Comparação
ISO 27001 vs. Regra de Segurança da HIPAA: um SGSI para ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · dados de 2026-10-27
A ISO/IEC 27001 é um sistema de gestão internacional e certificável; a Regra de Segurança da HIPAA é um requisito legal dos EUA para a proteção de informações eletrônicas de saúde protegidas (electronic protected health information). Organizações de saúde e seus fornecedores utilizam cada vez mais um SGSI baseado na ISO 27001 como forma de operacionalizar suas salvaguardas da HIPAA, especialmente quando atuam internacionalmente.
Ao partir da ISO para a HIPAA, quase todas as normas e especificações da Regra de Segurança estão mapeadas ou vagamente relacionadas. Análise e gestão de riscos, segurança da força de trabalho, controle de acesso, controles de auditoria, integridade, segurança na transmissão, planejamento de contingência e acesso às instalações têm todos equivalentes no Anexo A. O que resta é, em grande parte, conteúdo jurídico específico da HIPAA, como os termos de contratos com associados de negócios e a reutilização de mídias.
Ao partir da HIPAA para a ISO, há mais a acrescentar. A HIPAA não exige um sistema de gestão, por isso as cláusulas da ISO (escopo, liderança, objetivos, informações documentadas, auditoria interna e análise crítica pela direção) são novas. Também são novos os controles de desenvolvimento seguro (ciclo de vida de desenvolvimento seguro, codificação segura, testes de segurança), que a HIPAA não aborda diretamente.
Se você certifica na ISO 27001, inclua explicitamente as ePHI no escopo do SGSI e mantenha sua análise de riscos da HIPAA rastreável até a sua avaliação de riscos da ISO.
Principais conclusões
- ISO → HIPAA: acrescente acordos com associados de negócios e documentação específica da HIPAA.
- HIPAA → ISO: construa o SGSI em torno da sua análise de riscos existente; acrescente controles de desenvolvimento seguro se você desenvolve software.
- Um certificado ISO não é, por si só, evidência de conformidade com a HIPAA.
Descarregar esta comparação (CSV) Abrir em análise de lacunas →
Tem ISO 27001 → precisa de HIPAA
69 req. 38 mapeados · · 2 sem mapeamento Abrir na visão de lacunas →Dos 69 requisitos de HIPAA Security Rule, 38 mapeiam para algo em ISO 27001, 29 são apenas vagamente relacionados e 2 não têm mapeamento em nossos dados.
Cobre apenas a Regra de Segurança da HIPAA (não as Regras de Privacidade ou de Notificação de Violação).
Provável trabalho novo: requisitos de HIPAA sem mapeamento para ISO 27001 (2)
| HIPAA | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (29)
| HIPAA | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | Compartilha apenas CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…: relacionado, não um mapeamento | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | Compartilha apenas CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04: relacionado, não um mapeamento | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | Compartilha apenas CSF PR.AT-01, PR.AT-02: relacionado, não um mapeamento | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | Compartilha apenas CSF ID.RA-04, ID.RA-05: relacionado, não um mapeamento | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | Compartilha apenas CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, não um mapeamento | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | Compartilha apenas CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…: relacionado, não um mapeamento | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | Compartilha apenas CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…: relacionado, não um mapeamento | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | Compartilha apenas CSF PR.DS-02: relacionado, não um mapeamento | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | Compartilha apenas CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, não um mapeamento | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | Compartilha apenas CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, não um mapeamento | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | Compartilha apenas CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, não um mapeamento | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | Compartilha apenas CSF ID.AM-08, ID.IM-02: relacionado, não um mapeamento | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Compartilha apenas CSF ID.AM-08, ID.IM-02: relacionado, não um mapeamento | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Compartilha apenas CSF ID.AM-08, ID.IM-02: relacionado, não um mapeamento | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | Compartilha apenas CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: relacionado, não um mapeamento | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | Compartilha apenas CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…: relacionado, não um mapeamento | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | Compartilha apenas CSF ID.AM-08, ID.IM-02: relacionado, não um mapeamento | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | Compartilha apenas CSF ID.AM-07, ID.AM-08: relacionado, não um mapeamento | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | Compartilha apenas CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: relacionado, não um mapeamento | |
Mapeado (38)
| HIPAA | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Correspondência | Clause 6.1.2Clause 6.1.3A.8.8+1 | Mesmo tópico: Avaliação de riscos, Gestão de Vulnerabilidades |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Editorial | A.8.8Clause 6.1.1Clause 6.1.3+1 | Mesmo tópico: Gestão de Vulnerabilidades, Gestão de Riscos (escolha do editor) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Editorial | A.6.1A.6.4A.8.16 | Mesmo tópico: Ameaça interna (escolha do editor) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Correspondência | A.5.25A.8.16 | Mesmo tópico: SIEM / SOC, Monit. contínuo |
| §164.308(a)(2) | Assigned Security Responsibility | Correspondência | A.5.2A.5.4 | Mesmo tópico: Funções e responsabilidades |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Correspondência | A.6.1A.6.4A.8.16 | Mesmo tópico: Ameaça interna |
| §164.308(a)(4) | Information Access Management | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| §164.308(a)(5) | Security Awareness and Training | Correspondência | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Correspondência | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Editorial | A.8.1A.8.7A.8.19 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| §164.308(a)(6) | Security Incident Procedures | Correspondência | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes |
| §164.308(a)(6)(ii) | Required Response and Reporting | Correspondência | A.5.5A.5.24A.5.25+2 | Mesmo tópico: Notificação, Resposta a Incidentes |
| §164.308(a)(7) | Contingency Plan | Correspondência | A.5.29A.5.30 | Mesmo tópico: Planejamento de Recuperação |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Correspondência | A.8.13 | Mesmo tópico: Backup e recuperação |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Correspondência | A.5.29A.5.30A.8.14 | Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Correspondência | A.5.29A.5.30A.8.14 | Mesmo tópico: Continuidade de Negócios |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Editorial | A.5.30A.8.14 | Mesmo tópico: Recuperação de desastres (escolha do editor) |
| §164.308(a)(8) | Evaluation | Correspondência | A.8.8A.5.31A.5.36+1 | Mesmo tópico: Gestão de Vulnerabilidades, Conformidade |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Correspondência | A.5.19A.5.20A.5.22+1 | Mesmo tópico: Gestão de Risco de Fornecedores |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Correspondência | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Editorial | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física (escolha do editor) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Correspondência | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física |
| §164.310(b) | Workstation Use | Correspondência | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física |
| §164.310(c) | Workstation Security | Correspondência | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física |
| §164.310(d) | Device and Media Controls | Correspondência | A.5.9A.5.11A.7.14+2 | Mesmo tópico: Gestão de Ativos |
| §164.310(d)(2)(i) | Required Disposal | Editorial | A.5.14A.8.10A.8.11 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| §164.310(d)(2)(iii) | Addressable Accountability | Correspondência | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Correspondência | A.8.13 | Mesmo tópico: Backup e recuperação |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| §164.312(a)(2)(i) | Required Unique User Identification | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Correspondência | A.8.24 | Mesmo tópico: Criptografia |
| §164.312(b) | Audit Controls | Correspondência | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria |
| §164.312(c) | Integrity | Correspondência | A.5.14A.8.10A.8.11 | Mesmo tópico: Proteção de Dados |
| §164.312(d) | Person or Entity Authentication | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| §164.312(e)(2)(ii) | Addressable Encryption | Correspondência | A.8.24 | Mesmo tópico: Criptografia |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Correspondência | A.5.1A.5.37Clause 5.2 | Mesmo tópico: Política de governança |
| §164.316(b)(2)(iii) | Required Updates | Correspondência | A.5.1A.5.37Clause 5.2 | Mesmo tópico: Política de governança |
Tem HIPAA → precisa de ISO 27001
123 req. 58 mapeados · · 19 sem mapeamento Abrir na visão de lacunas →Dos 123 requisitos de ISO/IEC 27001:2022, 58 mapeiam para algo em HIPAA, 46 são apenas vagamente relacionados e 19 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de ISO 27001 sem mapeamento para HIPAA (19)
| ISO 27001 | Requisito | Correspondência | HIPAA | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| A.8.28 | Secure coding | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| A.8.29 | Security testing in development and acceptance | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| A.8.31 | Separation of development, test and production environments | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 4.3 | Determining the scope of the ISMS | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 4.4 | Information security management system | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 5.1 | Leadership and commitment | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 6.3 | Planning of changes | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 7.1 | Resources | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 7.5.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 7.5.2 | Creating and updating | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 7.5.3 | Control of documented information | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 9.2.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 9.2.2 | Internal audit programme | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
| Clause 10.2 | Nonconformity and corrective action | Sem mapeamento em nossos dados | — | Sem mapeamento para HIPAA em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (46)
| ISO 27001 | Requisito | Correspondência | HIPAA | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, não um mapeamento | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | Compartilha apenas CSF GV.OV-01, RS.CO-03: relacionado, não um mapeamento | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | Compartilha apenas CSF DE.AE-07, ID.RA-03, ID.RA-05: relacionado, não um mapeamento | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | Compartilha apenas CSF GV.OC-05, ID.AM-08: relacionado, não um mapeamento | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | Compartilha apenas CSF ID.AM-05, ID.AM-08, PR.DS-01: relacionado, não um mapeamento | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Compartilha apenas CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | Compartilha apenas CSF PR.AA-03, PR.AA-05: relacionado, não um mapeamento | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | Compartilha apenas CSF GV.SC-03, GV.SC-09, GV.SC-10: relacionado, não um mapeamento | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | Compartilha apenas CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…: relacionado, não um mapeamento | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | Compartilha apenas CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…: relacionado, não um mapeamento | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Compartilha apenas CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, não um mapeamento | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Compartilha apenas CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, não um mapeamento | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | Compartilha apenas CSF GV.RR-04: relacionado, não um mapeamento | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Compartilha apenas CSF PR.DS-01, PR.IR-02: relacionado, não um mapeamento | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | Compartilha apenas CSF ID.AM-08, PR.DS-01: relacionado, não um mapeamento | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | Compartilha apenas CSF ID.AM-08, PR.IR-02: relacionado, não um mapeamento | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, não um mapeamento | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | Compartilha apenas CSF PR.AA-01, PR.AA-03, PR.AA-05: relacionado, não um mapeamento | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Compartilha apenas CSF DE.CM-09: relacionado, não um mapeamento | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Compartilha apenas CSF ID.AM-03, PR.IR-01, PR.DS-02: relacionado, não um mapeamento | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Compartilha apenas CSF ID.AM-03, PR.IR-01: relacionado, não um mapeamento | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Compartilha apenas CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| A.8.30 | Outsourced development | §164.308(a)(8) | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | Compartilha apenas CSF GV.OV-03, ID.RA-07: relacionado, não um mapeamento | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | Compartilha apenas CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…: relacionado, não um mapeamento | |
| Clause 7.2 | Competence | §164.308(a)(2) | Compartilha apenas CSF GV.RR-01, GV.RR-02: relacionado, não um mapeamento | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | Compartilha apenas CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: relacionado, não um mapeamento | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | Compartilha apenas CSF GV.SC-03, RC.RP-04: relacionado, não um mapeamento | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Compartilha apenas CSF ID.IM-02, PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Compartilha apenas CSF ID.IM-02, PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Compartilha apenas CSF ID.IM-02, PR.PS-01: relacionado, não um mapeamento | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | Compartilha apenas CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06: relacionado, não um mapeamento | |
Mapeado (58)
| ISO 27001 | Requisito | Correspondência | HIPAA | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | Correspondência | §164.316(a)§164.316(b)(2)(iii) | Mesmo tópico: Política de governança |
| A.5.2 | Information security roles and responsibilities | Correspondência | §164.308(a)(2) | Mesmo tópico: Funções e responsabilidades |
| A.5.4 | Management responsibilities | Correspondência | §164.308(a)(2) | Mesmo tópico: Funções e responsabilidades |
| A.5.5 | Contact with authorities | Correspondência | §164.308(a)(6)(ii) | Mesmo tópico: Notificação |
| A.5.9 | Inventory of information and other associated assets | Correspondência | §164.310(d)§164.310(d)(2)(iii) | Mesmo tópico: Gestão de Ativos |
| A.5.11 | Return of assets | Correspondência | §164.310(d)§164.310(d)(2)(iii) | Mesmo tópico: Gestão de Ativos |
| A.5.14 | Information transfer | Correspondência | §164.312(c)§164.310(d)(2)(i) | Mesmo tópico: Proteção de Dados |
| A.5.15 | Access control | Correspondência | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mesmo tópico: Controle de acesso |
| A.5.16 | Identity management | Correspondência | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mesmo tópico: Controle de acesso |
| A.5.18 | Access rights | Correspondência | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mesmo tópico: Controle de acesso |
| A.5.19 | Information security in supplier relationships | Correspondência | §164.308(b)(1)§164.314(a) | Mesmo tópico: Gestão de Risco de Fornecedores |
| A.5.20 | Addressing information security within supplier agreements | Correspondência | §164.308(b)(1)§164.314(a) | Mesmo tópico: Gestão de Risco de Fornecedores |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondência | §164.308(b)(1)§164.314(a) | Mesmo tópico: Gestão de Risco de Fornecedores |
| A.5.23 | Information security for use of cloud services | Correspondência | §164.308(b)(1) | Mesmo tópico: Segurança em Nuvem |
| A.5.24 | Information security incident management planning and preparation | Correspondência | §164.308(a)(6)§164.308(a)(6)(ii) | Mesmo tópico: Resposta a Incidentes |
| A.5.25 | Assessment and decision on information security events | Correspondência | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Mesmo tópico: SIEM / SOC, Resposta a Incidentes |
| A.5.26 | Response to information security incidents | Correspondência | §164.308(a)(6)§164.308(a)(6)(ii) | Mesmo tópico: Resposta a Incidentes, Mitigação |
| A.5.29 | Information security during disruption | Correspondência | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | Mesmo tópico: Planejamento de Recuperação, Continuidade de Negócios |
| A.5.30 | ICT readiness for business continuity | Correspondência | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres, Continuidade de Negócios |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | §164.308(a)(8) | Mesmo tópico: Conformidade (escolha do editor) |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | §164.308(a)(8) | Mesmo tópico: Conformidade (escolha do editor) |
| A.5.37 | Documented operating procedures | Correspondência | §164.316(a)§164.316(b)(2)(iii) | Mesmo tópico: Política de governança |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Correspondência | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mesmo tópico: Ameaça interna |
| A.6.3 | Information security awareness, education and training | Correspondência | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mesmo tópico: Conscientização e treinamento |
| A.6.4 | Disciplinary process | Correspondência | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mesmo tópico: Ameaça interna |
| A.6.7 | Remote working | Editorial | §164.310(d) | Mesmo tópico: Segurança Móvel (escolha do editor) |
| A.6.8 | Information security event reporting | Correspondência | §164.308(a)(6)(ii) | Mesmo tópico: Notificação |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.2 | Physical entry | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.3 | Securing offices, rooms and facilities | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.4 | Physical security monitoring | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.5 | Protecting against physical and environmental threats | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.6 | Working in secure areas | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.8 | Equipment siting and protection | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.11 | Supporting utilities | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.12 | Cabling security | Correspondência | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Mesmo tópico: Segurança Física |
| A.7.14 | Secure disposal or re-use of equipment | Correspondência | §164.310(d)§164.310(d)(2)(iii) | Mesmo tópico: Gestão de Ativos |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Editorial | §164.308(a)(5)(ii)(B)§164.310(d) | Mesmo tópico: Proteção de endpoints, Segurança Móvel (escolha do editor) |
| A.8.3 | Information access restriction | Correspondência | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mesmo tópico: Controle de acesso |
| A.8.7 | Protection against malware | Editorial | §164.308(a)(5)(ii)(B) | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| A.8.8 | Management of technical vulnerabilities | Correspondência | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Mesmo tópico: Gestão de Vulnerabilidades |
| A.8.10 | Information deletion | Correspondência | §164.312(c)§164.310(d)(2)(i) | Mesmo tópico: Proteção de Dados |
| A.8.11 | Data masking | Correspondência | §164.312(c)§164.310(d)(2)(i) | Mesmo tópico: Proteção de Dados |
| A.8.13 | Information backup | Correspondência | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Mesmo tópico: Backup e recuperação |
| A.8.14 | Redundancy of information processing facilities | Correspondência | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Mesmo tópico: Recuperação de desastres, Continuidade de Negócios |
| A.8.15 | Logging | Correspondência | §164.312(b) | Mesmo tópico: Registro e Auditoria |
| A.8.16 | Monitoring activities | Correspondência | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Mesmo tópico: Monit. contínuo, SIEM / SOC, Ameaça interna |
| A.8.17 | Clock synchronization | Correspondência | §164.312(b) | Mesmo tópico: Registro e Auditoria |
| A.8.19 | Installation of software on operational systems | Editorial | §164.308(a)(5)(ii)(B) | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| A.8.24 | Use of cryptography | Correspondência | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Mesmo tópico: Criptografia |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | Correspondência | §164.316(a)§164.316(b)(2)(iii) | Mesmo tópico: Política de governança |
| Clause 6.1.1 | General | Editorial | §164.308(a)(1)(ii)(B) | Mesmo tópico: Gestão de Riscos (escolha do editor) |
| Clause 6.1.2 | Information security risk assessment | Correspondência | §164.308(a)(1)(ii)(A) | Mesmo tópico: Avaliação de riscos |
| Clause 6.1.3 | Information security risk treatment | Correspondência | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Mesmo tópico: Avaliação de riscos, Gestão de Riscos |
| Clause 7.3 | Awareness | Correspondência | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mesmo tópico: Conscientização e treinamento |
| Clause 8.2 | Information security risk assessment | Editorial | §164.308(a)(1)(ii)(A) | Análise editorial da ControlMapping: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | Editorial | §164.308(a)(1)(ii)(B) | Análise editorial da ControlMapping: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | §164.308(a)(8) | Mesmo tópico: Conformidade (escolha do editor) |
Por tópico
Ambos cobrem (27):
Política de governançaConscientização e treinamentoGestão de RiscosFunções e responsabilidadesConformidadeGestão de AtivosAvaliação de riscosGestão de VulnerabilidadesControle de acessoCriptografiaProteção de DadosBackup e recuperaçãoProteção de endpointsSegurança MóvelSegurança em NuvemMonit. contínuoRegistro e AuditoriaSIEM / SOCResposta a IncidentesMitigaçãoNotificaçãoPlanejamento de RecuperaçãoContinuidade de NegóciosRecuperação de desastresAmeaça internaGestão de Risco de FornecedoresSegurança Física
Apenas ISO 27001 (23):
Risco na cadeia de suprimentosAmbiente de NegóciosClassificação de DadosInteligência de AmeaçasAutenticação multifatorAcesso privilegiadoFirewall / Segmentação de redeGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança de DNSWAFDLPDetecção de intrusãoDetecção de AnomaliasPerícia forenseComunicaçãoLições AprendidasComunicação e restauraçãoSegurança de APIs
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.