ГОСТ Р 56839—2015
Приложение Е
(справочное)
КОНТРОЛЬ эффективности ослабления РИСКА
Е.1 Обзор
КОНТРОЛЬ представляет из себя непрерывный обзор всей деятельности МЕНЕДЖМЕНТА РИСКА и возмож
ностей УПРАВЛЕНИЯ РИСКОМ, установленных для достижения допустимого РИСКА использования (на стадии
эксплуатации) МЕДИЦИНСКОЙ ИТ СЕТИ(ЕЙ). Он предоставляет свидетельство того, что совокупный РИСК для
ОСНОВНЫХ СВОЙСТВ МЕДИЦИНСКОЙ ИТ СЕТИ является допустимым. Результат действий КОНТРОЛЯ может
привести к:
- восстановлению ухудшенных рабочих характеристик ОСНОВНЫХ СВОЙСТВ (сигнал для УПРАВЛЕНИЯ
СОБЫТИЯМИ):
- улучшению мер УПРАВЛЕНИЯ РИСКОМ (запрос на изменение);
- внесению изменений в ПРОЦЕСС МЕНЕДЖМЕНТА РИСКА, критерии допустимости или политику.
Надлежащий КОНТРОЛЬ требует анализ:
- эффективности установленных мер по УПРАВЛЕНИЮ РИСКОМ (см. Е.2);
- эффективности проектирования и выполнения ПРОЦЕССА МЕНЕДЖМЕНТА РИСКА (см. Е.З).
Е.2 Верификация эффективности мер по УПРАВЛЕНИЮ РИСКОМ
КОНТРОЛЬ затрагивает три возможности УПРАВЛЕНИЯ РИСКОМ (см. МЭК 80001-1:2010. пункт 4.4.2.4.1
«Анализ возможностей УПРАВЛЕНИЯ РИСКОМ»), Они представлены (в порядке предпочтения) ниже:
a) управление основным свойством, предусмотренное при проектировании (например, фильтрация пакетов
на границе сети);
b
) защитные меры (например, добавление сигнализации):
c) информация для обеспечения ОСНОВНЫХ СВОЙСТВ (например, предупреждения, документация поль
зователя, обучение).
Е.З Верификация эффективности управления основным свойством, предусмотренного при
проектировании
КОНТРОЛЬ мер по УПРАВЛЕНИЮ РИСКОМ, основанный на КОНТРОЛЕ, заложенном в проекте МЕДИЦИН
СКОЙ ИТ СЕТИ, требует поиска любых еще не обнаруженных РИСКОВ в компонентах или в конфигурации МЕДИ
ЦИНСКОЙ ИТ СЕТИ, чем напоминает послепродажный контроль.
a) ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ (ОО) воспринимает МЕДИЦИНСКИЕ ПРИБОР(Ы) и компоненты ИТ
СЕТИ как черные ящики.
i) В соответствии с регламентом юрисдикции. ПРОИЗВОДИТЕЛИ МЕДИЦИНСКИХ ПРИБОРОВ могут осу
ществлять послепродажный контроль (PMS). обнаруживая любую проблему, связанную с проектированием, из
готовлением или конфигурацией и информировать ОТВЕТСТВЕННУЮ ОРГАНИЗАЦИЮ о требующихся или пред
лагаемых действиях по решению данной проблемы (например, отзыв или уведомление безопасности).
ii) ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна соответствующим образом реагировать на любое уведомле
ние от ПРОИЗВОДИТЕЛЯ.
id) ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна информировать ПРОИЗВОДИТЕЛЯ о любых проблемах с их
МЕДИЦИНСКИМ ПРИБОРОМ или компонентом ИТ СЕТИ, или конфигурацией, связанной с приборами, компонен
тами или конфигурацией, для того, чтобы ПРОИЗВОДИТЕЛЬ мог осуществлять послепродажный контроль.
П р и м е ч а н и е — Процедуры устанавливаются, как часть ПРОЦЕССА МЕНЕДЖМЕНТА РИСКА, и они
лучше интегрируются с УПРАВЛЕНИЕМ ИЗМЕНЕНИЯМИ И ВЕРСИЯМИ и УПРАВЛЕНИЕМ СОБЫТИЯМИ.
b
) Элементы конфигурации. КОНТРОЛЬ эффективности мер по УПРАВЛЕНИЮ РИСКОМ, который основан
на конфигурации, может быть достигнут за счет:
i) контроля (критических) элементов конфигурации или контроль рабочей характеристики системы, которая
основана на этих элементах конфигурации МЕДИЦИНСКОЙ ИТ СЕТИ. Как правило, такой контроль осуществляет ся.
используя сетевые средства, например, контроля QoS, обнаружения проникновения. Единичное уведомление,
поступившее от данных средств, является событием и должно быть перенаправлено в УПРАВЛЕНИЕ СОБЫТИЯ МИ;
ii) анализа жалоб или проблем пользователя, которые обрабатывались процедурой УПРАВЛЕНИЯ СОБЫ
ТИЯМИ. Это может указать на ухудшение ОСНОВНЫХ СВОЙСТВ и/или неправильное использование процедур
пользователя МЕДИЦИНСКОЙ ИТ СЕТИ;
id) периодического анализа событий для обнаружения тенденций или других признаков, указывающих на
складывающийся РИСК для ОСНОВНЫХ СВОЙСТВ. Типичными признаками этого являются:
1) увеличение или уменьшение частоты возникновения событий:
45