ГОСТ Р ИСО/ТС 22600-1—2009
политике, в котором они подтверждают намерение кдвижению в сторону реализации настоящего стан
дарта по мере возникновения потребности в модификации этих систем.
Соглашениео политикедолжно такжесодержатьописаниевыявленных различийвсистемахобес
печения информационной безопасности исогласованных мерпо их преодолению. Например, в сервисе
аутентификацииправа иобязанностиоднойстороны, запрашивающейдоступ «информациидругойсто
роны. должны обеспечиваться в соответствии с согласованной политикой, записанной в соглашении
между сторонами. Для решения этой задачи необходимо обеспечить соответствующую группировку и
классификацию как пользователей и поставщиков информации и информационных услуг, так и самой
информации и предоставляемых услуг. Такая классификация может служить основой для реализации
механизмов обработки требованийдоступа, категорирования информации и информационных услуг, а
такжемеханизмовописания политикконтролядоступа иуправления ими. Если всо взаимодействующие
стороны не видят каких-либо рисков, взаимодействие существующих систем и обмен информацией
можно начинать сразу же после подписания соглашения о политике контроля доступа. Если риски
настолько существенны, что их надо исключить до начала обмена информацией, то надо описать эти
риски в соглашении о политике контроля доступа идобавить к нему перечень мероприятий по устране
ниюрисков. Соглашениедолжно содержатьграфиквыполненияэтих мероприятий иопределятьспособ
ихфинансирования.
Процессдокументирования очень важен и служит основойдля выработки соглашения о политике
контролядоступа.
Требования куправлению полномочиями и контролюдоступа предъявляются ксервисам защиты,
необходимым для передачи медицинской информации иобеспечения распределенногодоступа к этой
информации. Настоящий стандарт представляет принципы и определяет сервисы, необходимые для
управленияполномочиями иконтролядоступа. Криптографические протоколы не входят вобласть при
менения настоящего стандарта.
В стандарте ИСО/ТС 22600. состоящем из двух частей, содержатся ссылки на уже принятые стан
дарты информационной безопасности иархитектуры ее реализации, а также наспецификации, предло
женныедля здравоохранения такимиорганизациями, как ИСО. CEN. ASTM, OMG. W3C идругими. В нем
поддерживается применение подходящих стандартовлибо предлагается их улучшение или модифика
ция. либо обосновывается необходимость разработки новых стандартов.
В настоящем стандарте (ИСО/ТС 22600. часть 1 «Общие сведения и управление общей полити
кой») содержится описаниесценариев икритичныххарактеристиктрансграничногообмена информаци
ей. В нем также приводятся примеры методов необходимого документирования, которые должны
послужитьосновой соглашения о политике контролядоступа.
В ИСО/ТС 22600. часть 2 «Формальные модели» содержатся более детальные описания архитек
туры и моделей полномочий и управления полномочиями, реализуемых для обеспечения защиты
совместногодоступа кинформации, дополненные примерамишаблонов соглашенийо политикеконтро
лядоступа.
Настоящий стандарт тесно связан с другими международными стандартами в этой предметной
области, например ИСО/ТС 17090 и ИСО/ТС 21091. Он также связан с ведущейся разработкой проекта
ИСО/ТС 21298.
Распределенная архитектура совместно используемых медицинских информационных систем
всев большей степениоснована на применении вычислительныхсетей. Благодаряощутимым выгодам
для пользователей, применение стандартизованных интерфейсов пользователя, инструментальных
средств и протоколов, обеспечивающее платформенную независимость предлагаемых решений, ста
новится все более популярным, что за пару последних лет привело к ощутимому росту числа действи
тельно открытых информационных систем, предназначенныхдля функционирования в корпоративных
вычислительныхсетях и в частных виртуальныхсетях.
Стандарт ИСО/ТС 22600 определяет сервисы управления полномочиями и контроля доступа,
необходимыедля распределенногодоступа и обмена медицинской информацией между всеми заинте
ресованными пользователями, удаленными друг от друга и использующими разные средства защиты
информации. В настоящем стандартеустановлены принципы и определены сервисы, необходимыедля
управления полномочиями и контролядоступа. В нем определены необходимые понятия, базирующие
ся на компонентах, ион предназначен для поддержки их технической реализации. Настоящий стандарт
не определяет применение этих понятий в конкретныхпроцессахоказания медицинской помощи.
v