Carte des contrôles · 45 CFR partie 164

HIPAA

Preuve issue du code pour les garanties techniques et les exigences d’utilisation et de divulgation de la Privacy Rule, là où elles se trouvent dans le code.

Réserver un pilote d’audit Voir un exemple de rapport

HIPAA · 45 CFR partie 1648 exigences dans le périmètre · selon la correspondance de v1.4.1

Code 7
Processus 0
Prévu 1

Preuve issue du code

7exigences vérifiés à chaque pull request

Actif (processus)

0aucun mis en correspondance

Prévu

1peut être prouvé à partir du code ou de GitHub ; pas encore construit

Exigences au niveau de l’organisation

Politiques, personnes, fournisseurs, sécurité physique et le reste, listés ci-dessous.Toevan apporte une preuve d’appui pour 2 d’entre eux.Gérés par les processus de votre organisation

Les garanties techniques de la Security Rule et certaines parties de la Privacy Rule sont visibles dans le code : contrôle d’accès, intégrité, authentification, sécurité des transmissions, et manière dont les informations de santé protégées sont utilisées et divulguées.

Le blueprint HIPAA apporte une preuve issue du code pour celles-ci à chaque pull request. Les garanties administratives et physiques restent à votre programme.

Toevan apporte des preuves pour des contrôles ; il ne les certifie jamais et ne prétend pas qu’un référentiel est couvert. Que les preuves suffisent relève du jugement de votre auditeur.

Preuve issue du code7

Scellée à chaque pull request. Toujours partielle : le contrôle exige aussi des éléments hors du code. Les règles du blueprint HIPAA vérifient une partie de chacun à chaque pull request.

164.308(a)(4)Gestion de l’accès à l’information164.308 Garanties administratives
164.312(a)(1)Contrôle d’accès164.312 Garanties techniques
164.312(c)(1)Intégrité164.312 Garanties techniques
164.312(d)Authentification de la personne ou entité164.312 Garanties techniques
164.312(e)(1)Sécurité des transmissions164.312 Garanties techniques
164.502Utilisations et divulgations des informations de santé protégées : règles généralesPrivacy Rule
164.514Autres exigences sur l’utilisation et la divulgation des informations de santé protégéesPrivacy Rule

En appui2

Toevan enregistre des preuves connexes, mais l’obligation relève de l’organisation : elle n’est donc jamais comptée comme couverte.

164.310(d)(1)Contrôles des appareils et supports164.310 Garanties physiquesPreuve d’appui : une règle enregistre des preuves liées à cette obligation. L’obligation elle-même relève de la sécurité physique.
164.504Utilisations et divulgations : exigences organisationnellesPrivacy RulePreuve d’appui : une règle enregistre des preuves liées à cette obligation. L’obligation elle-même relève des contrats et des fournisseurs.

Prévu1

Peut être prouvé à partir du code ou de GitHub. Aucune règle ne les vérifie encore ; chacun est prévu, et aucun ne compte aujourd’hui comme preuve.

164.312(b)Contrôles d’audit164.312 Garanties techniques

Exigences au niveau de l’organisation

Les contrôles au niveau de l’organisation (politiques, personnes, fournisseurs, sécurité physique et le reste) restent dans le processus propre à votre organisation ; Toevan ne s’en charge pas.

Afficher la liste

164.308 Garanties administratives

164.308(a)(1)Processus de gestion de la sécuritéd’un processus opérationnel

164.308(a)(2)Responsabilité de sécurité attribuéede la politique de l’organisation

164.308(a)(3)Sécurité du personneldes personnes et des RH

164.308(a)(5)Sensibilisation et formation à la sécuritédes personnes et des RH

164.308(a)(6)Procédures d’incident de sécuritéd’un processus opérationnel

164.308(a)(7)Plan de contingenced’un processus opérationnel

164.308(a)(8)Évaluationd’une évaluation externe

164.308(b)(1)Contrats avec les associés et autres arrangementsdes contrats et des fournisseurs

164.310 Garanties physiques

164.310(a)(1)Contrôles d’accès aux installationsde la sécurité physique

164.310(b)Usage des postes de travailde la politique de l’organisation

164.310(c)Sécurité des postes de travailde la sécurité physique

164.314 Exigences organisationnelles

164.314(a)(1)Contrats avec les associés ou autres arrangementsdes contrats et des fournisseurs

164.314(b)(1)Exigences pour les régimes de santé collectifsdes contrats et des fournisseurs

164.316 Politiques, procédures et exigences de documentation

164.316(a)Politiques et procéduresde la politique de l’organisation

164.316(b)(1)Documentation écritede la politique de l’organisation

Breach Notification Rule

164.404Notification aux personnesd’une procédure réglementaire

164.406Notification aux médiasd’une procédure réglementaire

164.408Notification au Secretaryd’une procédure réglementaire

164.410Notification par un associéd’une procédure réglementaire

164.412Report à la demande des autoritésd’une procédure réglementaire

164.414Exigences administratives et charge de la preuved’une procédure réglementaire

Privacy Rule

164.506Utilisations et divulgations pour les soins, le paiement ou les opérations de santéde la politique de l’organisation

164.508Utilisations et divulgations soumises à autorisationde la politique de l’organisation

164.509Utilisations et divulgations soumises à attestationde la politique de l’organisation

164.510Utilisations et divulgations exigeant de laisser la personne accepter ou s’opposerde la politique de l’organisation

164.512Utilisations et divulgations sans autorisation ni possibilité d’accepter ou de s’opposerde la politique de l’organisation

164.520Avis sur les pratiques de confidentialité des informations de santé protégéesde la politique de l’organisation

164.522Droit de demander la protection de la confidentialité des informations de santé protégéesde la politique de l’organisation

164.524Accès des personnes à leurs informations de santé protégéesd’un processus opérationnel

164.526Rectification des informations de santé protégéesd’un processus opérationnel

164.528Relevé des divulgations des informations de santé protégéesde la politique de l’organisation

164.530Exigences administrativesde la politique de l’organisation

L’utiliser dans un audit

Lisez les preuves issues du code pour la période
Chaque pull request porte des résultats de code scellés par rapport aux règles du blueprint, rattachés au commit et à la version du jeu de règles en vigueur.
Testez un échantillon
Pour chaque enregistrement échantillonné, vérifiez ses résultats, puis vérifiez-le hors ligne avec la clé publiée, avec openssl et le shell : récupérez la preuve, confirmez la clé, contrôlez l’enregistrement. Pour rejouer toute la chaîne, Toevan fournit la commande toevan sur demande ; elle n’est pas encore publique.
Les trois étapes, avec les commandes exactes

Comment chaque fait a été obtenu6 étiquettes

Recalculé: Toevan l’a calculé lui-même à partir du code ou de l’historique git.
Rapporté + scellé: GitHub l’a rapporté ; Toevan l’a capturé au moment de l’événement et signé.
Déclaré + scellé: L’organisation l’a déclaré, par exemple un changement de ce qui est vérifié ; Toevan a signé la déclaration et son historique.
Enregistrement Toevan, non scellé: Conservé dans la base de données de Toevan mais non scellé dans le registre, comme une dérogation aujourd’hui. Aucune signature ne le protège.
Consommé: Repris des enregistrements de déploiement et de release de GitHub et relié par commit ou empreinte.
Non capturé: Aucune source fiable n’était disponible. Toevan ne le déduit pas.

L’exemple de rapport de preuves de changement montre les preuves telles que votre auditeur les reçoit, chaque fait étant étiqueté.Ouvrir l’exemple de rapport

Testez la correspondance sur un vrai audit.

Venez avec un dépôt et un audit à venir. Nous configurerons le blueprint et guiderons votre auditeur dans la vérification.

Réserver un pilote d’audit Voir un exemple de rapport

Un dépôt, un référentiel
Des preuves dès la première pull request
Vérifiable sans compte Toevan