보안 규칙(45 CFR Part 164, Subpart C): 전자적 보호 대상 건강정보에 대한 관리적, 물리적, 기술적 보호조치로, '필수(Required)' 또는 '선택(Addressable)'으로 표시된 기준과 구현 명세로 구성됩니다. HHS는 2025년 1월 중대한 개정안을 제안했으므로, 선택(Addressable) 구분에 의존하기 전에 현재 상태를 확인하십시오.
필요한 대상
적용 대상 기관(건강보험 플랜, 의료 정보 중개업체(healthcare clearinghouse), 전자적으로 거래하는 의료 제공자)과 그 비즈니스 어소시에이트.
평가 방식
인증 제도는 없습니다. HHS 민권국(Office for Civil Rights)은 민원, 침해사고 조사, 감사를 통해 이 규칙을 집행합니다. 문서화된 위험 분석이 핵심이며, 제3자 인증 보고서는 흔히 사용되는 증빙이지만 공식 요건은 아닙니다.
69
표준 및 사양
68
다른 프레임워크에 매핑됨
54%
다루는 주제 (27/50)
HIPAA 보안 규칙(Security Rule)만 포괄합니다(프라이버시 규칙 및 위반 통지 규칙은 제외).
비교 자료
요구사항
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
| ID | 요구사항 | 주제 | 매핑 위치: |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 / 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | 위험 평가, 취약점 관리 | 13 / 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | 위험 관리, 취약점 관리 | 13 / 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | 내부자 위협 | 8 / 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | 지속적 모니터링, SIEM / SOC | 10 / 13 |
| §164.308(a)(2) | Assigned Security Responsibility | 역할 및 책임 | 9 / 13 |
| §164.308(a)(3) | Workforce Security | — | 1 / 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 / 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | 내부자 위협 | 8 / 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 / 13 |
| §164.308(a)(4) | Information Access Management | 접근 통제 | 11 / 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 / 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 / 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 / 13 |
| §164.308(a)(5) | Security Awareness and Training | 인식 제고 및 교육 | 10 / 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | 인식 제고 및 교육 | 10 / 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | 엔드포인트 보호 | 10 / 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 / 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 / 13 |
| §164.308(a)(6) | Security Incident Procedures | 사고 대응 | 12 / 13 |
| §164.308(a)(6)(ii) | Response and Reporting | 사고 대응, 완화, 보고 | 12 / 13 |
| §164.308(a)(7) | Contingency Plan | 복구 계획 수립 | 9 / 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | 백업 및 복구 | 11 / 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | 복구 계획 수립, 재해 복구 | 10 / 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | 비즈니스 연속성 | 8 / 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | 재해 복구 | 10 / 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 / 13 |
| §164.308(a)(8) | Evaluation | 컴플라이언스, 취약점 관리 | 13 / 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 클라우드 보안, 벤더 리스크 관리 | 12 / 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 / 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | 물리적 보안 | 8 / 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 / 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | 물리적 보안 | 8 / 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | 물리적 보안 | 8 / 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 / 13 |
| §164.310(b) | Workstation Use | 물리적 보안 | 8 / 13 |
| §164.310(c) | Workstation Security | 물리적 보안 | 8 / 13 |
| §164.310(d) | Device and Media Controls | 자산 관리, 모바일 보안 | 13 / 13 |
| §164.310(d)(2)(i) | Disposal | 데이터 보호 | 11 / 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 / 13 |
| §164.310(d)(2)(iii) | Accountability | 자산 관리 | 13 / 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | 백업 및 복구 | 11 / 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | 접근 통제 | 11 / 13 |
| §164.312(a)(2)(i) | Unique User Identification | 접근 통제 | 11 / 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 / 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 / 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | 암호화 | 10 / 13 |
| §164.312(b) | Audit Controls | 로깅 및 감사 | 10 / 13 |
| §164.312(c) | Integrity | 데이터 보호 | 11 / 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 / 13 |
| §164.312(d) | Person or Entity Authentication | 접근 통제 | 11 / 13 |
| §164.312(e)(1) | Transmission Security | — | 1 / 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 / 13 |
| §164.312(e)(2)(ii) | Encryption | 암호화 | 10 / 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 벤더 리스크 관리 | 10 / 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 / 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 / 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 / 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | 없음 |
| §164.314(b) | Requirements for Group Health Plans | — | 1 / 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 / 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 / 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 / 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 / 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | 거버넌스 정책 | 9 / 13 |
| §164.316(b) | Documentation | — | 1 / 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 / 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 / 13 |
| §164.316(b)(2)(iii) | Updates | 거버넌스 정책 | 9 / 13 |
주제 커버리지
HIPAA 요구사항과 매핑된 주제 (27개):
거버넌스 정책인식 제고 및 교육위험 관리역할 및 책임컴플라이언스자산 관리위험 평가취약점 관리접근 통제암호화데이터 보호백업 및 복구엔드포인트 보호모바일 보안클라우드 보안지속적 모니터링로깅 및 감사SIEM / SOC사고 대응완화보고복구 계획 수립비즈니스 연속성재해 복구내부자 위협벤더 리스크 관리물리적 보안
보유 데이터에 매핑 없음 HIPAA 요구사항 없음 (23):