ГОСТ Р 56850—2015
Цель требований:
Следуя принципу минимизации данных, предоставить управление до
ступом к ДАННЫМ О ЗДОРОВЬЕ и функциям только в той степени, на
сколько это необходимо для выполнения задач МО в соответствии с
ПРЕДНАЗНАЧЕННЫМ ИСПОЛЬЗОВАНИЕМ прибора.
Потребность
пользователя:
Избежать несанкционированный доступ к данным и функциям с целью
(1) сохранить конфиденциальность системы иданных, целостность идо
ступность, а также (2) чтобы остаться в рамках разрешенного использо
вания данных и систем.
В согласии с ИТ политикой МО и основываясь на аутентифицированной
идентификации отдельных пользователей, возможность авторизации по
зволяет каждому пользователю получать доступ только к одобренным
данным и выполнять с помощью прибора только одобренные функции.
Согласно политике организации санкционированные пользователи
включают в себя МО и обслуживающий персонал.
МЕДИЦИНСКИЕ ПРИБОРЫ, как правило, поддерживают систему, ос
нованную на разрешениях, которая предоставляет доступ к функциям
системы и данным в соответствии с ролью запрашивающего доступ
пользователя МО (управление доступом, основанное на ролях. RBAC).
Например:
— ОПЕРАТОРЫ могут выполнять назначенные им задачи, используя все
надлежащие для этого функции прибора (например, контроль или скани
рование пациентов).
— Персонал службы качества (например, радиолог) может принимать
участие во всех надлежащих испытаниях качества и контроля качества.
— Обслуживающий персонал может получать доступ к системе,
вклю чающий поддержку деятельности этого персонала, такую как
профи лактическое обслуживание, расследование проблем и
устранение этих проблем.
Авторизация позволяет МО эффективно предоставлять медицинское об
служивание и в то же время (1) сохранять защищенность системы и дан
ных и (2) придерживаться принципа надлежащей минимизации данных.
Авторизация может управляться локально или же в масштабах предпри
ятия (например, с помощью централизованного руководства).
П р и м е ч а н и е — В случаях, когда ПРЕДНАЗНАЧЕННОЕ ИСПОЛЬЗОВАНИЕ не
подразумевает время, достаточное для начала и завершения сеанса исполь
зования прибора (например, в случае использования высокой пропускной спо
собности). местной ИТ политикой может быть разрешено ослабление контроля
авторизации, допуская, что физический доступ контролируется и ограничивается в
достаточной мере.
5.4 Конфигурация свойств системы защиты — CNFS
Применение:Стандарт. Нет.
Политика. Местная ИТ политика МО.
Справочный материал:
Нет.
Цель требований:
Дать МО возможность определять, как задействовать ВОЗМОЖНОСТИ
ЗАЩИТЫ изделия, чтобы удовлетворить их требования к политике и/или
рабочему процессу.
Потребность
лользователя:
Местному санкционированному ИТ администратору требуется возмож-
ность выбирать между использованием и не использованием ФУНКЦИ
ОНАЛЬНЫХ ВОЗМОЖНОСТЕЙ ЗАЩИТЫ изделия. Это может включать
в себя взаимодействие аспектов управления привилегиями с средством
управления ФУНКЦИОНАЛЬНОЙ ВОЗМОЖНОСТЬЮ ЗАЩИТЫ.
9