Compliance Glossar

HITRUST und ISO 27001 zählen zu den anspruchsvollsten, aber auch begehrtesten Zertifizierungen im Bereich Informationssicherheit, insbesondere für Unternehmen im Gesundheitswesen oder solche, die eine Partnerschaft mit Gesundheitsorganisationen anstreben. 

Oftmals reicht die Erfüllung nur eines dieser Standards nicht aus, um alle vertraglichen Anforderungen zu erfüllen. Hier kommt die Zuordnung von Sicherheitskontrollen zwischen HITRUST und ISO 27001 ins Spiel, um die Konformität beider Rahmenwerke sicherzustellen.

Hier ein kurzer Überblick darüber, wie die Zuordnung zwischen diesen beiden Standards funktioniert:

• HITRUST Kategorie 0.9: Viele der Kontrollmaßnahmen dieser Kategorie entsprechen mehreren Anhängen der ISO 27001, darunter A.8 (Asset-Management), A.10 (Kryptografie), A.12 (Betriebssicherheit), A.13 (Kommunikationssicherheit) und A.14 (Systembeschaffung, -entwicklung und -wartung). Dies deckt ein breites Spektrum an ISO-Normen für die größte HITRUST-Kategorie ab.
• HITRUST Kategorie 0.1: Die meisten Kontrollen hier entsprechen direkt dem Anhang A.9 der ISO 27001, der sich auf die Zugriffskontrolle konzentriert. Andere Kontrollen orientieren sich auch an den Anhängen A.6 (Organisation der Informationssicherheit), A.7 (Personalsicherheit) und A.8 (Asset-Management).
• HITRUST Kategorie 0.13: Diese Kategorie verfügt über sehr wenige Kontrollen, die spezifischen Kontrollen der ISO 27001 oder Anhängen entsprechen, sodass eine Zuordnung weitgehend überflüssig ist.

Da ISO 27001-Auditoren keine Anleitung zur Behebung von Problemen oder zur Schließung von Lücken geben können, kann der HITRUST CSF ein wertvolles Instrument zur Vorbereitung auf ein ISO 27001-Audit sein.