Regra de Segurança da HIPAA sob a ótica do NIST CSF 2.0

A Regra de Segurança da HIPAA é curta e deliberadamente flexível: salvaguardas administrativas, físicas e técnicas para informações eletrônicas de saúde protegidas (ePHI), com padrões e especificações de implementação marcados como obrigatórios ou endereçáveis. O NIST CSF 2.0 é mais amplo. Equipes de segurança em saúde usam cada vez mais o CSF para conduzir seu programa e reportar aos conselhos, e então demonstram a conformidade com a HIPAA a partir dele. Até que ponto isso funciona?

O número principal

Dos 69 normas e especificações de HIPAA, 38 (55%) mapeiam para algo em NIST CSF 2.0, 29 são apenas vagamente relacionados e 2 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Quase todo requisito da Regra de Segurança corresponde a um resultado do CSF 2.0. Muitas dessas ligações vêm da própria correspondência do NIST entre a Regra de Segurança da HIPAA e o SP 800-53, que a ControlMapping segue até o CSF.

Por salvaguarda

seção HIPAA	Mapeado	Vagamente relacionado	Sem mapeamento
§164.308 Administrative safeguards	19 de 30	11	0
§164.310 Physical safeguards	9 de 12	2	1
§164.312 Technical safeguards	7 de 12	5	0
§164.314 Organizational requirements	1 de 10	8	1
§164.316 Policies and documentation	2 de 5	3	0

Tem NIST CSF 2.0, precisa de HIPAA. Requisito a requisito: abrir o relatório de lacunas →

Os dois que não se mapeiam

Os requisitos sem mapeamento em nossos dados são pontuais: a especificação sobre reutilização de mídia (remoção de ePHI antes que mídias eletrônicas sejam reutilizadas) e uma especificação sobre contratos com associados de negócios. Ambos têm lugares naturais em um programa maduro (procedimentos de destruição de dados e contratos com fornecedores), mas nenhum resultado do CSF os nomeia diretamente, e não acrescentamos vínculos editoriais para eles. Vale a pena incluí-los explicitamente no seu conjunto de controles da HIPAA.

O que o CSF acrescenta além da HIPAA

Dos 106 subcategorias de NIST CSF 2.0, 63 (59%) mapeiam para algo em HIPAA, 27 são apenas vagamente relacionados e 16 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

A direção inversa mostra o que um programa apenas da HIPAA deixa passar. Os resultados do CSF sem correspondência na HIPAA concentram-se na função Governar, que o CSF 2.0 acrescentou em 2024: contexto organizacional, estratégia e apetite de risco, gestão de riscos da cadeia de suprimentos como programa, e supervisão. A Regra de Segurança exige análise e gestão de riscos, mas diz pouco sobre como a organização define sua estratégia de risco ou gerencia sistematicamente o risco de terceiros. Adotar o CSF preenche essas lacunas.

Principais conclusões

• Um programa NIST CSF 2.0 se mapeia com quase todos os padrões e especificações de implementação da Regra de Segurança da HIPAA.
• As exceções são pontuais (reutilização de mídia e uma especificação de contrato com associado de negócios) e fáceis de incluir.
• O CSF acrescenta governança que a HIPAA não tem, especialmente estratégia de risco e gestão de riscos da cadeia de suprimentos.
• Mantenha a análise de riscos da HIPAA como um entregável documentado próprio, qualquer que seja o framework que você adote.

Usando o CSF para conduzir um programa HIPAA

1. Construa seus Perfis Atual e Alvo no CSF 2.0 e registre, para cada subcategoria, qual padrão da Regra de Segurança ela apoia.
2. Mantenha a análise de riscos da HIPAA (§164.308(a)(1)(ii)(A)) como um entregável documentado próprio. Ela é a pedra angular da Regra de Segurança e a primeira coisa que os investigadores do HHS solicitam.
3. Registre as decisões de obrigatório versus endereçável para cada especificação de implementação, com sua justificativa, até que as alterações propostas na norma sejam definidas.
4. Reporte à liderança em termos do CSF e a auditores e investigadores em termos da HIPAA, a partir do mesmo conjunto de controles.

O relatório de lacunas CSF 2.0 → HIPAA lista cada padrão e especificação com seus resultados do CSF, e a comparação entre NIST CSF e HIPAA cobre as duas direções. O texto da Regra de Segurança exibido neste site vem do NIST SP 800-66r2.

Perguntas

A conformidade com o NIST CSF satisfaz a HIPAA?

Nenhum framework 'satisfaz' a HIPAA por si só: o HHS aplica a própria Regra de Segurança. Mas um programa CSF 2.0 atende a quase todos os requisitos da Regra de Segurança, e o HHS aponta para a orientação do NIST (SP 800-66) para implementá-la.

A Regra de Segurança da HIPAA está mudando?

O HHS propôs mudanças significativas em janeiro de 2025, incluindo a remoção da distinção entre especificações obrigatórias e endereçáveis. Verifique o status atual antes de depender dessa distinção.

O HHS reconhece o NIST CSF para a HIPAA?

O HHS publica o NIST SP 800-66 como orientação para implementar a Regra de Segurança e já indicou que práticas de segurança reconhecidas, como o NIST Cybersecurity Framework, são relevantes quando considera a aplicação de sanções. Usar o CSF não substitui os próprios requisitos da Regra de Segurança, incluindo a análise de riscos documentada.