Mapa de controles · 45 CFR Part 164

HIPAA

Evidencia de código para las salvaguardas técnicas y los requisitos de uso y divulgación de la Privacy Rule, donde residen en el código.

Reserve un piloto de auditoría Ver un informe de muestra

HIPAA · 45 CFR Part 1648 requisitos en el alcance · según el mapeo de v1.4.1

Código 7
Proceso 0
Planificado 1

Evidencia de código

7requisitos comprobados en cada pull request

Activo (proceso)

0ninguno mapeado

Planificado

1se puede evidenciar desde el código o GitHub; aún no construido

Requisitos de nivel organizativo

Políticas, personas, proveedores, seguridad física y similares, enumerados más abajo.Toevan aporta evidencia de apoyo para 2 de ellos.Gestionados por los procesos de su organización

Las salvaguardas técnicas de la Security Rule y partes de la Privacy Rule son visibles en el código: control de acceso, integridad, autenticación, seguridad de la transmisión y cómo se usa y divulga la información de salud protegida.

El blueprint de HIPAA aporta evidencia de código para ellas en cada pull request. Las salvaguardas administrativas y físicas quedan en su programa.

Toevan aporta evidencia para controles; nunca los certifica ni afirma que un marco esté cubierto. Si la evidencia es suficiente lo juzga su auditor.

Evidencia de código7

Sellada en cada pull request. Siempre parcial: el control también exige cosas fuera del código. Las reglas del blueprint HIPAA comprueban parte de cada uno en cada pull request.

164.308(a)(4)Gestión del acceso a la información164.308 Salvaguardas administrativas
164.312(a)(1)Control de acceso164.312 Salvaguardas técnicas
164.312(c)(1)Integridad164.312 Salvaguardas técnicas
164.312(d)Autenticación de personas o entidades164.312 Salvaguardas técnicas
164.312(e)(1)Seguridad de la transmisión164.312 Salvaguardas técnicas
164.502Usos y divulgaciones de información de salud protegida: reglas generalesPrivacy Rule
164.514Otros requisitos sobre usos y divulgaciones de información de salud protegidaPrivacy Rule

De apoyo2

Toevan registra evidencia relacionada, pero la obligación es organizativa, así que nunca cuenta como cubierta.

164.310(d)(1)Controles de dispositivos y soportes164.310 Salvaguardas físicasEvidencia de apoyo: una regla registra evidencia relacionada con esta obligación. La obligación en sí es seguridad física.
164.504Usos y divulgaciones: requisitos organizativosPrivacy RuleEvidencia de apoyo: una regla registra evidencia relacionada con esta obligación. La obligación en sí es contratos y proveedores.

Planificado1

Se puede evidenciar desde el código o GitHub. Todavía ninguna regla los comprueba; cada uno está planificado y ninguno cuenta hoy como evidencia.

164.312(b)Controles de auditoría164.312 Salvaguardas técnicas

Requisitos de nivel organizativo

Los controles de nivel organizativo (políticas, personas, proveedores, seguridad física y similares) siguen en manos del propio proceso de su organización; Toevan no se ocupa de ellos.

Mostrar la lista

164.308 Salvaguardas administrativas

164.308(a)(1)Proceso de gestión de la seguridadun proceso operativo

164.308(a)(2)Responsabilidad de seguridad asignadauna política de la organización

164.308(a)(3)Seguridad del personalun asunto de personas y RR. HH.

164.308(a)(5)Concienciación y formación en seguridadun asunto de personas y RR. HH.

164.308(a)(6)Procedimientos ante incidentes de seguridadun proceso operativo

164.308(a)(7)Plan de contingenciaun proceso operativo

164.308(a)(8)Evaluaciónuna evaluación externa

164.308(b)(1)Contratos con asociados comerciales y otros acuerdoscontratos y proveedores

164.310 Salvaguardas físicas

164.310(a)(1)Controles de acceso a instalacionesseguridad física

164.310(b)Uso de estaciones de trabajouna política de la organización

164.310(c)Seguridad de estaciones de trabajoseguridad física

164.314 Requisitos organizativos

164.314(a)(1)Contratos con asociados comerciales u otros acuerdoscontratos y proveedores

164.314(b)(1)Requisitos para planes de salud colectivoscontratos y proveedores

164.316 Políticas, procedimientos y requisitos de documentación

164.316(a)Políticas y procedimientosuna política de la organización

164.316(b)(1)Documentaciónuna política de la organización

Breach Notification Rule

164.404Notificación a las personasun trámite regulatorio

164.406Notificación a los mediosun trámite regulatorio

164.408Notificación al Secretarioun trámite regulatorio

164.410Notificación por un asociado comercialun trámite regulatorio

164.412Retraso por orden de las fuerzas de seguridadun trámite regulatorio

164.414Requisitos administrativos y carga de la pruebaun trámite regulatorio

Privacy Rule

164.506Usos y divulgaciones para tratamiento, pago u operaciones sanitariasuna política de la organización

164.508Usos y divulgaciones que requieren autorizaciónuna política de la organización

164.509Usos y divulgaciones que requieren una declaraciónuna política de la organización

164.510Usos y divulgaciones que requieren dar oportunidad de aceptar u oponerseuna política de la organización

164.512Usos y divulgaciones que no requieren autorización ni oportunidad de aceptar u oponerseuna política de la organización

164.520Aviso de prácticas de privacidad de la información de salud protegidauna política de la organización

164.522Derechos a solicitar protección de la privacidad de la información de salud protegidauna política de la organización

164.524Acceso de las personas a su información de salud protegidaun proceso operativo

164.526Modificación de la información de salud protegidaun proceso operativo

164.528Contabilidad de las divulgaciones de información de salud protegidauna política de la organización

164.530Requisitos administrativosuna política de la organización

Cómo usarlo en una auditoría

Lea la evidencia de código del periodo
Cada pull request lleva resultados de código sellados frente a las reglas del blueprint, fijados al commit y a la versión del conjunto de reglas vigente.
Pruebe una muestra
Para cada registro muestreado, compruebe sus resultados y luego verifíquelo sin conexión con la clave publicada, con openssl y la shell: obtenga la evidencia, confirme la clave, compruebe el registro. Para repetir toda la cadena, Toevan facilita el comando toevan a petición; aún no es público.
Los tres pasos, con los comandos exactos

Cómo se obtuvo cada hecho6 etiquetas

Recalculado: Toevan lo calculó a partir del propio código o del historial de git.
Informado + sellado: GitHub lo informó; Toevan lo capturó en el evento y lo firmó.
Declarado + sellado: La organización lo declaró, como un cambio en lo que se comprueba; Toevan firmó la declaración y su historial.
Registro de Toevan, sin sellar: Guardado en la base de datos de Toevan pero no sellado en el libro, como una exención hoy. Ninguna firma lo protege.
Consumido: Tomado de los registros de despliegue y de release de GitHub y enlazado por commit o digest.
No capturado: No había una fuente fiable. Toevan no lo infiere.

El informe de muestra de evidencia de cambios muestra la evidencia tal como la recibe su auditor, con cada hecho etiquetado.Abrir el informe de muestra

Pruebe el mapeo en una auditoría real.

Traiga un repositorio y una auditoría próxima. Configuraremos el blueprint y guiaremos a su auditor en la verificación.

Reserve un piloto de auditoría Ver un informe de muestra

Un repositorio, un marco
Evidencia desde el primer pull request
Verificable sin una cuenta de Toevan