Ustanawia zabezpieczenia administracyjne, fizyczne i techniczne dla zachowania poufności, integralności i dostępności ePHI przed racjonalnie przewidywanymi zagrożeniami, niebezpieczeństwami oraz niedozwolonymi użyciami lub ujawnieniami.
Aktualna reguła znajduje się w 45 Code of Federal Regulations, Part 160 oraz Part 164, Subparts A i C. Jest oparta na ryzyku i neutralna technologicznie: regulowane podmioty muszą analizować ryzyka, wybierać racjonalne i odpowiednie zabezpieczenia, dokumentować decyzje, przypisywać odpowiedzialność, szkolić personel, zarządzać dostępem, przygotowywać się na sytuacje awaryjne i okresowo oceniać swoje kontrole. 6 stycznia 2025 HHS opublikował proponowane modyfikacje; na dzień 4 sierpnia 2026 nie są ostateczne, a HHS informuje, że aktualna reguła pozostaje w mocy.
Najważniejsze punkty
Poznaj granicęInwentaryzuj wszystkie ePHI tworzone, odbierane, utrzymywane lub przesyłane, w tym środowiska chmurowe, mobilne, urządzeń medycznych, kopii zapasowych i partnerów biznesowych.
Zarządzaj ryzykiemWykonuj i dokumentuj rzetelną analizę ryzyka, redukuj zidentyfikowane ryzyka do racjonalnego i odpowiedniego poziomu oraz aktualizuj zabezpieczenia przy zmianach operacji, technologii, zagrożeń lub prawa.
Interpretuj specyfikacje„Addressable" nie oznacza opcjonalne; podmiot musi wdrożyć specyfikację, gdy jest racjonalna i odpowiednia, albo udokumentować, dlaczego równoważny środek lub inna decyzja jest właściwa.
Istotne ograniczenieSecurity Rule nie jest listą kontrolną produktu ani dobrowolną certyfikacją. Reguły Privacy i Breach Notification nakładają inne obowiązki, a tylko wykwalifikowana analiza prawna może ustalić obowiązki podmiotu w konkretnym incydencie lub ustaleniu.