ГОСТ Р 56850—2015
Приложение А
(справочное)
Типовой сценарий, демонстрирующий обмен информацией о защите
А.1 Обмен информацией о характеристиках защиты. Введение
Настоящее приложение содержит документы, обмен которыми осуществляется на первом этапе обмена
информацией о характеристиках защиты между гипотетическим производителем МЕДИЦИНСКОГО ПРИБОРА
(ПМП — корпорация Виджет) и медицинской организацией (МО — больница Нью Тауна). Рассматриваемое изде лие
— Рабочая станция DICOM. называемая «FOOBAR 2.0».
ПМП получил запрос от МО на предоставление информации о FOOBAR 2.0 по МЭК 80001. А.2 содержит
начальное взаимодействие ПМП о ВОЗМОЖНОСТЯХ ЗАЩИТЫ FOOBAR 2.0. Далее следует пересмотр «предло
женных» МО характеристик защиты, вместе с ее комментариями и дополнительными вопросами.
Настоящее приложение содержит простой пример, демонстрирующий, какую информацию ПМП FOOBAR
предоставило бы медицинской организации, рассматривающей приобретение или интеграцию FOOBAR. Подобная
информация может быть предоставлена ПМП по соглашению о неразглашении с МО или ПМП может опубликовать
возможности на интернет-сайте МО. Как бы там ни было, это будет являться первым «предложением» с подроб ной
информацией о ВОЗМОЖНОСТЯХ ЗАЩИТЫ рассматриваемого МЕДИЦИНСКОГО ПРИБОРА. Подобным же
образом ответ МО является первым ответом для ПМП, предназначенным определить области общего соглашения и
понимания, проблемы, которые не были очевидны в документе, и вопросы, которые необходимо разрешить в
последующих взаимодействиях
Разумеется, соглашение о приобретении, установке и сопровождении включает в себя гораздо больше ин
формации. В качестве общего контекста для данного примера упрощенного приобретения МЕДИЦИНСКОГО ПРИ
БОРА и. в дальнейшем, проекта подключения FOOBAR к медицинской ИТ СЕТИ были выделены основные шаги,
которым можно следовать при выполнении МЕНЕДЖМЕНТА РИСКА для защиты (более подробную информацию
см. в МЭК 80001-1):
a) МО запрашивает или находит сводную информацию о характеристиках защиты ПМП (раздел А.2);
b
) МО исследует отчет о характеристиках защиты FOOBAR и дает письменный ответ раздел А.З);
c) МО связывается с ПМП и получает ответы, касающиеся деталей, не раскрытых в отчете о FOOBAR;
d) МО принимает решение приобрести прибор и ПМП решает разрешить это приобретение, откладывая рас
смотрение некоторых элементов приобретения на потом. МО принимает решение о добросовестности ПМП как
партнера, основываясь на полученных данных о защите и диалоге с самим ПМП;
e) осуществляются различные элементы планирования и выполнения проекта, включая четкое СОГЛАШЕ
НИЕ об ОТВЕТСТВЕННОСТИ с учетом МЕНЕДЖМЕНТА РИСКА подключения к ИТ СЕТИ. МО и ПМП не скрывают
информацию о том. как должен осуществляться менеджмент различных РИСКОВ. Менеджмент некоторых рисков
осуществляется характеристиками защиты самого прибора, а ослабление других требует использование
средств МО для управления защитой (технически и’или административно). Для подготовки осуществляется
предваритель ная оценка ОСТАТОЧНОГО РИСКА. Данный шаг может входить в приобретение, но также может и
предшествовать ему;
f) МО приобретает систему FOOBAR и контракты для поддержки проекта по подключению’интеграции;
д) МО проводит анализ РИСКОВ и выявляет и осознает ОСТАТОЧНЫЙ РИСК. В тех случаях, когда РИСК
является допустимым, с учетом пользы от подключения FOOBAR. выполняется проект по интеграции прибора,
подключаемого к МЕДИЦИНСКОЙ ИТ СЕТИ МО;
h) FOOBAR действует в условиях менеджмента РИСКА, как часть МЕДИЦИНСКОЙ ИТ СЕТИ МО;
i) вместе с необходимыми соглашениями с поставщиками услуг для FOOBAR начинается выполнение посто
янных действий. связанных с возникающими уязвимостью, контролем, УПРАВЛЕНИЕМ СОБЫТИЯМИ;
j) списывание устройств и систем хранения рассматривается в процедурах, содержащих требования к унич
тожению данных, ведению журнала и аудиту ПРОЦЕССА списывания.
П р и м е ч а н и е — Это типовой вариант развития событий с соглашением только двух сторон. В реальной
жизни могут участвовать другие вовлеченные стороны, такие как вендоры, специалисты-интеграторы сторонней
организации и т. п. По каждому фактическому шагу будет приниматься решение индивидуально.
Для того чтобы было понятно, что представленный ниже текст является примером гипотетического обмена
информацией, страницы документа, полученного от производителя (ПМП) и содержащего характеристики защиты,
выделены синей рамкой. Страницы документа, который больница (МО) отправляет ПМП и который содержит ответ о
характеристиках защиты, имеют оранжевую рамку.
Отказ от ответственности. Данный вариант развития событий предоставляется без гарантии, в
явной или не явной форме, включая, но не ограничиваясь, любыми гарантиям о годности к продаже, завершен-
22