ГОСТ Р МЭК 80001-1—2015
Если проект предполагает внесение изменений в существующую МЕДИЦИНСКУЮ ИТ-СЕТЬ. то
план по МЕНЕДЖМЕНТУ РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ должен быть обновлен.
Соответствие требованиям данного подраздела проверяют путем экспертизы ФАЙЛА МЕ
НЕДЖМЕНТА РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ.
4.4 МЕНЕДЖМЕНТ РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ
4.4.1 Обзор
Данный подраздел описывает ПРОЦЕССЫ МЕНЕДЖМЕНТА РИСКОВ, которые обеспечивают ре
ализацию проекта МЕДИЦИНСКОЙ ИТ-СЕТИ, а также решение о вводо в эксплуатацию того или иного
изменения.
Действия по МЕНЕДЖМЕНТУ РИСКОВ, включающие АНАЛИЗ РИСКА. ОЦЕНИВАНИЕ РИСКА.
УПРАВЛЕНИЕ РИСКОМ, оценка и уведомление об ОСТАТОЧНОМ РИСКЕ, а также его принятие долж ны
быть документально оформлены. Данная документация может быть включена в план по МЕНЕД
ЖМЕНТУ РИСКОВ или существовать в виде отдельных документов в ФАЙЛЕ МЕНЕДЖМЕНТА РИСКОВ,
связанном с МЕДИЦИНСКОЙ ИТ-СЕТЬЮ. После выполнения ПРОЦЕССА УПРАВЛЕНИЯ ИЗМЕНЕНИ
ЯМИ И ВЕРСИЯМИ должны появиться планы действий в результате ОЦЕНКИ РИСКА.
П р и м е ч а н и е — Для каждой МЕДИЦИНСКОЙ ИТ-СЕТИ существует отдельный набор документов по
МЕНЕДЖМЕНТУ РИСКОВ, потому что меры по УПРАВЛЕНИЮ РИСКОМ для любого проекта или изменения не
должны вступать в противоречив с существующими мерами по УПРАВЛЕНИЮ РИСКОМ МЕДИЦИНСКОЙ ИТ-
СЕТИ или с мерами по УПРАВЛЕНИЮ РИСКОМ, предложенными в параллельном проекте.
Соответствие требованиям данного подраздела проверяют путем экспертизы ФАЙЛА МЕ
НЕДЖМЕНТА РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ.
4.4.2 АНАЛИЗ РИСКА
ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна выявлять наиболее вероятные ОПАСНОСТИ возмож
ные в МЕДИЦИНСКОЙ ИТ-СЕТИ.
Для каждой выявленной ОПАСНОСТИ ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна дать оценку
соответствующих РИСКОВ, используя доступную информацию или данные.
П р и м е ч а н и е — РИСКИ, которые необходимо проанализировать, охватывают весь жизненный цикл, в
первую очередь реализацию изменения и регулярное использование МЕДИЦИНСКОЙ ИТ-СЕТИ.
Если вероятность причинения ВРЕДА не может быть предварительно оценена, то должны быть
перечислены возможные последствия для ОЦЕНИВАНИЯ РИСКА и УПРАВЛЕНИЯ РИСКОМ.
Результат этой деятельности должен быть внесен в ФАЙЛ МЕНЕДЖМЕНТА РИСКОВ в МЕДИ
ЦИНСКОЙ ИТ-СЕТИ.
Соответствие требованиям данного подраздела проверяют путем экспертизы ФАЙЛА МЕ
НЕДЖМЕНТ РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ.
4.4.3 ОЦЕНИВАНИЕ РИСКА
Для каждой выявленной ОПАСНОСТИ ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна принять реше
ние. используя критерии, определенные в плане по УПРАВЛЕНИЮ РИСКАМИ. Возможны два варианта:
a) предварительная оценка дала настолько малую вероятность РИСКА(ОВ), что его снижение не
требуется. В данном случае основание для решения должно быть документально оформлено в ФАИЛЕ
МЕНЕДЖМЕНТА РИСКОВ МЕДИЦИНСКОЙ ИТ-СЕТИ;
b
) предварительная оценка дала недопустимое значение РИСКА(ОВ). В данном случае меры по
УПРАВЛЕНИЮ РИСКОМ должны быть реализованы в соответствии с 4.4.4.
Соответствие требованиям данного пункта проверяют путем экспертизы ФАЙЛА МЕНЕД
ЖМЕНТ РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ.
4.4.4 УПРАВЛЕНИЕ РИСКОМ
4.4.4.1 Анализ возможностей УПРАВЛЕНИЯ РИСКОМ
ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна выявлять и документально оформлять предложенные
меры по УПРАВЛЕНИЮ РИСКОМ для каждого недопустимого РИСКА до тех пор. пока ОСТАТОЧНЫЙ
РИСК не будет признан как допустимый.
Должны использовать один или несколько способов УПРАВЛЕНИЯ РИСКОМ из перечисленных
ниже в порядке приоритета:
a) управление, присущее проекту (например, физическая изоляция сети от внешних угроз):
b
) защитные меры (например, добавление аварийной сигнализации);
c) информация для обеспечения уверенности (например, оповещения, пользовательская доку
ментация. обучение).
15