ГОСТ Р 56850—2015
Введение
МЭК 80001-1, посвященный применению МЕНЕДЖМЕНТА РИСКА к ИТ-сетям с медицинскими
приборами, предоставляет информацию о ролях, ответственностях идействиях, необходимых для МЕ
НЕДЖМЕНТА РИСКА. Настоящий стандарт содержит дополнительное руководство по выбору ВОЗ
МОЖНОСТИ ЗАЩИТЫ (выявлению и обсуждению) как в ПРОЦЕССЕ МЕНЕДЖМЕНТА РИСКА, так и в
контактах заинтересованных сторон и соглашениях.
Информативный набор распространенных, высокоуровневых ВОЗМОЖНОСТЕЙ ЗАЩИТЫ, пред
ставленный в настоящем стандарте, служит точкой отсчета для обсуждения, посвященного защите,
между вендором и покупателем или между представителями большой группы заинтересованных лиц,
вовлеченных в проект МЕДИЦИНСКОЙ ИТ СЕТИ. Масштабы применения охватывают ОТВЕТСТВЕН
НЫЕ ОРГАНИЗАЦИИ всевозможных размеров, так как каждая осуществляет оценку РИСКА с учетом
возможностей и решает, что учитывать, а что нет, основываясь на устойчивости к РИСКУ и планирова
нии ресурсов. Настоящий стандарт может применяться при подготовке документации, предназначен
ной для предоставления информации по ВОЗМОЖНОСТЯМ ЗАЩИТЫ изделия и его возможностям.
Данная документация может быть использована ОТВЕТСТВЕННОЙ ОРГАНИЗАЦИЕЙ в качестве вход
ной информации для организации ее ПРОЦЕССА по МЭК 80001 ипи для формирования основ СО
ГЛАШЕНИЙ ОБ ОТВЕТСТВЕННОСТИ для заинтересованных сторон. Другие стандарты МЭК 80001-1
содержат в себе пошаговое руководство по ПРОЦЕССУ МЕНЕДЖМЕНТА РИСКА. Более того. ВОЗ
МОЖНОСТИ ЗАЩИТЫ служат толчком к выявлению и более подробному описанию средств защиты,
например, тех. которые установлены в одном из многих стандартов защиты, которыми руководству
ется ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ или производитель МЕДИЦИНСКОГО ПРИБОРА (например,
ИСО 227799:2008, ИСО/МЭК 27001:2005, ИСО/МЭК 27002:2005. ИСО/МЭК 27005:2011. серия стандар
тов ИСО 22600. серия стандартов ИСО 13606. и HCO/HL7 10781:2009. охватывающий функциональную
модель электронной системы медицинских карт). Настоящий стандарт сохраняет независимость обще го
подхода к структуре средств управления. В настоящем стандарте предлагается только структура для
выявления и предоставления информации ОТВЕТСТВЕННОЙ ОРГАНИЗАЦИЕЙ (называемой в данном
документе Медицинской Организацией — МО), производителем МЕДИЦИНСКОГО ПРИБОРА (ПМП) и
ИТ-вендором.
Выделенные в настоящем стандарте возможности охватывают выявление совокупности средств
управпения. которые обеспечивают сохранение конфиденциальности и охрану от вредоносного про
никновения, которое может приводить к нарушению целостности или доступности системыУданных. По
мере возникновения необходимости возможности могут добавляться или получать дальнейшее раз
витие. Средства управления предназначены для охраны какданных, так и систем, но особое внимание
уделяется охране как ЛИЧНЫХ ДАННЫХ, так и их подраздела, называемого ДАННЫМИ О ЗДОРОВЬЕ.
Оба этих специальных термина были корректно определены во избежание любых отсылок к специ
альным законам (например, уязвимые данные ЕС. электронная защищенная информация о состоянии
здоровья США (USAePHI)).
IV