Стандарт
HIPAA Security Rule
Что это такое
Правило безопасности США (45 CFR Part 164, Subpart C): административные, физические и технические меры защиты электронной защищённой медицинской информации в виде стандартов и спецификаций внедрения, помеченных как Required или Addressable. HHS предложило существенные изменения в январе 2025 года; перед тем как опираться на различие Addressable, проверьте их текущий статус.
Кому это нужно
Покрываемые организации (медицинские планы, клиринговые центры в здравоохранении и поставщики медицинских услуг, которые проводят электронные транзакции) и их деловые партнёры.
Как проводится оценка
Сертификации не предусмотрено. Управление по гражданским правам HHS (HHS Office for Civil Rights) обеспечивает соблюдение правила через жалобы, расследования нарушений и проверки. Документально оформленный анализ рисков является краеугольным камнем; аттестации третьих сторон часто используются как доказательства, но официальными они не являются.
69
Стандарты и спецификации
68
Сопоставлено с другим фреймворком
54%
Охвачено тем (27/50)
Охватывает только Правило безопасности HIPAA (не Правило о конфиденциальности и не Правило об уведомлении о нарушениях).
Сравнения
Требования
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
| ID | Требование | Темы | Сопоставлено в |
|---|---|---|---|
| §164.308 Administrative safeguards · 30 | |||
| §164.308(a)(1) | Security Management Process | — | 1 из 13 |
| §164.308(a)(1)(ii)(A) | Risk Analysis | Оценка рисков, Управление уязвимостями | 13 из 13 |
| §164.308(a)(1)(ii)(B) | Risk Management | Управление рисками, Управление уязвимостями | 13 из 13 |
| §164.308(a)(1)(ii)(C) | Sanction Policy | Внутренние угрозы | 8 из 13 |
| §164.308(a)(1)(ii)(D) | Information System Activity Review | Непрерывный мониторинг, SIEM / SOC | 10 из 13 |
| §164.308(a)(2) | Assigned Security Responsibility | Роли и обязанности | 9 из 13 |
| §164.308(a)(3) | Workforce Security | — | 1 из 13 |
| §164.308(a)(3)(ii)(A) | Authorization and/or Supervision | — | 1 из 13 |
| §164.308(a)(3)(ii)(B) | Workforce Clearance Procedure | Внутренние угрозы | 8 из 13 |
| §164.308(a)(3)(ii)(C) | Termination Procedures | — | 1 из 13 |
| §164.308(a)(4) | Information Access Management | Контроль доступа | 11 из 13 |
| §164.308(a)(4)(ii)(A) | Isolating Health care Clearinghouse Function | — | 1 из 13 |
| §164.308(a)(4)(ii)(B) | Access Authorization | — | 1 из 13 |
| §164.308(a)(4)(ii)(C) | Access Establishment and Modification | — | 1 из 13 |
| §164.308(a)(5) | Security Awareness and Training | Осведомлённость и обучение | 10 из 13 |
| §164.308(a)(5)(ii)(A) | Security Reminders | Осведомлённость и обучение | 10 из 13 |
| §164.308(a)(5)(ii)(B) | Protection from Malicious Software | Защита конечных точек | 10 из 13 |
| §164.308(a)(5)(ii)(C) | Log-in Monitoring | — | 1 из 13 |
| §164.308(a)(5)(ii)(D) | Password Management | — | 1 из 13 |
| §164.308(a)(6) | Security Incident Procedures | Реагирование на инциденты | 12 из 13 |
| §164.308(a)(6)(ii) | Response and Reporting | Реагирование на инциденты, Митигация, Отчётность | 12 из 13 |
| §164.308(a)(7) | Contingency Plan | Планирование восстановления | 9 из 13 |
| §164.308(a)(7)(ii)(A) | Data Backup Plan | Резервное копирование и восстановление | 11 из 13 |
| §164.308(a)(7)(ii)(B) | Disaster Recovery Plan | Планирование восстановления, Аварийное восстановление | 10 из 13 |
| §164.308(a)(7)(ii)(C) | Emergency Mode Operation Plan | Непрерывность бизнеса | 8 из 13 |
| §164.308(a)(7)(ii)(D) | Testing and Revision Procedure | Аварийное восстановление | 10 из 13 |
| §164.308(a)(7)(ii)(E) | Applications and Data Criticality Analysis | — | 1 из 13 |
| §164.308(a)(8) | Evaluation | Соответствие требованиям, Управление уязвимостями | 13 из 13 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Безопасность облачных сред, Управление рисками поставщиков | 12 из 13 |
| §164.308(b)(4) | Written Contract or Other Arrangement | — | 1 из 13 |
| §164.310 Physical safeguards · 12 | |||
| §164.310(a) | Facility Access Controls | Физическая безопасность | 8 из 13 |
| §164.310(a)(2)(i) | Contingency Operations | — | 1 из 13 |
| §164.310(a)(2)(ii) | Facility Security Plan | Физическая безопасность | 8 из 13 |
| §164.310(a)(2)(iii) | Access Control and Validation Procedures | Физическая безопасность | 8 из 13 |
| §164.310(a)(2)(iv) | Maintenance Records | — | 1 из 13 |
| §164.310(b) | Workstation Use | Физическая безопасность | 8 из 13 |
| §164.310(c) | Workstation Security | Физическая безопасность | 8 из 13 |
| §164.310(d) | Device and Media Controls | Управление активами, Безопасность мобильных устройств | 13 из 13 |
| §164.310(d)(2)(i) | Disposal | Защита данных | 11 из 13 |
| §164.310(d)(2)(ii) | Media Re-use | — | 1 из 13 |
| §164.310(d)(2)(iii) | Accountability | Управление активами | 13 из 13 |
| §164.310(d)(2)(iv) | Data Backup and Storage | Резервное копирование и восстановление | 11 из 13 |
| §164.312 Technical safeguards · 12 | |||
| §164.312(a) | Access Control | Контроль доступа | 11 из 13 |
| §164.312(a)(2)(i) | Unique User Identification | Контроль доступа | 11 из 13 |
| §164.312(a)(2)(ii) | Emergency Access Procedure | — | 1 из 13 |
| §164.312(a)(2)(iii) | Automatic Logoff | — | 1 из 13 |
| §164.312(a)(2)(iv) | Encryption and Decryption | Шифрование | 10 из 13 |
| §164.312(b) | Audit Controls | Логирование и аудит | 10 из 13 |
| §164.312(c) | Integrity | Защита данных | 11 из 13 |
| §164.312(c)(2) | Mechanism to Authenticate Electronic Protected Health Information | — | 1 из 13 |
| §164.312(d) | Person or Entity Authentication | Контроль доступа | 11 из 13 |
| §164.312(e)(1) | Transmission Security | — | 1 из 13 |
| §164.312(e)(2)(i) | Integrity Controls | — | 1 из 13 |
| §164.312(e)(2)(ii) | Encryption | Шифрование | 10 из 13 |
| §164.314 Organizational requirements · 10 | |||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Управление рисками поставщиков | 10 из 13 |
| §164.314(a)(2)(i) | Business Associate Contracts | — | 1 из 13 |
| §164.314(a)(2)(ii) | Other Arrangements | — | 1 из 13 |
| §164.314(a)(2)(iii) | Business associate contracts with subcontractors | — | 1 из 13 |
| §164.314(a)(3)(i) | Business Associate Contracts | — | нет |
| §164.314(b) | Requirements for Group Health Plans | — | 1 из 13 |
| §164.314(b)(2)(i) | Group Health Plan Implementation Specification | — | 1 из 13 |
| §164.314(b)(2)(ii) | Group Health Plan Implementation Specification | — | 1 из 13 |
| §164.314(b)(2)(iii) | Group Health Plan Implementation Specification | — | 1 из 13 |
| §164.314(b)(2)(iv) | Group Health Plan Implementation Specification | — | 1 из 13 |
| §164.316 Policies and documentation · 5 | |||
| §164.316(a) | Policies and Procedures | Политика управления | 9 из 13 |
| §164.316(b) | Documentation | — | 1 из 13 |
| §164.316(b)(2)(i) | Time Limit | — | 1 из 13 |
| §164.316(b)(2)(ii) | Availability | — | 1 из 13 |
| §164.316(b)(2)(iii) | Updates | Политика управления | 9 из 13 |
Охват темы
Темы с сопоставленными требованиями HIPAA (27):
Политика управленияОсведомлённость и обучениеУправление рискамиРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковУправление уязвимостямиКонтроль доступаШифрованиеЗащита данныхРезервное копирование и восстановлениеЗащита конечных точекБезопасность мобильных устройствБезопасность облачных средНепрерывный мониторингЛогирование и аудитSIEM / SOCРеагирование на инцидентыМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаАварийное восстановлениеВнутренние угрозыУправление рисками поставщиковФизическая безопасность
Нет сопоставления в наших данных Нет требования HIPAA (23):
Управление рисками цепочки поставокБизнес-средаКлассификация данныхРазведка угрозМногофакторная аутентификацияПривилегированный доступМежсетевой экран / сегментация сетиУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность DNSWAFDLPОбнаружение вторженийОбнаружение аномалийКриминалистический анализКоммуникацияИзвлечённые урокиКоммуникации и восстановлениеБезопасность API