ГОСТ Р ИСО/ТС 17090-1— 2009
информации от доступа и изменения со стороны неавторизованных лиц. Аутентификация рассмотрена
в 6.4.
5.2.3 Целостность
Поддержание целостности личной медицинской информации может буквально стать вопросом жизни
и смерти, когда такая информация необходима при оказании неотложной медицинской помощи. Более
того, существуют веские стимулы для нарушения целостности некоторых форм личной медицинской ин
формации (например, при назначении наркотических средств).
5.2.4 Конфиденциальность
Личная медицинская информация часто рассматривается какнаиболее конфиденциальная информа
ция в повседневной жизни. В отличие от электронногообмена информацией вэлектронной торговле, кон
фиденциальностьличной медицинской информации не может быть выражена вденежном эквиваленте, и
однажды нарушенное право пациента на неприкосновенность частной жизни не может быть легко восста
новлено.
5.2.5 Электронная подпись
Электронные подписи, используемые в здравоохранении, а также политики и практические приемы
по подтверждению их целостности, в конечном счете могут быть объектами особого интереса в ходе слу
шаний на следствии, рассмотрения дел о врачебной ошибке, заседаний профессиональныхдисциплинар
ных комитетов и других правомерных или квазиправомерных мероприятий, когда документы с электронной
подписью представляются в качестве вещественных доказательств.
ИОК также поддерживает сервисы авторизации и основанного на ролях контроля доступа. Данные
сервисы жизненно необходимы в сфере здравоохранения, поскольку в ней существует множество специ
ализаций и ситуаций, требующих разных уровней доступа к фрагментам личной медицинской информации в
зависимости от ситуации и роли привлеченного медицинского работника.
5.2.6 Авторизация
В сфере здравоохранения важно, чтобы права на доступ к личной медицинской информации предо
ставлялись только лицам, которым она необходима для лечения пациента/потребителя услуг, илидругим
лицам, которым дано информированное согласие пациента.
5.2.7 Контроль доступа
В сфере здравоохранения важно, чтобы имелись средства, обеспечивающие доступ к ресурсам
системы обработки данных только авторизованным лицам, авторизованными способами и для авторизо
ванных целей или функций, поскольку последствия неавторизованногодоступа могут быть необратимыми.
При использовании в сочетании с соответствующим стандартом обеспечения безопасности ИОК
может значительно снизить риск неавторизованногодоступа к медицинской информации пациента.
Целью настоящего стандарта является определение общих элементов ИОК. которые обеспечат це
почку доверия при обмене медицинской информацией в международном масштабе.
5.3 Отличие аутентификации от шифрования
В индустрии здравоохранения существует четкая потребность отделения подписания от функции
шифрования. Причина заключается в том. что авторизованным медицинским специалистам может потребо
ватьсядоступ к медицинской карте пациента в срочных или особых ситуациях, когда медицинский специа
лист. для которого сообщение предназначалось, отсутствует на месте или недоступен. В системе безопас
ности в здравоохранении обычной практикой является наличие индивидуального идентификационногосер
тификата. используемого для аутентификации, и сертификата организационной структуры, используемого
для шифрования.
Настоящий стандарт поддерживает различение сертификатов и связанных с ними ключей, использу
емых для аутентификации и шифрования (обеспечивающих конфиденциальность). В нем также подтверж
дается необходимость иметь отдельные сертификаты для установления личности и для управления
конт ролем доступа, привязанные к ключу аутентификации субъекта.
5.4 Структура управления безопасностью ИОК в индустрии здравоохранения
Инфраструктура с открытым ключом, необходимаядля поддержки безопасного обмена медицинской
информацией и доступа кданным в национальном и международном масштабе, должна поддерживаться
структурой общих политик по управлению безопасностью. Чтобы обеспечить уверенность в том. что дан
ная инфраструктура функционирует безопасно, необходимо установить нормы и правила по управлению
безопасностью.
Стандарты, определяющие нормы и правила по управлению информационной безопасностью, уже
существуют и являются общепринятыми. ИСО/МЭК17799. ИСО/ТО 13335-1 [4] и спецификация COBIT (16)
10