ГОСТ
Р
55036—2012/ISO/TS 25237:2008
Обеспечение конфиденциальности уровня 2: предполагается наличие злоумышленника, использую
щего внешние данные.
Второй уровень обеспечения конфиденциальности может бытьдостигнут, если будут приняты во вни
мание глобальная модельданных и потоки данных в этой модели. При определении процедур, необходи
мыхдля достижения этого уровня, необходимо провести статический анализ угроз восстановления иден
тичности различными действующими лицами. Кроме того, необходимо предполагать наличие злоумыш
ленника. которыйдля идентификации специфичных совокупностей характеристикиспользует внешниедан
ные вдополнение к псевдонимизированным.Доступные внешниеданные могут зависеть от законодатель
ства конкретной страны и специфических знаний злоумышленника. Примером противодействующих проце
дур может служить удаление изданных абсолютных значений меток времени. Метка времени «Т» может
быть привязана, например, к поступлению пациента в стационар, а время начала других событий, напри
мер выписки, может задаваться по отношению к этой метке. Злоумышленником считается организация или
лицо, собирающееданные (санкционирование или несанкционированно) и задающееся целью несанкцио
нированно привязать эти данные ксубъектам данных, чтобы тем самым получить информацию, которая
ему не предназначена. При анализе угрозданные, собираемые и используемые злоумышленником, назы
ваются «наблюдаемыми» данными. Следует иметь в виду, что неразрешенная или нежелательнаядеятель
ность злоумышленника состоит не в том, что он собирает данные, а в том, что он пытается привязать их к
субъектуданных и тем самым получить несанкционированные сведения о субъектеданных.
Модель угроз может включать в себя определенные предположения о злоумышленнике и его дей
ствиях. Например, законодательство некоторых стран может разрешать сбор данных о выписанных паци
ентах организациям, которые напрямую не вовлечены в процесс лечения или связанный с ним процесс
управления пациентами. Модель угроз может принимать во внимание вероятностьдоступности определен
ных совокупностей характеристик пациентов.
С концептуальной точки зрения злоумышленник может привноситьэлементы данных, которые в иде
альном случае не существуют.
Документ политики конфиденциальности должен содержать оценку вероятности атакподобного рода.
Обеспечение конфиденциальности уровня 3: предполагается наличие злоумышленника, использую
щего аномальные данные.
Степень угрозы восстановления идентичности может серьезно зависеть от самих данных, например
от наличия аномальных или редко встречаемых данных. Такие данные могут косвенным образом способ
ствовать идентификации субъекта данных. Например, если в какой-тодень клинику посетил только один
пациент со специфичной патологией, то наблюдение затем. кто посещал клинику втотдень, может косвен
но способствовать идентификации этого пациента.
Статический анализ модели угроз, проводящийся для оценки процедуры псевдонимизации. сам по
себе не может дать количественную оценку уязвимости содержания базы данных, поэтому для достиже
ния более высокого уровня обезличивания необходимо проводить регулярный анализ накопленной базы
данных.
На практике трудно доказать, что конфиденциальность может обеспечиваться на уровне 3.
5.2 Категории субъектов данных
5.2.1 Общие сведения
В настоящем стандарте основное внимание уделяется псевдонимизации данных о пациентах/полу-
чателях медицинской помощи, но изложенные в нем принципы могут применяться и к другим категориям
субъектовданных, например кработникам здравоохранения или организациям.
В 5.2.2—5.2.4 перечислены специфичные категории субъектов данных и перечни особенностей этих
категорий.
5.2.2 Пационт/получатель медицинской помощи
Решения о защите идентичности пациента могут быть обусловлены:
- требованиями законодательства по обеспечению конфиденциальности персональныхданных:
- необходимостью соблюдения врачебной тайны для установления доверительных отношений между
медицинским работником и пациентом;
- ответственностью за ведение регистров социально значимых заболеваний и других ресурсов ин
формации об общественном здоровье;
- передачей минимально необходимой идентифицирующей информации третьим сторонам при оказа
нии медицинской помощи (например для выполнения лабораторных анализов);
11