对比
ISO 27001 与 HIPAA 安全规则对比：面向 ePHI 的 ISMS
ISO/IEC 27001:2022 · HIPAA Security Rule · 数据截至 2026-10-27
ISO/IEC 27001 是一套可进行认证的国际管理体系；HIPAA 安全规则则是美国的法定要求，旨在保护电子受保护健康信息。医疗机构及其供应商越来越多地采用 ISO 27001 ISMS 来落实 HIPAA 的保障措施，尤其是在开展跨国业务时。
从 ISO 对照到 HIPAA，安全规则中几乎每一项标准和实施规范都存在映射或弱相关关系。风险分析与管理、workforce 安全、访问控制、审计控制、完整性、传输安全、应急计划以及设施访问，都能在附录 A 中找到对应条款。剩余的内容主要是 HIPAA 特有的法律要求，例如业务伙伴合同条款以及介质的再利用。
从 HIPAA 对照到 ISO，需要补充的内容更多。HIPAA 并不要求建立管理体系，因此 ISO 的各项条款（范围、领导作用、目标、成文信息、内部审核、管理评审）属于新增内容。安全开发控制（安全开发生命周期、安全编码、安全测试）也是新增内容，因为 HIPAA 并未直接涉及这些方面。
如果您准备获得 ISO 27001 认证，请明确将 ePHI 纳入 ISMS 范围，并确保您的 HIPAA 风险分析可追溯至 ISO 风险评估。
核心要点
- ISO → HIPAA：补充业务伙伴协议及 HIPAA 专项文档。
- HIPAA → ISO：以现有风险分析为基础构建 ISMS；如果您自主开发软件，则需补充安全开发控制。
- 仅凭 ISO 认证证书本身，并不能证明符合 HIPAA 要求。
在 69 项 HIPAA Security Rule 要求中，38 项可映射到 ISO 27001 中的内容，29 项仅弱相关，2 项在本站数据中无映射。
仅涵盖 HIPAA 安全规则（不包括隐私规则或违规通知规则）。
可能需要新增工作：HIPAA 项要求在 ISO 27001 中没有对应映射 (2)
| HIPAA | 要求 | 匹配 | ISO 27001 | 证据 |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | 本站数据中无映射 | — | 本站数据中没有映射到 ISO 27001 的内容。 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | 本站数据中无映射 | — | 本站数据中没有映射到 ISO 27001 的内容。 |
请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (29)
| HIPAA | 要求 | 匹配 | ISO 27001 | 证据 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | 仅共享 CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…：属相关关系，并非映射 | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | 仅共享 CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04：属相关关系，并非映射 | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | 仅共享 CSF PR.AT-01, PR.AT-02：属相关关系，并非映射 | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | 仅共享 CSF ID.RA-04, ID.RA-05：属相关关系，并非映射 | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | 仅共享 CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…：属相关关系，并非映射 | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | 仅共享 CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…：属相关关系，并非映射 | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | 仅共享 CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…：属相关关系，并非映射 | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | 仅共享 CSF PR.AA-03：属相关关系，并非映射 | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | 仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | 仅共享 CSF PR.DS-02：属相关关系，并非映射 | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | 仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | 仅共享 CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…：属相关关系，并非映射 | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | 仅共享 CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…：属相关关系，并非映射 | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | 仅共享 CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…：属相关关系，并非映射 | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | 仅共享 CSF ID.AM-08, ID.IM-02：属相关关系，并非映射 | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | 仅共享 CSF ID.AM-08, ID.IM-02：属相关关系，并非映射 | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | 仅共享 CSF ID.AM-08, ID.IM-02：属相关关系，并非映射 | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | 仅共享 CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…：属相关关系，并非映射 | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | 仅共享 CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…：属相关关系，并非映射 | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | 仅共享 CSF ID.AM-08, ID.IM-02：属相关关系，并非映射 | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | 仅共享 CSF ID.AM-07, ID.AM-08：属相关关系，并非映射 | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | 仅共享 CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…：属相关关系，并非映射 | |
已映射 (38)
| HIPAA | 要求 | 匹配 | ISO 27001 | 证据 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | 对照映射 | Clause 6.1.2Clause 6.1.3A.8.8+1 | 相同主题： 风险评估, 漏洞管理 |
| §164.308(a)(1)(ii)(B) | Required Risk Management | 编辑说明 | A.8.8Clause 6.1.1Clause 6.1.3+1 | 相同主题： 漏洞管理, 风险管理 (编辑推荐) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | 编辑说明 | A.6.1A.6.4A.8.16 | 相同主题： 内部威胁 (编辑推荐) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | 对照映射 | A.5.25A.8.16 | 相同主题： SIEM / SOC, 持续监控 |
| §164.308(a)(2) | Assigned Security Responsibility | 对照映射 | A.5.2A.5.4 | 相同主题： 角色与职责 |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | 对照映射 | A.6.1A.6.4A.8.16 | 相同主题： 内部威胁 |
| §164.308(a)(4) | Information Access Management | 对照映射 | A.5.15A.5.16A.5.18+1 | 相同主题： 访问控制 |
| §164.308(a)(5) | Security Awareness and Training | 对照映射 | A.6.3Clause 7.3 | 相同主题： 意识与培训 |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | 对照映射 | A.6.3Clause 7.3 | 相同主题： 意识与培训 |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | 编辑说明 | A.8.1A.8.7A.8.19 | 相同主题： 终端防护 (编辑推荐) |
| §164.308(a)(6) | Security Incident Procedures | 对照映射 | A.5.24A.5.25A.5.26 | 相同主题： 事件响应 |
| §164.308(a)(6)(ii) | Required Response and Reporting | 对照映射 | A.5.5A.5.24A.5.25+2 | 相同主题： 报告, 事件响应 |
| §164.308(a)(7) | Contingency Plan | 对照映射 | A.5.29A.5.30 | 相同主题： 恢复规划 |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | 对照映射 | A.8.13 | 相同主题： 备份与恢复 |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | 对照映射 | A.5.29A.5.30A.8.14 | 相同主题： 恢复规划, 灾难恢复 |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | 对照映射 | A.5.29A.5.30A.8.14 | 相同主题： 业务连续性 |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | 编辑说明 | A.5.30A.8.14 | 相同主题： 灾难恢复 (编辑推荐) |
| §164.308(a)(8) | Evaluation | 对照映射 | A.8.8A.5.31A.5.36+1 | 相同主题： 漏洞管理, 合规 |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 对照映射 | A.5.19A.5.20A.5.22+1 | 相同主题： 供应商风险管理 |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | 对照映射 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | 编辑说明 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 (编辑推荐) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | 对照映射 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 |
| §164.310(b) | Workstation Use | 对照映射 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 |
| §164.310(c) | Workstation Security | 对照映射 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 |
| §164.310(d) | Device and Media Controls | 对照映射 | A.5.9A.5.11A.7.14+2 | 相同主题： 资产管理 |
| §164.310(d)(2)(i) | Required Disposal | 编辑说明 | A.5.14A.8.10A.8.11 | 相同主题： 数据保护 (编辑推荐) |
| §164.310(d)(2)(iii) | Addressable Accountability | 对照映射 | A.5.9A.5.11A.7.14 | 相同主题： 资产管理 |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | 对照映射 | A.8.13 | 相同主题： 备份与恢复 |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | 对照映射 | A.5.15A.5.16A.5.18+1 | 相同主题： 访问控制 |
| §164.312(a)(2)(i) | Required Unique User Identification | 对照映射 | A.5.15A.5.16A.5.18+1 | 相同主题： 访问控制 |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | 对照映射 | A.8.24 | 相同主题： 加密 |
| §164.312(b) | Audit Controls | 对照映射 | A.8.15A.8.17 | 相同主题： 日志与审计 |
| §164.312(c) | Integrity | 对照映射 | A.5.14A.8.10A.8.11 | 相同主题： 数据保护 |
| §164.312(d) | Person or Entity Authentication | 编辑说明 | A.5.15A.5.16A.5.18+1 | 相同主题： 访问控制 (编辑推荐) |
| §164.312(e)(2)(ii) | Addressable Encryption | 对照映射 | A.8.24 | 相同主题： 加密 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 对照映射 | A.5.19A.5.20A.5.22 | 相同主题： 供应商风险管理 |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | 对照映射 | A.5.1A.5.37Clause 5.2 | 相同主题： 治理政策 |
| §164.316(b)(2)(iii) | Required Updates | 对照映射 | A.5.1A.5.37Clause 5.2 | 相同主题： 治理政策 |
在 123 项 ISO/IEC 27001:2022 要求中，58 项可映射到 HIPAA 中的内容，46 项仅弱相关，19 项在本站数据中无映射。
可能需要新增工作：ISO 27001 项要求在 HIPAA 中没有对应映射 (19)
| ISO 27001 | 要求 | 匹配 | HIPAA | 证据 |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| A.8.28 | Secure coding | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| A.8.29 | Security testing in development and acceptance | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| A.8.31 | Separation of development, test and production environments | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 4.3 | Determining the scope of the ISMS | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 4.4 | Information security management system | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 5.1 | Leadership and commitment | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 6.2 | Information security objectives and planning to achieve them | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 6.3 | Planning of changes | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 7.1 | Resources | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 7.5.1 | General | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 7.5.2 | Creating and updating | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 7.5.3 | Control of documented information | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 9.2.1 | General | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 9.2.2 | Internal audit programme | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| Clause 10.2 | Nonconformity and corrective action | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (46)
| ISO 27001 | 要求 | 匹配 | HIPAA | 证据 |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | 仅共享 CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…：属相关关系，并非映射 | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | 仅共享 CSF GV.OV-01, RS.CO-03：属相关关系，并非映射 | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | 仅共享 CSF DE.AE-07, ID.RA-03, ID.RA-05：属相关关系，并非映射 | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | 仅共享 CSF GV.OC-05, ID.AM-08：属相关关系，并非映射 | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | 仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | 仅共享 CSF ID.AM-05, ID.AM-08, PR.DS-01：属相关关系，并非映射 | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | 仅共享 CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | 仅共享 CSF PR.AA-03, PR.AA-05：属相关关系，并非映射 | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | 仅共享 CSF GV.SC-03, GV.SC-09, GV.SC-10：属相关关系，并非映射 | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | 仅共享 CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…：属相关关系，并非映射 | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | 仅共享 CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…：属相关关系，并非映射 | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | 仅共享 CSF GV.PO-02：属相关关系，并非映射 | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | 仅共享 CSF PR.DS-01：属相关关系，并非映射 | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | 仅共享 CSF GV.PO-02：属相关关系，并非映射 | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | 仅共享 CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…：属相关关系，并非映射 | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | 仅共享 CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…：属相关关系，并非映射 | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | 仅共享 CSF GV.RR-04：属相关关系，并非映射 | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | 仅共享 CSF PR.DS-01, PR.IR-02：属相关关系，并非映射 | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | 仅共享 CSF PR.DS-01：属相关关系，并非映射 | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | 仅共享 CSF ID.AM-08, PR.DS-01：属相关关系，并非映射 | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | 仅共享 CSF ID.AM-08, PR.IR-02：属相关关系，并非映射 | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | 仅共享 CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…：属相关关系，并非映射 | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | 仅共享 CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | 仅共享 CSF PR.AA-01, PR.AA-03, PR.AA-05：属相关关系，并非映射 | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | 仅共享 CSF DE.CM-09：属相关关系，并非映射 | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | 仅共享 CSF PR.PS-01：属相关关系，并非映射 | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | 仅共享 CSF PR.DS-01：属相关关系，并非映射 | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | 仅共享 CSF PR.AA-05：属相关关系，并非映射 | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | 仅共享 CSF ID.AM-03, PR.IR-01, PR.DS-02：属相关关系，并非映射 | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | 仅共享 CSF ID.AM-03, PR.IR-01：属相关关系，并非映射 | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | 仅共享 CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | 仅共享 CSF PR.IR-01：属相关关系，并非映射 | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | 仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | 仅共享 CSF PR.IR-03：属相关关系，并非映射 | |
| A.8.30 | Outsourced development | §164.308(a)(8) | 仅共享 CSF GV.OV-03：属相关关系，并非映射 | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | 仅共享 CSF GV.OV-03, ID.RA-07：属相关关系，并非映射 | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | 仅共享 CSF PR.DS-01：属相关关系，并非映射 | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | 仅共享 CSF GV.OV-03：属相关关系，并非映射 | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | 仅共享 CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…：属相关关系，并非映射 | |
| Clause 7.2 | Competence | §164.308(a)(2) | 仅共享 CSF GV.RR-01, GV.RR-02：属相关关系，并非映射 | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | 仅共享 CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03：属相关关系，并非映射 | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | 仅共享 CSF GV.SC-03, RC.RP-04：属相关关系，并非映射 | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | 仅共享 CSF ID.IM-02, PR.PS-01：属相关关系，并非映射 | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | 仅共享 CSF ID.IM-02, PR.PS-01：属相关关系，并非映射 | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | 仅共享 CSF ID.IM-02, PR.PS-01：属相关关系，并非映射 | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | 仅共享 CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06：属相关关系，并非映射 | |
已映射 (58)
| ISO 27001 | 要求 | 匹配 | HIPAA | 证据 |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | 对照映射 | §164.316(a)§164.316(b)(2)(iii) | 相同主题： 治理政策 |
| A.5.2 | Information security roles and responsibilities | 对照映射 | §164.308(a)(2) | 相同主题： 角色与职责 |
| A.5.4 | Management responsibilities | 对照映射 | §164.308(a)(2) | 相同主题： 角色与职责 |
| A.5.5 | Contact with authorities | 对照映射 | §164.308(a)(6)(ii) | 相同主题： 报告 |
| A.5.9 | Inventory of information and other associated assets | 对照映射 | §164.310(d)§164.310(d)(2)(iii) | 相同主题： 资产管理 |
| A.5.11 | Return of assets | 对照映射 | §164.310(d)§164.310(d)(2)(iii) | 相同主题： 资产管理 |
| A.5.14 | Information transfer | 对照映射 | §164.312(c)§164.310(d)(2)(i) | 相同主题： 数据保护 |
| A.5.15 | Access control | 对照映射 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 相同主题： 访问控制 |
| A.5.16 | Identity management | 对照映射 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 相同主题： 访问控制 |
| A.5.18 | Access rights | 对照映射 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 相同主题： 访问控制 |
| A.5.19 | Information security in supplier relationships | 对照映射 | §164.308(b)(1)§164.314(a) | 相同主题： 供应商风险管理 |
| A.5.20 | Addressing information security within supplier agreements | 对照映射 | §164.308(b)(1)§164.314(a) | 相同主题： 供应商风险管理 |
| A.5.22 | Monitoring, review and change management of supplier services | 对照映射 | §164.308(b)(1)§164.314(a) | 相同主题： 供应商风险管理 |
| A.5.23 | Information security for use of cloud services | 对照映射 | §164.308(b)(1) | 相同主题： 云安全 |
| A.5.24 | Information security incident management planning and preparation | 对照映射 | §164.308(a)(6)§164.308(a)(6)(ii) | 相同主题： 事件响应 |
| A.5.25 | Assessment and decision on information security events | 对照映射 | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | 相同主题： SIEM / SOC, 事件响应 |
| A.5.26 | Response to information security incidents | 对照映射 | §164.308(a)(6)§164.308(a)(6)(ii) | 相同主题： 事件响应, 缓解 |
| A.5.29 | Information security during disruption | 对照映射 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | 相同主题： 恢复规划, 业务连续性 |
| A.5.30 | ICT readiness for business continuity | 对照映射 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | 相同主题： 恢复规划, 灾难恢复, 业务连续性 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 编辑说明 | §164.308(a)(8) | 相同主题： 合规 (编辑推荐) |
| A.5.36 | Compliance with policies, rules and standards for information security | 编辑说明 | §164.308(a)(8) | 相同主题： 合规 (编辑推荐) |
| A.5.37 | Documented operating procedures | 对照映射 | §164.316(a)§164.316(b)(2)(iii) | 相同主题： 治理政策 |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | 对照映射 | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 相同主题： 内部威胁 |
| A.6.3 | Information security awareness, education and training | 对照映射 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 相同主题： 意识与培训 |
| A.6.4 | Disciplinary process | 对照映射 | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 相同主题： 内部威胁 |
| A.6.7 | Remote working | 编辑说明 | §164.310(d) | 相同主题： 移动安全 (编辑推荐) |
| A.6.8 | Information security event reporting | 对照映射 | §164.308(a)(6)(ii) | 相同主题： 报告 |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.2 | Physical entry | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.3 | Securing offices, rooms and facilities | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.4 | Physical security monitoring | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.5 | Protecting against physical and environmental threats | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.6 | Working in secure areas | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.8 | Equipment siting and protection | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.11 | Supporting utilities | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.12 | Cabling security | 对照映射 | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | 相同主题： 物理安全 |
| A.7.14 | Secure disposal or re-use of equipment | 对照映射 | §164.310(d)§164.310(d)(2)(iii) | 相同主题： 资产管理 |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | 编辑说明 | §164.308(a)(5)(ii)(B)§164.310(d) | 相同主题： 终端防护, 移动安全 (编辑推荐) |
| A.8.3 | Information access restriction | 对照映射 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 相同主题： 访问控制 |
| A.8.7 | Protection against malware | 编辑说明 | §164.308(a)(5)(ii)(B) | 相同主题： 终端防护 (编辑推荐) |
| A.8.8 | Management of technical vulnerabilities | 对照映射 | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 相同主题： 漏洞管理 |
| A.8.10 | Information deletion | 对照映射 | §164.312(c)§164.310(d)(2)(i) | 相同主题： 数据保护 |
| A.8.11 | Data masking | 对照映射 | §164.312(c)§164.310(d)(2)(i) | 相同主题： 数据保护 |
| A.8.13 | Information backup | 对照映射 | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | 相同主题： 备份与恢复 |
| A.8.14 | Redundancy of information processing facilities | 对照映射 | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | 相同主题： 灾难恢复, 业务连续性 |
| A.8.15 | Logging | 对照映射 | §164.312(b) | 相同主题： 日志与审计 |
| A.8.16 | Monitoring activities | 对照映射 | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | 相同主题： 持续监控, SIEM / SOC, 内部威胁 |
| A.8.17 | Clock synchronization | 对照映射 | §164.312(b) | 相同主题： 日志与审计 |
| A.8.19 | Installation of software on operational systems | 编辑说明 | §164.308(a)(5)(ii)(B) | 相同主题： 终端防护 (编辑推荐) |
| A.8.24 | Use of cryptography | 对照映射 | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | 相同主题： 加密 |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | 对照映射 | §164.316(a)§164.316(b)(2)(iii) | 相同主题： 治理政策 |
| Clause 6.1.1 | General | 编辑说明 | §164.308(a)(1)(ii)(B) | 相同主题： 风险管理 (编辑推荐) |
| Clause 6.1.2 | Information security risk assessment | 对照映射 | §164.308(a)(1)(ii)(A) | 相同主题： 风险评估 |
| Clause 6.1.3 | Information security risk treatment | 对照映射 | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | 相同主题： 风险评估, 风险管理 |
| Clause 7.3 | Awareness | 对照映射 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 相同主题： 意识与培训 |
| Clause 8.2 | Information security risk assessment | 编辑说明 | §164.308(a)(1)(ii)(A) | ControlMapping 编辑判断： HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | 编辑说明 | §164.308(a)(1)(ii)(B) | ControlMapping 编辑判断： HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 编辑说明 | §164.308(a)(8) | 相同主题： 合规 (编辑推荐) |
按主题
两者均涵盖（27）：
治理政策意识与培训风险管理角色与职责合规资产管理风险评估漏洞管理访问控制加密数据保护备份与恢复终端防护移动安全云安全持续监控日志与审计SIEM / SOC事件响应缓解报告恢复规划业务连续性灾难恢复内部威胁供应商风险管理物理安全
仅 ISO 27001（23）：
要求编号和标题均按各框架官方发布的英文原文显示。
对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。 方法说明 · 下载数据 · 报告错误.