Framework
HIPAA Security Rule
O que é
Regra de Segurança dos EUA (45 CFR Parte 164, Subparte C): salvaguardas administrativas, físicas e técnicas para informações eletrônicas de saúde protegidas, como padrões e especificações de implementação marcadas como Obrigatória ou Endereçável. O HHS propôs mudanças significativas em janeiro de 2025; verifique a situação dessas propostas antes de se basear na distinção entre Endereçável e Obrigatória.
Quem precisa
Entidades cobertas (planos de saúde, câmaras de compensação de serviços de saúde e prestadores que realizam transações eletronicamente) e seus associados de negócios.
Como é avaliado
Não há certificação. O Escritório de Direitos Civis do HHS (Office for Civil Rights) a aplica por meio de denúncias, investigações de violações e auditorias. Uma análise de riscos documentada é a base fundamental; atestações de terceiros são evidências comuns, mas não oficiais.
69
Normas e especificações
68
Mapeado para outro framework
54%
Tópicos cobertos (27/50)
Cobre apenas a Regra de Segurança da HIPAA (não as Regras de Privacidade ou de Notificação de Violação).
Comparações
Requisitos
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
| ID | Requisito | Tópicos | Mapeado em |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 de 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | Avaliação de riscos, Gestão de Vulnerabilidades | 13 de 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | Gestão de Riscos, Gestão de Vulnerabilidades | 13 de 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | Ameaça interna | 8 de 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | Monit. contínuo, SIEM / SOC | 10 de 13 |
| §164.308(a)(2) | Assigned Security Responsibility | Funções e responsabilidades | 9 de 13 |
| §164.308(a)(3) | Workforce Security | — | 1 de 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 de 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | Ameaça interna | 8 de 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 de 13 |
| §164.308(a)(4) | Information Access Management | Controle de acesso | 11 de 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 de 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 de 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 de 13 |
| §164.308(a)(5) | Security Awareness and Training | Conscientização e treinamento | 10 de 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | Conscientização e treinamento | 10 de 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | Proteção de endpoints | 10 de 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 de 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 de 13 |
| §164.308(a)(6) | Security Incident Procedures | Resposta a Incidentes | 12 de 13 |
| §164.308(a)(6)(ii) | Response and Reporting | Resposta a Incidentes, Mitigação, Notificação | 12 de 13 |
| §164.308(a)(7) | Contingency Plan | Planejamento de Recuperação | 9 de 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | Backup e recuperação | 11 de 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | Planejamento de Recuperação, Recuperação de desastres | 10 de 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | Continuidade de Negócios | 8 de 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | Recuperação de desastres | 10 de 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 de 13 |
| §164.308(a)(8) | Evaluation | Conformidade, Gestão de Vulnerabilidades | 13 de 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Segurança em Nuvem, Gestão de Risco de Fornecedores | 12 de 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 de 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | Segurança Física | 8 de 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 de 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | Segurança Física | 8 de 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | Segurança Física | 8 de 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 de 13 |
| §164.310(b) | Workstation Use | Segurança Física | 8 de 13 |
| §164.310(c) | Workstation Security | Segurança Física | 8 de 13 |
| §164.310(d) | Device and Media Controls | Gestão de Ativos, Segurança Móvel | 13 de 13 |
| §164.310(d)(2)(i) | Disposal | Proteção de Dados | 11 de 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 de 13 |
| §164.310(d)(2)(iii) | Accountability | Gestão de Ativos | 13 de 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | Backup e recuperação | 11 de 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | Controle de acesso | 11 de 13 |
| §164.312(a)(2)(i) | Unique User Identification | Controle de acesso | 11 de 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 de 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 de 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | Criptografia | 10 de 13 |
| §164.312(b) | Audit Controls | Registro e Auditoria | 10 de 13 |
| §164.312(c) | Integrity | Proteção de Dados | 11 de 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 de 13 |
| §164.312(d) | Person or Entity Authentication | Controle de acesso | 11 de 13 |
| §164.312(e)(1) | Transmission Security | — | 1 de 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 de 13 |
| §164.312(e)(2)(ii) | Encryption | Criptografia | 10 de 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Gestão de Risco de Fornecedores | 10 de 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 de 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 de 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 de 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | nenhum |
| §164.314(b) | Requirements for Group Health Plans | — | 1 de 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 de 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | Política de governança | 9 de 13 |
| §164.316(b) | Documentation | — | 1 de 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 de 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 de 13 |
| §164.316(b)(2)(iii) | Updates | Política de governança | 9 de 13 |
Cobertura do tópico
Tópicos com requisitos mapeados de HIPAA (27):
Política de governançaConscientização e treinamentoGestão de RiscosFunções e responsabilidadesConformidadeGestão de AtivosAvaliação de riscosGestão de VulnerabilidadesControle de acessoCriptografiaProteção de DadosBackup e recuperaçãoProteção de endpointsSegurança MóvelSegurança em NuvemMonit. contínuoRegistro e AuditoriaSIEM / SOCResposta a IncidentesMitigaçãoNotificaçãoPlanejamento de RecuperaçãoContinuidade de NegóciosRecuperação de desastresAmeaça internaGestão de Risco de FornecedoresSegurança Física
Sem mapeamento em nossos dados Nenhum requisito de HIPAA (23):
Risco na cadeia de suprimentosAmbiente de NegóciosClassificação de DadosInteligência de AmeaçasAutenticação multifatorAcesso privilegiadoFirewall / Segmentação de redeGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança de DNSWAFDLPDetecção de intrusãoDetecção de AnomaliasPerícia forenseComunicaçãoLições AprendidasComunicação e restauraçãoSegurança de APIs