ГОСТ Р ИСО 17090-3—2010
7.5.1 Общие сведения
Физические и процедурные средства контроля безопасности, атакже средства контроля персона
ла должны соответствовать ИСО/МЭК 27002 (или его эквиваленту) либо утвержденным критериям
аккредитации или лицензирования.
7.5.2 Физические средства контроля
(5.1)
Физические средства контролядолжны соответствовать ИСО/МЭК27002 (или его эквиваленту).
7.5.3 Процедурные средства контроля
(5.2)
ПроцедурныесредстваконтролядолжнысоответствоватьИСО/МЭК27002(или егоэквиваленту).
7.5.4 Сродства контроля персонала
(5.3)
Средства контроля персоналадолжны соответствовать ИСО/МЭК 27002 (или его эквиваленту).
7.5.5 Процедуры ведения журнала аудита безопасности
(5.4)
Процедуры ведения журнала аудита безопасностидолжны соответствовать ИСО/МЭК 27002.
7.5.6 Архив записей
7.5.6.1 Общие сведения
(5.5)
Записи должны архивироваться в соответствии с ИСО/МЭК 27002 и с национальными законами,
нормами иправилами посохранности архивов. Медицинская информация являетсяповторноиспользу
емой и может существовать столько же (идаже дольше), сколько и человек, к которому она относится.
Это создаетособую потребностьвдолговременном хранениизаписей, заверенныхэлектронной цифро
вой подписью, при этом важную роль играют технологии, обеспечивающие хранение меток времени и
невозможностьотказа от авторства втечение длительного срока.
7.5.6.2 Типы архивированныхзаписей
(5.5.1)
В будущемважнознать, какили почемусертификатбылсоздан. Центры регистрации всферездра
воохранения или их центры сертификации должны архивировать такие события, как запросы на созда
ние или отзыв сертификатов.
7.5.6.3 Срокхранения архива
(5.5.2)
Критерии для срока храненияархива должны бытьопределены в соответствии со спецификацией
IETF/RFC 3647, пункт 5.5.2. Какотмеченовыше, медицинская информация являетсяповторноиспользу
емой и может существовать столько же (и даже дольше), сколько и человек, к которому она относится.
Это создает особую потребность вдолговременном хранении электронных цифровых подписей.
7.5.7 Замена ключей
(5.6)
Чтобы держателисертификата могли безболезненно переходить от одногооткрытого ключа кдру
гому. уполномоченное лицо посертификации должно выпустить новый сертификат за 30 дней до даты
замены и четко проинформировать держателей сертификата о дате, начиная с которой они должны
будут использовать новый сертификат.
7.5.8 Устранение последствий компрометации иаварий
(5.7)
Процедуры аудита безопасностидолжны соответствовать ИСО/МЭК27002.
7.5.9 Завершение деятельности ЦС
(5.8)
Если ЦС прекращаетработу, тоондолженуведомитьобэтомсвоихдержателейсертификатовсра
зу после завершения деятельности, подготовить заключительную публикацию СОС и обеспечить про
должение хранения ключейи информации ЦС. Он такжедолжен уведомить все центрысертификации,
с которыми имеются кросс-сертификаты.
При передачедеятельности одного ЦС другому ЦС, работающему на более низком уровне гаран
тий. сертификаты, выпущенные ЦС. чья деятельность передается, должны быть отозваны через СОС.
подписанныйданным ЦС до передачи дел.
При ликвидации ЦС должны быть приняты меры пообеспечению безопасного архивирования или
уничтожения записейданного ЦС.
14