ГОСТ Р ИСО/ТО 27809— 2009
считается непригодным. Кроме того, особенно важно будет достичь общей согласованности со сферой медицин
ских приборов, где уже используется ИСО 14971 (см. С.5.1). и в которой используются разные, как правило, более
практичные, механизмы.
С.6.3 Метод оценки риска информационной безопасности Правительства Великобритании CRAMM
CRAMM [40] является методом, распространяемым на коммерческой основе. В виде исключения он рас
смотрен в настоящем стандарте с признанием того, что он является интеллектуальной собственностью прави
тельства Великобритании, что он широко и успешно применяется многими организациями здравоохранения, а
также внедрен в Национальной службе здравоохранения Великобритании.
Данный метод был разработан примерно 17 лет назад и регулярно развивался и пересматривался. В
течение почти всего времени он поддерживался полуавтоматической сервисной программой, и известно, что
более 600 копий данной сервисной программы были внедрены более чем в 25 странах.
Данный метод и его сервисная программа поддерживают:
- процесс управления информационной безопасностью по BS 7799/ИСО 27001:
- моделирование ресурсов и зависимостей;
- анализ и управление рисками информационной безопасности, включая обработку рисков:
- спецификацию требований к непрерывности и возвращению к норме;
- создание библиотеки многократно используемых моделей рисков и соответствия;
- итеративные оценки с использованием взаимодействующих уровней функциональности «экспресс» и
«эксперт»;
- формирование отчетов по рискам и соответствию;
- средства повышения безопасности и планирование реализации.
Информационная безопасность трактуется в CRAMM в соответствии с ИСО 27001. CRAMM содержит базы
знаний/экспертные системы, включая:
- около 400 типов ресурсов (в т.ч. обработку информации, информационные сервисы, аппаратное и про
граммное обеспечение, коммуникационные протоколы, носители данных и места размещения);
- 26 разных типов воздействия (в т.ч. проблемы с конфиденциальностью, целостностью идоступностью);
- оценку воздействия по 10-балльной количественной или качественной шкале;
- около 40 типов угроз и степеней защищенности (включая случайные, преднамеренные, технические, чело
веческие и т.п. факторы), а также вопросы, на которые необходимо ответить, чтобы оценить их;
- семь уровней риска;
- восемь зон информационной безопасности (программное и аппаратное обеспечение, коммуникации,
персонал, документация, процедуры, физические аспекты и излучения);
- около 3500 контрмер (организованных в иерархические группы по мере возрастания конкретности и охва
та программных принципов, задач, функций и действующих образцов), индексированных в соответствии с угроза
ми и ресурсами, адекватным ответом на которые они являются.
Из изложенного выше следует, что подход, близкий к CRAMM или основанный на нем, может достаточно
эффективно использовать оценку безопасности пациентов при использовании программных продуктов для сфе ры
здравоохранения посредством систематизации существующих экспертных знаний, делающей информацию и
процессы общедоступными, и упрощения их использования не экспертами.
С.6.4 Выводы по стандартам, связанным с управлением рисками
Все стандарты, рассмотренные в настоящем разделе, имеют прямое отношение к обеспечению безопас
ности пациентов при использовании программных продуктов для сферы здравоохранения, хотя ни один из них не
может быть использован в его настоящем виде.
Совместное использование ИСО 27001 и CRAMM дает почти действующий образец того, что могло бы быть
достигнуто при использовании метода и инструментальных средств, соответствующих концепциям, изложенным в
МЭК 61508.
С.7 Общие выводы по стандартам по управлению рисками
Приведенный обзор показывает, что существует множество документов, стандартов и инструментальных
средств по управлению рисками, многие из которых относятся к законодательным и регулятивным требованиям
(которые не являются предметом рассмотрения в настоящем стандарте) или медицинским приборам (которые по
своей сути отличаются от программных продуктов). Что касается стандартов по медицинским приборам, то в
область применения некоторых из них включены программные продукты, хотя и как эффективные добавки к
самим медицинским приборам.
Данный обзор стандартов похазал, что они носят либо очень общий характер, либо слишком сложны для
непосредственного применения для целей настоящего стандарта, то есть для решения конкретных проблем
безопасности пациентов при применении программных продуктов для сферы здравоохранения неспециалиста ми
(с определенной степенью уверенности в точности результата).
Учитывая, что четкие нормативные материалы появятся только после завершения разработки стандарта
совместной рабочей группой ИСО/МЭК [35]. следует понимать, что уже достигнуты существенная унифицирован
ность и консенсус по ключевым компонентам эффективного управления рисками.
26