ГОСТ Р 56839—2015
Если оценка на ШАГЕ 5 дала умеренную степень РИСКА, то, основываясь на предположении,
указанном выше, должны быть определены и реализованы дальнейшие возможности УПРАВЛЕНИЯ
РИСКОМ (выполнен данный шаг), если это практически достижимо. Если дальнейшее уменьшение рас
сматриваемых РИСКОВ не представляется практически достижимым или если политикой ОО все же
установлено, что в данном случае РИСК допустим, то можно опустить выполнение ШАГОВ 7-9.
Если оценка на ШАГЕ 5 дала низкую степень РИСКА, то в дальнейших возможностях по УПРАВ
ЛЕНИЮ РИСКОМ нет нужды и ШАГИ 6-9 можно опустить.
7.4.6.2 Идентификация мер по УПРАВЛЕНИЮ РИСКОМ
Как было объяснено в 4.6 МЭК 80001-1:2010, меры по УПРАВЛЕНИЮ РИСКОМ способны умень
шить вероятность возникновения ОПАСНОЙ СИТУАЦИИ или же могут уменьшить вероятность возник
новения НЕПРЕДНАМЕРЕННЫХ ПОСЛЕДСТВИЙ в случае, когда ОПАСНАЯ СИТУАЦИЯ уже возникла.
Например. РИСК, возникающий в результате одиночного отказа может быть снижен устранением этого
одиночного отказа (например, за счет резервной линии связи) или уменьшением последствий этого
от каза (например, уведомлением о прерванном соединении).
Как установлено в 4.4.4.1 МЭК 80001-1:2010, при оценке мер реализации по УПРАВЛЕНИЮ РИ
СКОМ. следует рассмотреть следующие возможности в том порядке приоритетов, в котором они пере
числены:
a) средства управления проектированием (например, надлежащее планирование пропускной спо
собности сети). Предпочтительные меры по управлению РИСКОМ — устранение или снижение возмож
ного РИСКА при проектировании сетевой системы или ее компонентов;
b
) защитные меры (например, контроль использования пропускной способности сети и сигнали
зация о нарушении ограничений). Если РИСК не может быть устранен или уменьшен до допустимого
уровня при проектировании, то можно прибегнуть к реализации защитных мер, как к альтернативной
возможности. Эта возможность менее желательна, так как она обычно требует ответа, что должно из
меняться. Данная категория может также включать конкретные клинические или ИТ ПРОЦЕССЫ.
c) информация для обеспечения КЛЮЧЕВЫХ СВОЙСТВ (например, предупреждения, документа
ция пользователя, обучение). Предоставление информации по РИСКУ считается менее эффективным
методом, чем возможности УПРАВЛЕНИЯ РИСКОМ, потому что это основано на установлении РИСКА
и реакции на него.
Примеры мер по УПРАВЛЕНИЮ РИСКОМ включены в МЭК 80001-1. а также в раздел 8.
Выбранные меры по УПРАВЛЕНИЮ РИСКОМ необходимо зафиксировать в ФАЙЛЕ МЕНЕД
ЖМЕНТА РИСКА МЕДИЦИНСКОЙ ИТ СЕТИ. Если ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ по результатам
деятельности МЕНЕДЖМЕНТА РИСКА решает, что установленный тип стандартного изменения может
быть осуществлен с допустимым РИСКОМ, подчиняющимся установленным ограничениям, то эта ОТ
ВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ может выпустить РАЗРЕШЕНИЕ НА ИЗМЕНЕНИЕ, которое позволяет
осуществлять такие стандартные изменения и устанавливает ограничения на них. В приложении F при
ведено больше информации о РАЗРЕШЕНИЯХ НА ИЗМЕНЕНИЕ.
7.4.6.3 Выбор мер по УПРАВЛЕНИЮ РИСКОМ
После идентификации возможностей УПРАВЛЕНИЯ РИСКОМ, необходимо выбрать средства
УПРАВЛЕНИЮ РИСКОМ, которые требуется реализовать для снижения ОСТАТОЧНОГО РИСКАдо до
пустимых уровней.
В некоторых случаях необходимо провести оценку практической возможности УПРАВЛЕНИЯ РИ
СКОМ. УПРАВЛЕНИЕ РИСКОМ считается практически не выполнимым, если затрачиваемое время,
усилия и расходы не пропорциональны пользе. Процедура оценки пропорциональности и практической
возможности может включать в себя, но не ограничиваться:
- качественный анализ преимуществ и трудностей УПРАВЛЕНИЯ РИСКОМ;
-оценка повышения управляемости МЕДИЦИНСКОЙ ИТ СЕТИ;
-оцениванием повышения устойчивости МЕДИЦИНСКОЙ ИТ СЕТИ.
7.4.6.4 Повторная оценка РИСКА
После того как были выбраны меры по УПРАВЛЕНИЮ РИСКОМ, вероятность и основные НП
должны быть повторно оценены (возвращение к ШАГУ 3 и 4). и ОСТАТОЧНЫЙ РИСК, связанный с ин
дивидуальной ОПАСНОЙ СИТУАЦИЕЙ после УПРАВЛЕНИЯ РИСКОМ должен быть повторно оценен
(ШАГ 5).
ОСТАТОЧНЫЙ РИСКэто РИСК, который остается после реализации мер УПРАВЛЕНИЯ РИСКОМ.
Это равносильно окончательному уровню РИСКА ОПАСНОЙ СИТУАЦИИ.
На данном этапе выбранная возможность УПРАВЛЕНИЯ РИСКОМ является просто идеей и по этому
повторная оценка основывается на умозаключении о том, каким может быть ее влияние на РИСК,
17