title: "ISO 27001 & HIPAA BAA untuk Layanan Kesehatan" description: "Perjanjian Mitra Bisnis HIPAA mensyaratkan 'jaminan yang memadai' atas perlindungan yang tepat. ISO 27001 memetakan langsung ke HIPAA 164.308, 164.310, dan 164.312." category: healthcare publishedAt: 2026-05-13 tags:
- ISO 27001 HIPAA BAA
- sertifikasi vendor layanan kesehatan
- jaminan memadai HIPAA
- kontrol keamanan 164.308
- bukti audit OCR readingTime: 8
Persyaratan Jaminan Memadai dalam BAA
Privacy Rule HIPAA mewajibkan entitas yang tercakup (rumah sakit, rencana kesehatan, clearinghouse layanan kesehatan) untuk menandatangani Perjanjian Mitra Bisnis (BAA) dengan semua vendor yang mengakses, menggunakan, atau membuat informasi kesehatan yang dilindungi atas nama mereka. BAA harus mencakup "jaminan yang memadai" bahwa mitra bisnis akan menerapkan perlindungan yang tepat untuk menjaga PHI — khususnya persyaratan perlindungan administratif, fisik, dan teknis dalam 45 CFR 164.308, 164.310, dan 164.312.
Standar "jaminan yang memadai" tidak didefinisikan secara spesifik dalam regulasi tersebut. Panduan penegakan OCR menyatakan bahwa jaminan harus didasarkan pada bukti yang terdokumentasi, bukan sekadar pernyataan kontraktual. Entitas yang tercakup yang menandatangani BAA tanpa memperoleh bukti bahwa mitra bisnis benar-benar menerapkan perlindungan yang dipersyaratkan tidak dapat membuktikan uji tuntas jika mitra bisnis tersebut kemudian melanggar BAA.
Analisis kerangka kontrol terpadu ISACA 2024 menemukan bahwa sertifikasi ISO 27001 mengurangi duplikasi audit layanan kesehatan sebesar 60% — mencerminkan sejauh mana kontrol ISO 27001 memetakan ke persyaratan keamanan HIPAA. Pemetaan ini tidak sempurna (HIPAA mencakup persyaratan khusus layanan kesehatan yang tidak ditangani ISO 27001), namun mencakup sebagian besar perlindungan teknis dan organisasi yang diperlukan dalam uji tuntas BAA.
Pemetaan Kontrol
Kontrol Annex A ISO 27001 memetakan ke persyaratan Security Rule HIPAA dalam tiga kategori perlindungan:
Perlindungan administratif (164.308): Kontrol ISO A.5 (kebijakan keamanan informasi), A.6 (organisasi keamanan informasi), A.7 (keamanan sumber daya manusia), A.8 (manajemen aset) secara kolektif menangani persyaratan HIPAA untuk proses manajemen keamanan, tanggung jawab keamanan yang ditetapkan, keamanan tenaga kerja, manajemen akses informasi, kesadaran keamanan, dan perencanaan kontingensi.
Perlindungan fisik (164.310): Kontrol ISO A.11 (keamanan fisik dan lingkungan) menangani kontrol akses fasilitas, keamanan workstation, serta kontrol perangkat dan media.
Perlindungan teknis (164.312): Kontrol ISO A.9 (kontrol akses), A.10 (kriptografi), A.12 (keamanan operasi), A.13 (keamanan komunikasi) secara kolektif menangani kontrol akses, kontrol audit, kontrol integritas, dan keamanan transmisi.
Studi Kasus: Sistem Kesehatan Regional
Kantor kepatuhan sebuah sistem kesehatan regional besar yang memperbarui penilaian vendor meminta bukti "perlindungan yang tepat" sesuai BAA yang ada dari mitra bisnis penyedia layanan de-identifikasi PHI. Petugas kepatuhan meminta sertifikat ISO 27001 dan ringkasan kontrol. Sertifikat tersebut dipetakan ke persyaratan HIPAA 164.308, 164.310, dan 164.312 dalam dokumen pemetaan silang kontrol. Petugas kepatuhan mendokumentasikan jaminan yang memadai dalam file BAA — memberikan bukti yang memenuhi persyaratan audit OCR tanpa memerlukan penilaian keamanan 150 pertanyaan yang dibuat khusus.
Sumber: