Wat is HITRUST?
HITRUST (Health Information Trust Alliance) biedt het Common Security Framework (CSF), een certifceerbaar beveiligingskader dat meerdere regelgevingen en normen harmoniseert. Oorspronkelijk ontwikkeld voor de gezondheidszorg, wordt HITRUST nu breed ingezet in financiële dienstverlening, technologie en andere sectoren waar aantoonbare beveiliging vereist is.
Het HITRUST CSF integreert en harmoniseert eisen uit HIPAA, ISO 27001/27002, NIST CSF, PCI DSS, COBIT en meer dan 40 andere bronnen in één uitgebreid raamwerk met een geïntegreerd beoordelingsproces.
HITRUST-assessmenttypes
- e1 (Essentials): 44 beheersmaatregelen — basislijn voor organisaties die beginnen met informatiebeveiliging. Geldigheid: 1 jaar.
- i1 (Implemented): 182 beheersmaatregelen — voor organisaties die goede beveiligingspraktijken willen aantonen. Geldigheid: 1 jaar.
- r2 (Risk-based): Volledig risicogebaseerd assessment met op maat geselecteerde beheersmaatregelen — de gouden standaard. Geldigheid: 2 jaar met tussentijdse beoordeling.
Wie heeft HITRUST nodig?
- Gezondheidszorgorganisaties en zorgverleners
- Health IT-bedrijven en elektronische gezondheidsdossier-leveranciers
- Ziektekostenverzekeraars en pharmacy benefit managers
- SaaS-bedrijven die de Amerikaanse gezondheidszorgmarkt bedienen
- Betalingsverwerkers voor gezondheidszorg
- Elke organisatie die HIPAA-compliance moet aantonen
HITRUST versus andere raamwerken
- HITRUST integreert HIPAA-eisen — geen afzonderlijke HIPAA-audit nodig
- HITRUST mapt naar ISO 27001, NIST CSF en PCI DSS
- Eén HITRUST r2-assessment kan meerdere compliance-eisen dekken
- HITRUST-certificering wordt breed geaccepteerd als bewijs van “reasonable security”
Het BALTUM-proces: stap voor stap
- Stap 1 — Scoping en assessmentkeuze: Selectie van e1, i1 of r2-assessment op basis van bedrijfsbehoeften en klanteisen.
- Stap 2 — Readiness assessment: Gap-analyse ten opzichte van de geselecteerde HITRUST-beheersmaatregelen, remediëringsroadmap.
- Stap 3 — Implementatie en documentatie: Invoering van beheersmaatregelen, beleidsdocumentatie en bewijsverzameling in het HITRUST MyCSF-platform.
- Stap 4 — Validated assessment: Beoordeling door een HITRUST Authorized External Assessor met rapportage aan HITRUST.
- Stap 5 — Certificering en onderhoud: HITRUST-certificeringsuitgifte en tussentijdse beoordelingen.
Typische doorlooptijd
HITRUST e1: 2–3 maanden. HITRUST i1: 3–5 maanden. HITRUST r2: 6–12 maanden. Organisaties met bestaande ISO 27001- of SOC 2-rapportage kunnen het traject aanzienlijk versnellen dankzij overlappende beheersmaatregelen.
Integratie met andere normen
- HITRUST + ISO 27001 (Geïntegreerd bewijskader)
- HITRUST + SOC 2 (SOC 2 + HITRUST gecombineerd rapport)
- HITRUST + ISO 27701 (Gezondheidszorgprivacy)
- HITRUST + NIST CSF (Cyberrisicobeheer)