Сравнение
NIST CSF 2.0 и Правило безопасности HIPAA: использование CSF для выполнения требований HIPAA
NIST Cybersecurity Framework 2.0 · HIPAA Security Rule · данные на 2026-10-27
Правило безопасности HIPAA (45 CFR Part 164, Subpart C) требует, чтобы покрываемые организации и деловые партнёры защищали электронную защищаемую медицинскую информацию с помощью административных, физических и технических мер защиты. Некоторые спецификации реализации являются обязательными, а другие — адресуемыми. Контроль исполнения осуществляет Управление по гражданским правам (Office for Civil Rights), а центральное место занимает тщательный анализ рисков.
Собственное руководство NIST, SP 800-66 Rev 2, связывает Правило безопасности с мерами контроля NIST, а ControlMapping использует таблицу соответствий NIST «HIPAA → SP 800-53», чтобы связать каждое требование HIPAA с результатами CSF. При переходе от CSF к HIPAA почти каждый стандарт и каждая спецификация Правила безопасности сопоставлены или косвенно связаны: программа, построенная на CSF, выполняет большую часть того, что требует HIPAA.
Оставшиеся положения HIPAA представляют собой специфические обязательства, для которых нет чёткого результата CSF, например условия договоров с деловыми партнёрами и повторное использование носителей. Это скорее юридические и договорные требования, а не технические меры контроля.
При переходе от HIPAA к CSF CSF требует больше, чем HIPAA: результаты в области управления, такие как стратегия управления рисками, ожидания заинтересованных сторон и управление рисками цепочки поставок, проверка личности, разведка угроз и безопасная разработка программного обеспечения. HHS в январе 2025 года предложило существенные обновления Правила безопасности; перед тем как опираться на разделение на обязательные и адресуемые спецификации, проверьте действующую редакцию правила.
Основные выводы
- Начните с документально оформленного анализа рисков: именно на это требование HIPAA аудиторы и расследования OCR обращают наибольшее внимание.
- CSF → HIPAA: добавьте юридические элементы (соглашения с деловыми партнёрами, политики, хранение документации).
- HIPAA здесь означает только Правило безопасности, а не Правила конфиденциальности или уведомления о нарушениях.
Есть NIST CSF 2.0 → нужен HIPAA
69 треб. сопоставлено: 38 · · 2 без сопоставления Открыть в представлении разрывов →Из 69 требований HIPAA Security Rule 38 сопоставлены с чем-либо в NIST CSF 2.0, 29 связаны лишь косвенно, а для 2 в наших данных нет сопоставления.
Охватывает только Правило безопасности HIPAA (не Правило о конфиденциальности и не Правило об уведомлении о нарушениях).
Вероятно, новая работа: требования HIPAA без сопоставления с NIST CSF 2.0 (2)
| HIPAA | Требование | Совпадение | NIST CSF 2.0 | Доказательства |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (29)
| HIPAA | Требование | Совпадение | NIST CSF 2.0 | Доказательства |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | GV.OC-03GV.OV-01GV.PO-01+2 | Совпадает только CSF GV.OC-03, GV.OV-01, GV.PO-01: связь косвенная, это не сопоставление | |
| §164.308(a)(3) | Workforce Security | DE.CM-01DE.CM-03GV.OC-03+5 | Совпадает только CSF DE.CM-01, DE.CM-03, GV.OC-03: связь косвенная, это не сопоставление | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | DE.CM-01DE.CM-03DE.CM-06+5 | Совпадает только CSF DE.CM-01, DE.CM-03, DE.CM-06: связь косвенная, это не сопоставление | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | GV.OC-03GV.OV-01GV.PO-01+3 | Совпадает только CSF GV.OC-03, GV.OV-01, GV.PO-01: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | ID.AM-03PR.AA-05PR.DS-01+2 | Совпадает только CSF ID.AM-03, PR.AA-05, PR.DS-01: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | DE.CM-01DE.CM-03DE.CM-06+5 | Совпадает только CSF DE.CM-01, DE.CM-03, DE.CM-06: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | DE.CM-01DE.CM-03GV.OC-03+5 | Совпадает только CSF DE.CM-01, DE.CM-03, GV.OC-03: связь косвенная, это не сопоставление | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | DE.AE-02DE.AE-03PR.AT-01+2 | Совпадает только CSF DE.AE-02, DE.AE-03, PR.AT-01: связь косвенная, это не сопоставление | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | PR.AT-01PR.AT-02 | Совпадает только CSF PR.AT-01, PR.AT-02: связь косвенная, это не сопоставление | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | GV.OC-04ID.AM-05ID.RA-04+4 | Совпадает только CSF GV.OC-04, ID.AM-05, ID.RA-04: связь косвенная, это не сопоставление | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | DE.CM-06GV.OC-05GV.SC-04+5 | Совпадает только CSF DE.CM-06, GV.OC-05, GV.SC-04: связь косвенная, это не сопоставление | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | DE.CM-02GV.OC-04PR.AA-06+5 | Совпадает только CSF DE.CM-02, GV.OC-04, PR.AA-06: связь косвенная, это не сопоставление | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | GV.OC-03GV.OV-01GV.PO-01+3 | Совпадает только CSF GV.OC-03, GV.OV-01, GV.PO-01: связь косвенная, это не сопоставление | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | DE.CM-01DE.CM-03GV.OC-04+5 | Совпадает только CSF DE.CM-01, DE.CM-03, GV.OC-04: связь косвенная, это не сопоставление | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | PR.AA-03 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | DE.CM-09ID.RA-09PR.DS-01+3 | Совпадает только CSF DE.CM-09, ID.RA-09, PR.DS-01: связь косвенная, это не сопоставление | |
| §164.312(e)(1) | Transmission Security | PR.DS-02 | Совпадает только CSF PR.DS-02: связь косвенная, это не сопоставление | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | DE.CM-09ID.RA-09PR.DS-01+3 | Совпадает только CSF DE.CM-09, ID.RA-09, PR.DS-01: связь косвенная, это не сопоставление | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | DE.CM-06GV.OC-05GV.RR-04+5 | Совпадает только CSF DE.CM-06, GV.OC-05, GV.RR-04: связь косвенная, это не сопоставление | |
| §164.314(a)(2)(ii) | Required Other Arrangements | DE.CM-06GV.OC-05GV.RR-04+5 | Совпадает только CSF DE.CM-06, GV.OC-05, GV.RR-04: связь косвенная, это не сопоставление | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | DE.CM-06GV.OC-05GV.RR-04+5 | Совпадает только CSF DE.CM-06, GV.OC-05, GV.RR-04: связь косвенная, это не сопоставление | |
| §164.314(b) | Requirements for Group Health Plans | ID.AM-03ID.AM-08 | Совпадает только CSF ID.AM-03, ID.AM-08: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | Совпадает только CSF ID.AM-03, ID.AM-08: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | Совпадает только CSF ID.AM-03, ID.AM-08: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | DE.CM-06GV.OC-05GV.SC-04+5 | Совпадает только CSF DE.CM-06, GV.OC-05, GV.SC-04: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | RC.CO-03RS.AN-06RS.AN-07+5 | Совпадает только CSF RC.CO-03, RS.AN-06, RS.AN-07: связь косвенная, это не сопоставление | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | ID.AM-03ID.AM-08ID.RA-01 | Совпадает только CSF ID.AM-03, ID.AM-08, ID.RA-01: связь косвенная, это не сопоставление | |
| §164.316(b)(2)(i) | Required Time Limit | ID.AM-07ID.AM-08 | Совпадает только CSF ID.AM-07, ID.AM-08: связь косвенная, это не сопоставление | |
| §164.316(b)(2)(ii) | Required Availability | GV.OC-03GV.OV-01GV.PO-01+5 | Совпадает только CSF GV.OC-03, GV.OV-01, GV.PO-01: связь косвенная, это не сопоставление | |
Сопоставлено (38)
| HIPAA | Требование | Совпадение | NIST CSF 2.0 | Доказательства |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Соответствия | ID.RA-03ID.RA-04ID.RA-05+3 | Та же тема: Оценка рисков |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Редакционные материалы | GV.RM-01GV.RM-02GV.RM-03+3 | Та же тема: Управление рисками (выбор редакции) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Редакционные материалы | DE.CM-03GV.RR-04 | Та же тема: Внутренние угрозы (выбор редакции) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Соответствия | DE.AE-03DE.AE-06DE.AE-08+3 | Та же тема: SIEM / SOC |
| §164.308(a)(2) | Assigned Security Responsibility | Соответствия | GV.RR-01GV.RR-02GV.RR-03 | Та же тема: Роли и обязанности |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Соответствия | DE.CM-03GV.RR-04 | Та же тема: Внутренние угрозы |
| §164.308(a)(4) | Information Access Management | Соответствия | PR.AA-01PR.AA-05 | Та же тема: Контроль доступа |
| §164.308(a)(5) | Security Awareness and Training | Соответствия | PR.AT-01PR.AT-02 | Та же тема: Осведомлённость и обучение |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Соответствия | PR.AT-01PR.AT-02 | Та же тема: Осведомлённость и обучение |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Редакционные материалы | DE.CM-09PR.PS-05 | Та же тема: Защита конечных точек (выбор редакции) |
| §164.308(a)(6) | Security Incident Procedures | Соответствия | ID.IM-04RS.MA-01RS.MA-02+2 | Та же тема: Реагирование на инциденты |
| §164.308(a)(6)(ii) | Required Response and Reporting | Соответствия | ID.IM-04RS.CO-02RS.MA-01+5 | Та же тема: Реагирование на инциденты, Отчётность |
| §164.308(a)(7) | Contingency Plan | Соответствия | ID.IM-04RC.RP-01RC.RP-02 | Та же тема: Планирование восстановления |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Соответствия | PR.DS-11RC.RP-03 | Та же тема: Резервное копирование и восстановление |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Соответствия | ID.IM-04PR.IR-03RC.RP-01+2 | Та же тема: Планирование восстановления, Аварийное восстановление |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Соответствия | GV.OC-04PR.IR-03RC.RP-04 | Та же тема: Непрерывность бизнеса |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Редакционные материалы | PR.IR-03RC.RP-02RC.RP-05 | Та же тема: Аварийное восстановление (выбор редакции) |
| §164.308(a)(8) | Evaluation | Соответствия | ID.RA-01ID.RA-08GV.OC-03+1 | Та же тема: Управление уязвимостями, Соответствие требованиям |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Соответствия | DE.CM-06GV.SC-04GV.SC-06+5 | Та же тема: Управление рисками поставщиков |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Редакционные материалы | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность (выбор редакции) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| §164.310(b) | Workstation Use | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| §164.310(c) | Workstation Security | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| §164.310(d) | Device and Media Controls | Соответствия | ID.AM-01ID.AM-02ID.AM-04+3 | Та же тема: Управление активами |
| §164.310(d)(2)(i) | Required Disposal | Редакционные материалы | PR.DS-01PR.DS-02PR.DS-10 | Та же тема: Защита данных (выбор редакции) |
| §164.310(d)(2)(iii) | Addressable Accountability | Соответствия | ID.AM-01ID.AM-02ID.AM-04+1 | Та же тема: Управление активами |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Соответствия | PR.DS-11RC.RP-03 | Та же тема: Резервное копирование и восстановление |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Соответствия | PR.AA-01PR.AA-05 | Та же тема: Контроль доступа |
| §164.312(a)(2)(i) | Required Unique User Identification | Соответствия | PR.AA-01PR.AA-05 | Та же тема: Контроль доступа |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Соответствия | PR.DS-01PR.DS-02 | Та же тема: Шифрование |
| §164.312(b) | Audit Controls | Соответствия | DE.AE-03PR.PS-04 | Та же тема: Логирование и аудит |
| §164.312(c) | Integrity | Соответствия | PR.DS-01PR.DS-02PR.DS-10 | Та же тема: Защита данных |
| §164.312(d) | Person or Entity Authentication | Редакционные материалы | PR.AA-01PR.AA-05 | Та же тема: Контроль доступа (выбор редакции) |
| §164.312(e)(2)(ii) | Addressable Encryption | Соответствия | PR.DS-01PR.DS-02 | Та же тема: Шифрование |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Соответствия | DE.CM-06GV.SC-04GV.SC-06+2 | Та же тема: Управление рисками поставщиков |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Соответствия | GV.PO-01GV.PO-02 | Та же тема: Политика управления |
| §164.316(b)(2)(iii) | Required Updates | Соответствия | GV.PO-01GV.PO-02 | Та же тема: Политика управления |
Есть HIPAA → нужен NIST CSF 2.0
106 треб. сопоставлено: 63 · · 16 без сопоставления Открыть в представлении разрывов →Из 106 требований NIST Cybersecurity Framework 2.0 63 сопоставлены с чем-либо в HIPAA, 27 связаны лишь косвенно, а для 16 в наших данных нет сопоставления.
Вероятно, новая работа: требования NIST CSF 2.0 без сопоставления с HIPAA (16)
| NIST CSF 2.0 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Govern (GV) · 7 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Identify (ID) · 4 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| Protect (PR) · 4 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (27)
| NIST CSF 2.0 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| Detect (DE) · 2 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(C)§164.308(a)(6)+3 | Совпадает только CSF DE.AE-02: связь косвенная, это не сопоставление | |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | Совпадает только CSF DE.AE-07: связь косвенная, это не сопоставление | |
| Govern (GV) · 8 | ||||
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | Совпадает только CSF GV.OC-05: связь косвенная, это не сопоставление | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Совпадает только CSF GV.OV-01: связь косвенная, это не сопоставление | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | Совпадает только CSF GV.RM-07: связь косвенная, это не сопоставление | |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)+5 | Совпадает только CSF GV.SC-03: связь косвенная, это не сопоставление | |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | Совпадает только CSF GV.SC-05: связь косвенная, это не сопоставление | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | §164.308(a)(6)§164.308(a)(7)§164.308(b)(1)+5 | Совпадает только CSF GV.SC-08: связь косвенная, это не сопоставление | |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | Совпадает только CSF GV.SC-09: связь косвенная, это не сопоставление | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | Совпадает только CSF GV.SC-10: связь косвенная, это не сопоставление | |
| Identify (ID) · 5 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | §164.308(a)(1)(ii)(B)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)+5 | Совпадает только CSF ID.AM-03: связь косвенная, это не сопоставление | |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+1 | Совпадает только CSF ID.AM-05: связь косвенная, это не сопоставление | |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | §164.316(b)(2)(i) | Совпадает только CSF ID.AM-07: связь косвенная, это не сопоставление | |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | §164.308(a)(1)(ii)(D)§164.308(a)(8) | Совпадает только CSF ID.RA-07: связь косвенная, это не сопоставление | |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | §164.308(b)(4)§164.312(c)§164.312(c)(2)+4 | Совпадает только CSF ID.RA-09: связь косвенная, это не сопоставление | |
| Protect (PR) · 3 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)+1 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.310(a)(2)(i) | Совпадает только CSF PR.IR-04: связь косвенная, это не сопоставление | |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | Совпадает только CSF PR.PS-02: связь косвенная, это не сопоставление | |
| Recover (RC) · 3 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | Совпадает только CSF RC.CO-03: связь косвенная, это не сопоставление | |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+5 | Совпадает только CSF RC.CO-04: связь косвенная, это не сопоставление | |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | §164.308(a)(6)§164.308(a)(6)(ii) | Совпадает только CSF RC.RP-06: связь косвенная, это не сопоставление | |
| Respond (RS) · 6 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+1 | Совпадает только CSF RS.AN-03: связь косвенная, это не сопоставление | |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | Совпадает только CSF RS.AN-06: связь косвенная, это не сопоставление | |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | Совпадает только CSF RS.AN-07: связь косвенная, это не сопоставление | |
| RS.AN-08 | An incident's magnitude is estimated and validated | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(6)+2 | Совпадает только CSF RS.AN-08: связь косвенная, это не сопоставление | |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | Совпадает только CSF RS.CO-03: связь косвенная, это не сопоставление | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | §164.308(a)(6)§164.308(a)(6)(ii) | Совпадает только CSF RS.MA-05: связь косвенная, это не сопоставление | |
Сопоставлено (63)
| NIST CSF 2.0 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-03 | Information is correlated from multiple sources | Соответствия | §164.308(a)(1)(ii)(D)§164.312(b) | Та же тема: SIEM / SOC, Логирование и аудит |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Соответствия | §164.308(a)(1)(ii)(D) | Та же тема: SIEM / SOC |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Соответствия | §164.308(a)(1)(ii)(D) | Та же тема: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Соответствия | §164.308(a)(1)(ii)(D) | Та же тема: Непрерывный мониторинг |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Соответствия | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Та же тема: Непрерывный мониторинг, Внутренние угрозы |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Соответствия | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(B) | Та же тема: Непрерывный мониторинг, Защита конечных точек |
| Govern (GV) · 16 | ||||
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Редакционные материалы | §164.308(a)(8) | Та же тема: Соответствие требованиям (выбор редакции) |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Соответствия | §164.308(a)(7)(ii)(C) | Та же тема: Непрерывность бизнеса |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Редакционные материалы | §164.308(a)(8) | Та же тема: Соответствие требованиям (выбор редакции) |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Соответствия | §164.316(a)§164.316(b)(2)(iii) | Та же тема: Политика управления |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Соответствия | §164.316(a)§164.316(b)(2)(iii) | Та же тема: Политика управления |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Редакционные материалы | §164.308(a)(1)(ii)(B) | Та же тема: Управление рисками (выбор редакции) |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Редакционные материалы | §164.308(a)(1)(ii)(B) | Та же тема: Управление рисками (выбор редакции) |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Редакционные материалы | §164.308(a)(1)(ii)(B) | Та же тема: Управление рисками (выбор редакции) |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Редакционные материалы | §164.308(a)(1)(ii)(B) | Та же тема: Управление рисками (выбор редакции) |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Соответствия | §164.308(a)(2) | Та же тема: Роли и обязанности |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Соответствия | §164.308(a)(2) | Та же тема: Роли и обязанности |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Соответствия | §164.308(a)(2) | Та же тема: Роли и обязанности |
| GV.RR-04 | Cybersecurity is included in human resources practices | Соответствия | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Та же тема: Внутренние угрозы |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| Identify (ID) · 12 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Соответствия | §164.310(d)§164.310(d)(2)(iii) | Та же тема: Управление активами |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Соответствия | §164.310(d)§164.310(d)(2)(iii) | Та же тема: Управление активами |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Соответствия | §164.308(b)(1)§164.310(d)§164.310(d)(2)(iii) | Та же тема: Безопасность облачных сред, Управление активами |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Соответствия | §164.310(d)§164.310(d)(2)(iii) | Та же тема: Управление активами |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Соответствия | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+1 | Та же тема: Реагирование на инциденты, Планирование восстановления |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Соответствия | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Та же тема: Управление уязвимостями |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Соответствия | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Соответствия | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Соответствия | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Соответствия | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Соответствия | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Та же тема: Управление уязвимостями |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Соответствия | §164.308(b)(1)§164.314(a) | Та же тема: Управление рисками поставщиков |
| Protect (PR) · 15 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Соответствия | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Та же тема: Контроль доступа |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Соответствия | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+2 | Та же тема: Контроль доступа |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Соответствия | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Та же тема: Осведомлённость и обучение |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Соответствия | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Та же тема: Осведомлённость и обучение |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Соответствия | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | Та же тема: Шифрование, Защита данных |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Соответствия | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | Та же тема: Шифрование, Защита данных |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Соответствия | §164.312(c)§164.310(d)(2)(i) | Та же тема: Защита данных |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Соответствия | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Та же тема: Резервное копирование и восстановление |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Соответствия | §164.308(b)(1) | Та же тема: Безопасность облачных сред |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Соответствия | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Та же тема: Физическая безопасность |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Соответствия | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Та же тема: Аварийное восстановление, Непрерывность бизнеса |
| PR.PS-01 | Configuration management practices are established and applied | Соответствия | §164.308(b)(1)§164.310(d) | Та же тема: Безопасность облачных сред, Безопасность мобильных устройств |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Соответствия | §164.312(b) | Та же тема: Логирование и аудит |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Редакционные материалы | §164.308(a)(5)(ii)(B) | Та же тема: Защита конечных точек (выбор редакции) |
| Recover (RC) · 5 | ||||
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Соответствия | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Та же тема: Планирование восстановления |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Соответствия | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Та же тема: Планирование восстановления, Аварийное восстановление |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Соответствия | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Та же тема: Резервное копирование и восстановление |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Соответствия | §164.308(a)(7)(ii)(C) | Та же тема: Непрерывность бизнеса |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Соответствия | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Та же тема: Аварийное восстановление |
| Respond (RS) · 7 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Соответствия | §164.308(a)(6)(ii) | Та же тема: Отчётность |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Соответствия | §164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: Реагирование на инциденты |
| RS.MA-02 | Incident reports are triaged and validated | Соответствия | §164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: Реагирование на инциденты |
| RS.MA-03 | Incidents are categorized and prioritized | Соответствия | §164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: Реагирование на инциденты |
| RS.MA-04 | Incidents are escalated or elevated as needed | Соответствия | §164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: Реагирование на инциденты |
| RS.MI-01 | Incidents are contained | Соответствия | §164.308(a)(6)(ii) | Та же тема: Митигация |
| RS.MI-02 | Incidents are eradicated | Соответствия | §164.308(a)(6)(ii) | Та же тема: Митигация |
По темам
Охватывают оба (27):
Политика управленияОсведомлённость и обучениеУправление рискамиРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковУправление уязвимостямиКонтроль доступаШифрованиеЗащита данныхРезервное копирование и восстановлениеЗащита конечных точекБезопасность мобильных устройствБезопасность облачных средНепрерывный мониторингЛогирование и аудитSIEM / SOCРеагирование на инцидентыМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаАварийное восстановлениеВнутренние угрозыУправление рисками поставщиковФизическая безопасность
Только NIST CSF 2.0 (23):
Управление рисками цепочки поставокБизнес-средаКлассификация данныхРазведка угрозМногофакторная аутентификацияПривилегированный доступМежсетевой экран / сегментация сетиУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность DNSWAFDLPОбнаружение вторженийОбнаружение аномалийКриминалистический анализКоммуникацияИзвлечённые урокиКоммуникации и восстановлениеБезопасность API
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.