ГОСТ Р 56849—2015
медицинские услуги, оценить действие МЭК/ТО 80001-1 на организации и создать серию бизнесов в
виде обычных процессов для управления риском на стадиях создания, сопровождения и поддержания в
рабочем состоянии медицинских ИТ-сетей.
5.1.10ИСО 27799:2008 Информатизация здоровья. Менеджмент информационной
безопасности в здравоохранении по ИСО/МЭК 27002 (ISO 27799:2008, Health informatics —
Information security management in health using ISO/IEC 27002)
5.1.10.1 Область применения
ИСО 27799 содержит руководящие указания, необходимые для интерпретации или внедрения
ИСО/МЭК 27002 в области ИЗ. и является дополнением к этому стандарту. ИСО 27799 определяет под
робный набор элементов управления для менеджмента информационной безопасности и содержит
руководящие указания для обеспечения наилучших практических результатов и обязательные
требования для защиты конфиденциальности, целостности и доступности персональной медицинской
информации. ИСО 27799 также включает требования к проектированию, разработке, внедрению и
технической поддержке информационных систем.
5.1.10.2 Применимость/приемлемость риска
ИСО/МЭК 27002 является сводом правил, который определяет средства управления для СМИБ.
ИСО/МЭК 27002 является масштабным, сложным стандартом, и его рекомендации не разработаны
специально для сферы здравоохранения. ИСО 27799 поддерживает внедрение ИСО/МЭК 27002 в
сфере здравоохранения последовательно и уделяя особое внимание уникальным задачам, которые
возникают в здравоохранении. Средства управления признаются обязательными, если они счита
ются необходимыми для защиты безопасности пациентов. Следуя ИСО 27799. медицинские органи
зации обеспечивают поддержку конфиденциальности и целостности данных, за которые они несут
ответственность, доступность ключевых систем медицинской информации и поддержку возможности
учета медицинской информации.
5.1.10.3 Информация о жизненном цикле и уровне детализации
Применяется к проектированию, разработке, реализации и эксплуатации (т. е. клиническому
использованию и текущему обслуживанию), а также к приложениям и корпоративным приложениям.
5.1.10.4 Связь (отношение)
Выбор и применение средств управления защитой в ИСО/МЭК 27002:2013 будут основаны на
оценке рисков в конкретной среде. Таким образом. ИСО 27799:2008 ограничивает некоторые средства
управления путем проведения общей оценки медицинской информации.
ИСО 27799 является специализированной для здравоохранения версией ИСО/МЭК 27002 Ин
формационные технологии. Средства обеспечения безопасности. Свод норм и правил менеджмента
информационной безопасности (ISO/IEC 27002 Information technology — Security techniques. — Code of
practice for information security management), которая предоставляет перечень общепринятых задач
управления и наилучших средств управления, используемых в качестве руководства при выборе и вне
дрении средств управления для достижения информационной безопасности. ИСО/МЭК 27002 является
частью семейства стандартов ИСО/МЭК 27000.
Главным стандартом семейства ИСО/МЭК 27000 является ИСО/МЭК 27001 Информационные
технологии. Методы и средства обеспечения безопасности. Системы менеджмента информационной
безопасности. Требования (ISO/IEC 27001. Information technology — Security techniques— Information se
curity management systems — Requirements), который определяет требования к созданию, эксплуата
ции, контролю, анализу, технической поддержке и совершенствованию формализованной информации
систем менеджмента безопасности в контексте общих деловых рисков организации.
ИСО/МЭК 27005 Информационные технологии. Методы и средства обеспечения безопасности.
Менеджмент риска информационной безопасности (ISO/IEC 27005. Information technology — Security
techniques — Information security risk management) предоставляет руководство no менеджменту рисков
информационной безопасности, в том числе советы по оценке рисков, обработке рисков, принятию
риска, предупреждению о рисках, контролю рисков и анализу рисков.
П р и м е ч а н и я
1ИСО/МЭК27001 формально определяетобязательные требованиякСМИБ. Ониспользует ИСО/МЭК27002.
чтобы указать соответствующие средства управления информационной безопасностью в рамках СМИБ. В органи
зации может быть проведен аудит по ИСО/МЭК 27002, но нет способа пройти «сертификацию» на его основании, так
как он является сводом правил. Организация может пройти аудит по ИСО/МЭК 27001 и получить сертификат
соответствия.
26