HITRUST CSF

Définition

Le HITRUST CSF, Common Security Framework, est un référentiel de sécurité et de conformité américain développé initialement pour le secteur de la santé, mais désormais utilisé plus largement par des organisations de secteurs variés, se distinguant par son approche intégrative harmonisant les exigences de multiples référentiels préexistants, comme la HIPAA Security Rule, l'ISO 27001, la norme PCI DSS ou le catalogue NIST 800-53, en un ensemble unifié de contrôles évitant à l'organisation certifiée de démontrer séparément sa conformité à chacun de ces textes de manière redondante. Ce référentiel propose plusieurs niveaux de certification selon le degré d'assurance recherché, allant d'une auto-évaluation à une certification validée par un tiers indépendant accrédité par HITRUST Alliance, l'organisme gérant le référentiel, avec une reconnaissance croissante par les grands acteurs du secteur de la santé et de l'assurance américains comme preuve de conformité substituable à des audits multiples et coûteux menés séparément pour chaque référentiel sous-jacent. Pour un éditeur de logiciel de santé numérique ou un hébergeur cloud américain travaillant avec de nombreux clients du secteur de la santé, la certification HITRUST CSF permet de mutualiser l'effort de conformité auprès d'un ensemble de clients ayant chacun des exigences réglementaires similaires mais formulées différemment, réduisant ainsi la charge cumulée d'audits individuels répétés pour des exigences substantiellement équivalentes entre elles.