Ustanovuje administrativní, fyzické a technické pojistky k uchování důvěrnosti, integrity a dostupnosti ePHI proti přiměřeně předvídatelným hrozbám, nebezpečím a nepřípustným použitím či zpřístupněním.
Současné pravidlo se nachází v 45 Code of Federal Regulations Part 160 a Part 164, Subparts A a C. Je založené na riziku a neutrální k technologii: regulované entity musí analyzovat rizika, vybrat rozumné a vhodné pojistky, dokumentovat rozhodnutí, přiřadit odpovědnost, školit personál, řídit přístup, připravit se na mimořádné události a periodicky hodnotit své kontroly. Dne 6. ledna 2025 HHS publikovalo navrhované modifikace; k 4. srpnu 2026 nejsou finální a HHS uvádí, že současné pravidlo zůstává v platnosti.
Klíčové body
Znejte hraniciInventarizujte veškeré ePHI vytvářené, přijímané, udržované či přenášené, včetně cloudových, mobilních, zdravotnicko-přístrojových, zálohovacích a obchodně-partnerských prostředí.
Řiďte rizikoProveďte a dokumentujte přesnou analýzu rizik, snižujte identifikovaná rizika na rozumnou a vhodnou úroveň a aktualizujte pojistky, když se mění operace, technologie, hrozby či právo.
Interpretujte specifikace„Addressable" neznamená volitelné; entita musí specifikaci implementovat, když je rozumná a vhodná, či zdokumentovat, proč je ekvivalentní opatření či jiné rozhodnutí přiměřené.
Důležité omezeníSecurity Rule není checklist produktu ani dobrovolná certifikace. Pravidla o soukromí a oznamování narušení ukládají odlišné povinnosti a pouze kvalifikovaná právní analýza může určit povinnosti entity v konkrétním incidentu či ujednání.