Control-Map · 45 CFR Part 164

HIPAA

Code-Nachweis für die technischen Schutzmaßnahmen und die Anforderungen der Privacy Rule zu Nutzung und Weitergabe, soweit sie im Code liegen.

Audit-Pilot buchen Beispielbericht ansehen

HIPAA · 45 CFR Part 1648 Anforderungen im Umfang · Stand v1.4.1

Code 7
Prozess 0
Geplant 1

Code-Nachweis

7Anforderungen, bei jedem Pull Request geprüft

Live (Prozess)

0keine zugeordnet

Geplant

1lässt sich aus Code oder GitHub belegen; noch nicht gebaut

Anforderungen auf Organisationsebene

Richtlinien, Personal, Lieferanten, physische Sicherheit und Ähnliches, unten aufgelistet.Für 2 davon liefert Toevan unterstützende Nachweise.Von den Abläufen Ihrer Organisation verantwortet

Die technischen Schutzmaßnahmen der Security Rule und Teile der Privacy Rule sind im Code sichtbar: Zugriffskontrolle, Integrität, Authentifizierung, Übertragungssicherheit und wie geschützte Gesundheitsdaten genutzt und weitergegeben werden.

Der HIPAA-Blueprint liefert bei jedem Pull Request Code-Nachweise dafür. Administrative und physische Schutzmaßnahmen bleiben bei Ihrem Programm.

Toevan liefert Nachweise für Controls; es zertifiziert sie nie und behauptet nie, ein Framework sei abgedeckt. Ob die Nachweise genügen, beurteilt Ihr Auditor.

Code-Nachweis7

Bei jedem Pull Request versiegelt. Immer nur teilweise: Das Control verlangt auch Dinge außerhalb des Codes. Regeln im Blueprint HIPAA prüfen bei jedem Pull Request einen Teil davon.

164.308(a)(4)Verwaltung des Informationszugriffs164.308 Administrative Schutzmaßnahmen
164.312(a)(1)Zugriffskontrolle164.312 Technische Schutzmaßnahmen
164.312(c)(1)Integrität164.312 Technische Schutzmaßnahmen
164.312(d)Authentifizierung von Personen oder Stellen164.312 Technische Schutzmaßnahmen
164.312(e)(1)Übertragungssicherheit164.312 Technische Schutzmaßnahmen
164.502Nutzung und Weitergabe geschützter Gesundheitsdaten: Allgemeine RegelnPrivacy Rule
164.514Weitere Anforderungen zu Nutzung und Weitergabe geschützter GesundheitsdatenPrivacy Rule

Unterstützend2

Toevan erfasst verwandte Nachweise, doch die Pflicht liegt bei der Organisation und gilt deshalb nie als abgedeckt.

164.310(d)(1)Kontrollen für Geräte und Datenträger164.310 Physische SchutzmaßnahmenUnterstützender Nachweis: Eine Regel erfasst Nachweise zu dieser Pflicht. Die Pflicht selbst betrifft die physische Sicherheit.
164.504Nutzung und Weitergabe: Organisatorische AnforderungenPrivacy RuleUnterstützender Nachweis: Eine Regel erfasst Nachweise zu dieser Pflicht. Die Pflicht selbst betrifft Verträge und Lieferanten.

Geplant1

Lässt sich aus Code oder GitHub belegen. Noch keine Regel prüft diese; jedes ist geplant, und keines zählt heute als Nachweis.

164.312(b)Audit-Controls164.312 Technische Schutzmaßnahmen

Anforderungen auf Organisationsebene

Controls auf Organisationsebene (Richtlinien, Personal, Lieferanten, physische Sicherheit und Ähnliches) bleiben beim eigenen Prozess Ihrer Organisation; Toevan übernimmt sie nicht.

Liste anzeigen

164.308 Administrative Schutzmaßnahmen

164.308(a)(1)Prozess für Sicherheitsmanagementeinen betrieblichen Prozess

164.308(a)(2)Zugewiesene Sicherheitsverantwortungdie Richtlinien der Organisation

164.308(a)(3)Sicherheit der BelegschaftPersonal und HR

164.308(a)(5)Sicherheitsbewusstsein und SchulungPersonal und HR

164.308(a)(6)Verfahren bei Sicherheitsvorfälleneinen betrieblichen Prozess

164.308(a)(7)Notfallplaneinen betrieblichen Prozess

164.308(a)(8)Bewertungeine externe Prüfung

164.308(b)(1)Verträge mit Geschäftspartnern und andere VereinbarungenVerträge und Lieferanten

164.310 Physische Schutzmaßnahmen

164.310(a)(1)Zugangskontrollen zu Einrichtungendie physische Sicherheit

164.310(b)Nutzung von Arbeitsplätzendie Richtlinien der Organisation

164.310(c)Sicherheit von Arbeitsplätzendie physische Sicherheit

164.314 Organisatorische Anforderungen

164.314(a)(1)Verträge mit Geschäftspartnern oder andere VereinbarungenVerträge und Lieferanten

164.314(b)(1)Anforderungen an Gruppen-GesundheitspläneVerträge und Lieferanten

164.316 Richtlinien, Verfahren und Dokumentation

164.316(a)Richtlinien und Verfahrendie Richtlinien der Organisation

164.316(b)(1)Dokumentationdie Richtlinien der Organisation

Breach Notification Rule

164.404Benachrichtigung von Betroffenenein regulatorisches Verfahren

164.406Benachrichtigung der Medienein regulatorisches Verfahren

164.408Benachrichtigung des Ministersein regulatorisches Verfahren

164.410Benachrichtigung durch einen Geschäftspartnerein regulatorisches Verfahren

164.412Aufschub durch Strafverfolgungein regulatorisches Verfahren

164.414Administrative Anforderungen und Beweislastein regulatorisches Verfahren

Privacy Rule

164.506Nutzung und Weitergabe für Behandlung, Zahlung oder Gesundheitsbetriebdie Richtlinien der Organisation

164.508Nutzung und Weitergabe mit erforderlicher Einwilligungdie Richtlinien der Organisation

164.509Nutzung und Weitergabe mit erforderlicher Bestätigungdie Richtlinien der Organisation

164.510Nutzung und Weitergabe mit Möglichkeit zu Zustimmung oder Widerspruchdie Richtlinien der Organisation

164.512Nutzung und Weitergabe ohne Einwilligung oder Möglichkeit zum Widerspruchdie Richtlinien der Organisation

164.520Hinweis zu Datenschutzpraktiken für geschützte Gesundheitsdatendie Richtlinien der Organisation

164.522Rechte auf Datenschutzbeschränkung für geschützte Gesundheitsdatendie Richtlinien der Organisation

164.524Zugang Betroffener zu geschützten Gesundheitsdateneinen betrieblichen Prozess

164.526Berichtigung geschützter Gesundheitsdateneinen betrieblichen Prozess

164.528Nachweis über Weitergaben geschützter Gesundheitsdatendie Richtlinien der Organisation

164.530Administrative Anforderungendie Richtlinien der Organisation

Im Audit verwenden

Code-Nachweise des Zeitraums lesen
Jeder Pull Request trägt versiegelte Code-Ergebnisse zu den Regeln des Blueprints, festgemacht am Commit und an der geltenden Regelsatz-Version.
Stichprobe testen
Prüfen Sie für jeden gezogenen Eintrag zuerst die Ergebnisse und dann offline gegen den veröffentlichten Schlüssel mit openssl und der Shell: Nachweis holen, Schlüssel bestätigen, Eintrag prüfen. Um die ganze Kette nachzuvollziehen, stellt Toevan den toevan-Befehl auf Anfrage bereit; er ist noch nicht öffentlich.
Die drei Schritte, mit den genauen Befehlen

Wie jeder Fakt gewonnen wurde6 Labels

Neu berechnet: Toevan hat es selbst aus Code oder Git-Historie berechnet.
Gemeldet + versiegelt: GitHub hat es gemeldet; Toevan hat es beim Ereignis erfasst und signiert.
Erklärt + versiegelt: Die Organisation hat es erklärt, etwa eine Änderung dessen, was geprüft wird; Toevan hat die Erklärung und ihre Historie signiert.
Toevan-Eintrag, nicht versiegelt: In der Datenbank von Toevan gespeichert, aber nicht im Ledger versiegelt, etwa eine Ausnahmegenehmigung heute. Keine Signatur schützt ihn.
Übernommen: Aus den Deployment- und Release-Einträgen von GitHub übernommen und per Commit oder Digest verknüpft.
Nicht erfasst: Es gab keine verlässliche Quelle. Toevan schließt nichts daraus.

Der Beispielbericht zu Änderungsnachweisen zeigt die Nachweise so, wie Ihr Prüfer sie erhält, jeden Fakt mit Herkunft.Beispielbericht öffnen

Testen Sie die Zuordnung an einem echten Audit.

Bringen Sie ein Repository und ein anstehendes Audit mit. Wir richten den Blueprint ein und führen Ihren Prüfer durch die Verifikation.

Audit-Pilot buchen Beispielbericht ansehen

Ein Repository, ein Framework
Nachweise ab dem ersten Pull Request
Prüfbar ohne Toevan-Konto