Compliance Glossar

Die HITRUST Risk-Based, 2-Year (r2) Validated Assessment ist ein umfassendes Zertifizierungsprogramm, das eine Reihe von individuell angepassten Bewertungen bietet, um eine eingehende Beurteilung der Informationssicherheits- und Risikomanagementpraktiken eines Unternehmens zu ermöglichen. 

Der r2-Ansatz konzentriert sich auf die Bewertung der implementierten Sicherheitskontrollen sowie deren Reifegrad. Dadurch eignet sich dieses Rahmenwerk für Bereiche mit höherem Risiko, die zusätzliche und tiefgreifendere Ansätze zum Schutz vor Bedrohungen erfordern.

Alle Sicherheits- und Datenschutzmaßnahmen im Rahmen der r2-Bewertung sind nach verschiedenen regulatorischen Rahmenwerken unterteilt, darunter HIPAA, NIST und ISO. Dies vereinfacht den gesamten Compliance-Prozess, da eine Organisation mit einer einzigen Bewertung die Compliance in all diesen Bereichen gleichzeitig erreichen kann. 

Während HITRUST i1 eine Bewertung anhand von Basiskontrollen vornimmt, gibt die Bewertung für r2 Aufschluss darüber, inwieweit die Kontrollen einer Organisation speziell auf deren Risikobereitschaft zugeschnitten sind.

Der Bewertungsprozess beginnt mit einer Bereitschaftsanalyse, in der eine Organisation ihre Sicherheitslücken ermittelt. Ein externer Experte führt die validierte Bewertung durch, um die Stärke und Komplexität der Kontrollmechanismen der Organisation zu beurteilen. Dieser Prozess umfasst die Prüfung der Kontrollimplementierung, die Überprüfung der Kontrollfunktion und eine Risikobewertung durch die bestehenden Kontrollen.

Nach Abschluss der Bewertung werden die Ergebnisse zusammengetragen und an HITRUST übermittelt. Im Anschluss erhält die Organisation die HITRUST-r2-Zertifizierung für zwei Jahre. Nach einem Jahr muss die Organisation eine Zwischenbewertung durchführen, um zu überprüfen, ob die Kontrollen wie geplant funktionieren und ob neue Risiken angemessen berücksichtigt werden.