HIPAA BAA Requirements
BAA (Business Associate Agreement) กำหนดให้ Business Associates:
- 'assurances ที่น่าพอใจ' ของ appropriate safeguards
- แจ้งการละเมิด
- Subcontractor BAAs
'Appropriate safeguards' ไม่ถูกนิยามอย่างชัดเจน — ต้องการหลักฐาน
ISO 27001 → HIPAA Mapping
| HIPAA Security Rule | ISO 27001 Controls |
|---|---|
| 164.308 Administrative | A.5-A.8 Information security policies |
| 164.310 Physical | A.11 Physical security |
| 164.312 Technical | A.8, A.9 Access control |
| 164.316 Documentation | A.5.1 Documentation |
ชุดหลักฐานที่สำหรับ Healthcare Vendor
- ISO 27001 Certificate (current)
- Statement of Applicability
- HIPAA-specific policies
- Penetration test report
- Employee training records
แหล่งที่มา: