Сравнение
ISO 27001 и Правило безопасности HIPAA: СУИБ для ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · данные на 2026-10-27
ISO/IEC 27001 — это международная система менеджмента, по которой возможна сертификация; Правило безопасности HIPAA — это требование законодательства США о защите электронной защищаемой медицинской информации. Медицинские организации и их поставщики всё чаще используют СУИБ по ISO 27001 как инструмент для выполнения мер защиты HIPAA, особенно когда работают на международном уровне.
При переходе от ISO к HIPAA почти каждый стандарт и спецификация Правила безопасности either сопоставляются, либо косвенно связаны. Анализ и управление рисками, безопасность персонала, контроль доступа, аудиторские средства контроля, целостность, безопасность передачи, план обеспечения непрерывности и контроль доступа к объектам имеют соответствия в Приложении A. Остаётся в основном специфическое для HIPAA юридическое содержание, например условия договоров с деловыми партнёрами и повторное использование носителей.
При переходе от HIPAA к ISO добавить нужно больше. HIPAA не требует системы менеджмента, поэтому разделы ISO (область применения, руководство, цели, документированная информация, внутренний аудит, анализ со стороны руководства) являются новыми. Новыми являются и средства контроля безопасной разработки (жизненный цикл безопасной разработки, безопасное кодирование, тестирование безопасности), которые HIPAA напрямую не рассматривает.
Если вы проходите сертификацию по ISO 27001, явно включите ePHI в область применения СУИБ и обеспечьте прослеживаемость вашего анализа рисков HIPAA до оценки рисков по ISO.
Основные выводы
- ISO → HIPAA: добавьте соглашения с деловыми партнёрами и документацию, специфичную для HIPAA.
- HIPAA → ISO: постройте СУИБ на основе существующего анализа рисков; добавьте средства контроля безопасной разработки, если вы разрабатываете программное обеспечение.
- Сертификат ISO сам по себе не является доказательством соответствия HIPAA.
Есть ISO 27001 → нужен HIPAA
69 треб. сопоставлено: 38 · · 2 без сопоставления Открыть в представлении разрывов →Из 69 требований HIPAA Security Rule 38 сопоставлены с чем-либо в ISO 27001, 29 связаны лишь косвенно, а для 2 в наших данных нет сопоставления.
Охватывает только Правило безопасности HIPAA (не Правило о конфиденциальности и не Правило об уведомлении о нарушениях).
Вероятно, новая работа: требования HIPAA без сопоставления с ISO 27001 (2)
| HIPAA | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (29)
| HIPAA | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | Совпадает только CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | Совпадает только CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04: связь косвенная, это не сопоставление | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | Совпадает только CSF PR.AT-01, PR.AT-02: связь косвенная, это не сопоставление | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | Совпадает только CSF ID.RA-04, ID.RA-05: связь косвенная, это не сопоставление | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | Совпадает только CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: связь косвенная, это не сопоставление | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | Совпадает только CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…: связь косвенная, это не сопоставление | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | Совпадает только CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…: связь косвенная, это не сопоставление | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | Совпадает только CSF PR.DS-02: связь косвенная, это не сопоставление | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | Совпадает только CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: связь косвенная, это не сопоставление | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | Совпадает только CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: связь косвенная, это не сопоставление | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | Совпадает только CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: связь косвенная, это не сопоставление | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | Совпадает только CSF ID.AM-08, ID.IM-02: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Совпадает только CSF ID.AM-08, ID.IM-02: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Совпадает только CSF ID.AM-08, ID.IM-02: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | Совпадает только CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | Совпадает только CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…: связь косвенная, это не сопоставление | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | Совпадает только CSF ID.AM-08, ID.IM-02: связь косвенная, это не сопоставление | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | Совпадает только CSF ID.AM-07, ID.AM-08: связь косвенная, это не сопоставление | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | Совпадает только CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: связь косвенная, это не сопоставление | |
Сопоставлено (38)
| HIPAA | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Соответствия | Clause 6.1.2Clause 6.1.3A.8.8+1 | Та же тема: Оценка рисков, Управление уязвимостями |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Редакционные материалы | A.8.8Clause 6.1.1Clause 6.1.3+1 | Та же тема: Управление уязвимостями, Управление рисками (выбор редакции) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Редакционные материалы | A.6.1A.6.4A.8.16 | Та же тема: Внутренние угрозы (выбор редакции) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Соответствия | A.5.25A.8.16 | Та же тема: SIEM / SOC, Непрерывный мониторинг |
| §164.308(a)(2) | Assigned Security Responsibility | Соответствия | A.5.2A.5.4 | Та же тема: Роли и обязанности |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Соответствия | A.6.1A.6.4A.8.16 | Та же тема: Внутренние угрозы |
| §164.308(a)(4) | Information Access Management | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| §164.308(a)(5) | Security Awareness and Training | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Редакционные материалы | A.8.1A.8.7A.8.19 | Та же тема: Защита конечных точек (выбор редакции) |
| §164.308(a)(6) | Security Incident Procedures | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| §164.308(a)(6)(ii) | Required Response and Reporting | Соответствия | A.5.5A.5.24A.5.25+2 | Та же тема: Отчётность, Реагирование на инциденты |
| §164.308(a)(7) | Contingency Plan | Соответствия | A.5.29A.5.30 | Та же тема: Планирование восстановления |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Соответствия | A.5.29A.5.30A.8.14 | Та же тема: Планирование восстановления, Аварийное восстановление |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Соответствия | A.5.29A.5.30A.8.14 | Та же тема: Непрерывность бизнеса |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Редакционные материалы | A.5.30A.8.14 | Та же тема: Аварийное восстановление (выбор редакции) |
| §164.308(a)(8) | Evaluation | Соответствия | A.8.8A.5.31A.5.36+1 | Та же тема: Управление уязвимостями, Соответствие требованиям |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Соответствия | A.5.19A.5.20A.5.22+1 | Та же тема: Управление рисками поставщиков |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Редакционные материалы | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность (выбор редакции) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| §164.310(b) | Workstation Use | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| §164.310(c) | Workstation Security | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| §164.310(d) | Device and Media Controls | Соответствия | A.5.9A.5.11A.7.14+2 | Та же тема: Управление активами |
| §164.310(d)(2)(i) | Required Disposal | Редакционные материалы | A.5.14A.8.10A.8.11 | Та же тема: Защита данных (выбор редакции) |
| §164.310(d)(2)(iii) | Addressable Accountability | Соответствия | A.5.9A.5.11A.7.14 | Та же тема: Управление активами |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| §164.312(a)(2)(i) | Required Unique User Identification | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Соответствия | A.8.24 | Та же тема: Шифрование |
| §164.312(b) | Audit Controls | Соответствия | A.8.15A.8.17 | Та же тема: Логирование и аудит |
| §164.312(c) | Integrity | Соответствия | A.5.14A.8.10A.8.11 | Та же тема: Защита данных |
| §164.312(d) | Person or Entity Authentication | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| §164.312(e)(2)(ii) | Addressable Encryption | Соответствия | A.8.24 | Та же тема: Шифрование |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Соответствия | A.5.1A.5.37Clause 5.2 | Та же тема: Политика управления |
| §164.316(b)(2)(iii) | Required Updates | Соответствия | A.5.1A.5.37Clause 5.2 | Та же тема: Политика управления |
Есть HIPAA → нужен ISO 27001
123 треб. сопоставлено: 58 · · 19 без сопоставления Открыть в представлении разрывов →Из 123 требований ISO/IEC 27001:2022 58 сопоставлены с чем-либо в HIPAA, 46 связаны лишь косвенно, а для 19 в наших данных нет сопоставления.
Вероятно, новая работа: требования ISO 27001 без сопоставления с HIPAA (19)
| ISO 27001 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| A.8.28 | Secure coding | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| A.8.29 | Security testing in development and acceptance | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| A.8.31 | Separation of development, test and production environments | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 4.3 | Determining the scope of the ISMS | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 4.4 | Information security management system | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 5.1 | Leadership and commitment | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 6.2 | Information security objectives and planning to achieve them | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 6.3 | Planning of changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 7.1 | Resources | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 7.5.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 7.5.2 | Creating and updating | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 7.5.3 | Control of documented information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 9.2.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 9.2.2 | Internal audit programme | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Clause 10.2 | Nonconformity and corrective action | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (46)
| ISO 27001 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Совпадает только CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: связь косвенная, это не сопоставление | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | Совпадает только CSF GV.OV-01, RS.CO-03: связь косвенная, это не сопоставление | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | Совпадает только CSF DE.AE-07, ID.RA-03, ID.RA-05: связь косвенная, это не сопоставление | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | Совпадает только CSF GV.OC-05, ID.AM-08: связь косвенная, это не сопоставление | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | Совпадает только CSF ID.AM-05, ID.AM-08, PR.DS-01: связь косвенная, это не сопоставление | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Совпадает только CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | Совпадает только CSF PR.AA-03, PR.AA-05: связь косвенная, это не сопоставление | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | Совпадает только CSF GV.SC-03, GV.SC-09, GV.SC-10: связь косвенная, это не сопоставление | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | Совпадает только CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…: связь косвенная, это не сопоставление | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | Совпадает только CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…: связь косвенная, это не сопоставление | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Совпадает только CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: связь косвенная, это не сопоставление | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Совпадает только CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: связь косвенная, это не сопоставление | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | Совпадает только CSF GV.RR-04: связь косвенная, это не сопоставление | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Совпадает только CSF PR.DS-01, PR.IR-02: связь косвенная, это не сопоставление | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | Совпадает только CSF ID.AM-08, PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | Совпадает только CSF ID.AM-08, PR.IR-02: связь косвенная, это не сопоставление | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | Совпадает только CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: связь косвенная, это не сопоставление | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | Совпадает только CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | Совпадает только CSF PR.AA-01, PR.AA-03, PR.AA-05: связь косвенная, это не сопоставление | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Совпадает только CSF DE.CM-09: связь косвенная, это не сопоставление | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Совпадает только CSF ID.AM-03, PR.IR-01, PR.DS-02: связь косвенная, это не сопоставление | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Совпадает только CSF ID.AM-03, PR.IR-01: связь косвенная, это не сопоставление | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Совпадает только CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление | |
| A.8.30 | Outsourced development | §164.308(a)(8) | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | Совпадает только CSF GV.OV-03, ID.RA-07: связь косвенная, это не сопоставление | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | Совпадает только CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…: связь косвенная, это не сопоставление | |
| Clause 7.2 | Competence | §164.308(a)(2) | Совпадает только CSF GV.RR-01, GV.RR-02: связь косвенная, это не сопоставление | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | Совпадает только CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: связь косвенная, это не сопоставление | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | Совпадает только CSF GV.SC-03, RC.RP-04: связь косвенная, это не сопоставление | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Совпадает только CSF ID.IM-02, PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Совпадает только CSF ID.IM-02, PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Совпадает только CSF ID.IM-02, PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | Совпадает только CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06: связь косвенная, это не сопоставление | |
Сопоставлено (58)
| ISO 27001 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | Соответствия | §164.316(a)§164.316(b)(2)(iii) | Та же тема: Политика управления |
| A.5.2 | Information security roles and responsibilities | Соответствия | §164.308(a)(2) | Та же тема: Роли и обязанности |
| A.5.4 | Management responsibilities | Соответствия | §164.308(a)(2) | Та же тема: Роли и обязанности |
| A.5.5 | Contact with authorities | Соответствия | §164.308(a)(6)(ii) | Та же тема: Отчётность |
| A.5.9 | Inventory of information and other associated assets | Соответствия | §164.310(d)§164.310(d)(2)(iii) | Та же тема: Управление активами |
| A.5.11 | Return of assets | Соответствия | §164.310(d)§164.310(d)(2)(iii) | Та же тема: Управление активами |
| A.5.14 | Information transfer | Соответствия | §164.312(c)§164.310(d)(2)(i) | Та же тема: Защита данных |
| A.5.15 | Access control | Соответствия | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Та же тема: Контроль доступа |
| A.5.16 | Identity management | Соответствия | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Та же тема: Контроль доступа |
| A.5.18 | Access rights | Соответствия | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Та же тема: Контроль доступа |
| A.5.19 | Information security in supplier relationships | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| A.5.20 | Addressing information security within supplier agreements | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| A.5.22 | Monitoring, review and change management of supplier services | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| A.5.23 | Information security for use of cloud services | Соответствия | §164.308(b)(1) | Та же тема: Безопасность облачных сред |
| A.5.24 | Information security incident management planning and preparation | Соответствия | §164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: Реагирование на инциденты |
| A.5.25 | Assessment and decision on information security events | Соответствия | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: SIEM / SOC, Реагирование на инциденты |
| A.5.26 | Response to information security incidents | Соответствия | §164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: Реагирование на инциденты, Митигация |
| A.5.29 | Information security during disruption | Соответствия | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | Та же тема: Планирование восстановления, Непрерывность бизнеса |
| A.5.30 | ICT readiness for business continuity | Соответствия | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | Та же тема: Планирование восстановления, Аварийное восстановление, Непрерывность бизнеса |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Редакционные материалы | §164.308(a)(8) | Та же тема: Соответствие требованиям (выбор редакции) |
| A.5.36 | Compliance with policies, rules and standards for information security | Редакционные материалы | §164.308(a)(8) | Та же тема: Соответствие требованиям (выбор редакции) |
| A.5.37 | Documented operating procedures | Соответствия | §164.316(a)§164.316(b)(2)(iii) | Та же тема: Политика управления |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Соответствия | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Та же тема: Внутренние угрозы |
| A.6.3 | Information security awareness, education and training | Соответствия | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Та же тема: Осведомлённость и обучение |
| A.6.4 | Disciplinary process | Соответствия | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Та же тема: Внутренние угрозы |
| A.6.7 | Remote working | Редакционные материалы | §164.310(d) | Та же тема: Безопасность мобильных устройств (выбор редакции) |
| A.6.8 | Information security event reporting | Соответствия | §164.308(a)(6)(ii) | Та же тема: Отчётность |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.2 | Physical entry | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.3 | Securing offices, rooms and facilities | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.4 | Physical security monitoring | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.5 | Protecting against physical and environmental threats | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.6 | Working in secure areas | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.8 | Equipment siting and protection | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.11 | Supporting utilities | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.12 | Cabling security | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| A.7.14 | Secure disposal or re-use of equipment | Соответствия | §164.310(d)§164.310(d)(2)(iii) | Та же тема: Управление активами |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Редакционные материалы | §164.308(a)(5)(ii)(B)§164.310(d) | Та же тема: Защита конечных точек, Безопасность мобильных устройств (выбор редакции) |
| A.8.3 | Information access restriction | Соответствия | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Та же тема: Контроль доступа |
| A.8.7 | Protection against malware | Редакционные материалы | §164.308(a)(5)(ii)(B) | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.8 | Management of technical vulnerabilities | Соответствия | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Та же тема: Управление уязвимостями |
| A.8.10 | Information deletion | Соответствия | §164.312(c)§164.310(d)(2)(i) | Та же тема: Защита данных |
| A.8.11 | Data masking | Соответствия | §164.312(c)§164.310(d)(2)(i) | Та же тема: Защита данных |
| A.8.13 | Information backup | Соответствия | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Та же тема: Резервное копирование и восстановление |
| A.8.14 | Redundancy of information processing facilities | Соответствия | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Та же тема: Аварийное восстановление, Непрерывность бизнеса |
| A.8.15 | Logging | Соответствия | §164.312(b) | Та же тема: Логирование и аудит |
| A.8.16 | Monitoring activities | Соответствия | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Та же тема: Непрерывный мониторинг, SIEM / SOC, Внутренние угрозы |
| A.8.17 | Clock synchronization | Соответствия | §164.312(b) | Та же тема: Логирование и аудит |
| A.8.19 | Installation of software on operational systems | Редакционные материалы | §164.308(a)(5)(ii)(B) | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.24 | Use of cryptography | Соответствия | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Та же тема: Шифрование |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | Соответствия | §164.316(a)§164.316(b)(2)(iii) | Та же тема: Политика управления |
| Clause 6.1.1 | General | Редакционные материалы | §164.308(a)(1)(ii)(B) | Та же тема: Управление рисками (выбор редакции) |
| Clause 6.1.2 | Information security risk assessment | Соответствия | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков |
| Clause 6.1.3 | Information security risk treatment | Соответствия | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Та же тема: Оценка рисков, Управление рисками |
| Clause 7.3 | Awareness | Соответствия | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Та же тема: Осведомлённость и обучение |
| Clause 8.2 | Information security risk assessment | Редакционные материалы | §164.308(a)(1)(ii)(A) | Редакторское решение ControlMapping: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | Редакционные материалы | §164.308(a)(1)(ii)(B) | Редакторское решение ControlMapping: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Редакционные материалы | §164.308(a)(8) | Та же тема: Соответствие требованиям (выбор редакции) |
По темам
Охватывают оба (27):
Политика управленияОсведомлённость и обучениеУправление рискамиРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковУправление уязвимостямиКонтроль доступаШифрованиеЗащита данныхРезервное копирование и восстановлениеЗащита конечных точекБезопасность мобильных устройствБезопасность облачных средНепрерывный мониторингЛогирование и аудитSIEM / SOCРеагирование на инцидентыМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаАварийное восстановлениеВнутренние угрозыУправление рисками поставщиковФизическая безопасность
Только ISO 27001 (23):
Управление рисками цепочки поставокБизнес-средаКлассификация данныхРазведка угрозМногофакторная аутентификацияПривилегированный доступМежсетевой экран / сегментация сетиУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность DNSWAFDLPОбнаружение вторженийОбнаружение аномалийКриминалистический анализКоммуникацияИзвлечённые урокиКоммуникации и восстановлениеБезопасность API
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.