ГОСТ Р 56850—2015
Возможность записывать и изучать деятельность системы по средством
ведения журналов аудита с помощью прибора, для отслеживания до
ступа к системе и ДАННЫМ О ЗДОРОВЬЕ, а также их модификации и
удаления.
Поддержка использования либо в качестве изолированного архива дан
ных (регистрирующего файлы аудита в своей собственной файловой
системе) или. в случае такой конфигурации, отправляющего зарегистри
рованную информацию отдельному, управляемому МО центральному
архиву данных.
Поддержка создания и сопровождения аудита поддерживается соответ
ствующими инструментами проверки аудита.
Защита данных аудита по мере необходимости (в особенности, если эти
данные содержат сами персональные данные).
Отсутствие возможности удалять или редактировать данные аудита.
Так как данные аудита скорее всего содержат персональные данные
и/или ДАННЫЕ О ЗДОРОВЬЕ, то вся обработка (например, получение
доступа, хранение и передача) должна подчиняться соответствующим
средствам управления.
5.3 Авторизация— AUTH
Применение:П р и м е ч а н и е — Основывается на аутентификации, но эти два понятия не
следует путать.
Стандарт. ANS1/INCITS 359-2004 Управление доступом, основанное на
ролях (ANSI/INCITS 359-2004 Role-Based Access Control).
Существуют общие подходы, которые могут быть полезны для рассма
триваемого случая:
Общий подход к технической ИТ инфраструктуре IHE. Журнал аудита и
аутентификация узлов (ATNA) / Аутентификация корпоративных пользо
вателей (EUA) I Контроль процесса авторизации пользователей (XUA)
(IHE IT Infrastructure Technical Framework — Audit Trail and Node Authenti
cation (ATNA) / Enterprise User Authentication (EUA) / Cross Enterprise User
Assertion (XUA));
IETF (Рабочая группа инженеров Интернет): Защита транспортного уров
ня передачи данных (TLS) 1.2 (RFC 5246) [IETF: Transport Layer Security
(TLS) 1.2 (RFC 5246)];
ITU-T (Сектор стандартизации телекоммуникаций в составе междуна
родного телекоммуникационного общества): Рекомендация Х.509. «Ин
формационная технология. Взаимодействие открытых систем. Директо
рия. Инфраструктура сертификата открытого ключа и атрибута» [ITU-T:
Recommendation Х.509. ’Information technology — Open Systems Intercon
nection — The directory: Public-key and attribute certificate frameworks).
Политика. Местная ИТ политика МО
Справочный материал: Белая книга IHE (Интегрированное учреждение здравоохранения).
Управление доступом (IHE White Paper — Access Control).
Общий подход к технической ИТ инфраструктуре IHE Журнал аудита и
аутентификация узлов (ATNA).
ИСО/TS 22600-1:2006. Информатизация здоровья. Привилегированный
менеджмент и управление доступом. Часть 1. Обзор и политика менед
жмента (ISO/TS 22600-1:2006 Health informatics — Privilege management
and access control — Part 1: Overview and policy management).
ИСО/TS 13606-4:2009. Информатизация здоровья. Электронная си
стема передачи медико-санитарной документации. Часть 4. Защита
(ISO/TS 13606-4:2009 Health informatics — Electronic health record commu
nication — Part 4: Security)
Потребность
пользователя:
8