ГОСТ Р 56850—2015
Приложение В
(справочное)
Примеры региональных спецификаций нескольких ВОЗМОЖНОСТЕЙ ЗАЩИТЫ
Ниже приведено несколько примеров возможностей адаптированных для регионального использования в
США. Данные примеры приведены только для иллюстрации и не претендуют на полноту или на законченный вари
ант руководства для использования на территории США
PAUT. Аутентификация личности
Применение:
Требование
источника:
Справочный
материал:
Зависит от:
Цепь требований:
Потребность
пользователя:
Профиль. Профиль IHE ATNA(Профиль журнала аудита и интеграции аутентификации узлов).
Профиль IHE PWP (Персональный телефонный справочник).
IHE EUA (Аутентификация корпоративных пользователей).
IHE XUA (Контроль процесса авторизации пользователей).
Политика. Проект политики защиты SANS.
Местная ИТ политика МО.
Стандарт HIPAA, Правило обеспечения защиты1’. § 164.312.(а)(1): «..Управление доступом.
Реализовать техническую политику и процедуры для электронных информационных систем,
которые поддерживает электронную защищенную информацию о здоровье, для того, чтобы
сделать возможным получение доступа только для тех личностей или программного обеспече
ния. которому были предоставлены права доступа в соответствии с § 164.308. (a)(4)...»
20) Уникальная идентификация пользователя (требуется). Необходимо назначить уникальное
имя и|’или номер для идентификации и отслеживания личности пользователя.
NIST SP 800-53 v3.
АСЗ. Осуществление доступа (Access Enforcement) — механизмы осуществления доступа слу
жат организациям для управления доступом между пользователями и объектами.
AUDT. NAUT
Политики аутентификации должны быть гибкими для того, чтобы адаптироваться к местной
ИТ политике МО. Требование аутентификации личности при предоставлении доступа к ЗА
ЩИЩЕННЫМ ДАННЫМ о ЗДОРОВЬЕ (PHI) должно быть логически обоснованным в каждом
конкретном случае.
Пользователям может потребоваться наличие возможности для создания и использования
уникальных учетных записей для пользователей и управления доступом, основанное на ролях
(RBAC. локальный и удаленный) к прибору, подключенному ксети, для управления и контроля
доступа к сети и ее деятельности.
Возможность управлять учетными записями на медицинском оборудовании для обеспечения
защиты доступа к ЗАЩИЩЕННЫМ ДАННЫМ о ЗДОРОВЬЕ.
Пользователю может потребоваться связать персональные установки с учетными записями
пользователей. Эго r/ожет помочь приборам и системам, используемым множеством ОПЕРА
ТОРОВ. отделов или даже множеством организаций здравоохранения (МО). Требуется под
держка независимого и центрального администрирования.
Однократкая идентификация и использование одного пароля для всех рабочих мест.
Поддержка идентификации узла согласно промышленным стандартам.
Обнаружение и предотвращение фальсификации личности/сущности (необходимо предоста
вить невозможность отказа от авторства).
NAUT. Аутентификация узлов
Применение: Профиль. Профиль IHE (Интеграция учреждений здравоохранения) ATNA. Профиль журнал
аудита и интеграции аутентификации узлов [IHE ATNA profile (Audit Trail and Node Authentication
Integration Profile).
IHE EUA (Аутентификация корпоративных пользователей).
IHE XUA (Контроль процесса авторизации пользователей).
Министерство здравоохранения и социального обеспечения, секретариат, 45 CFR. части 160. 162. и 164
Реформа медицинского страхования. Стандарты защиты. Окончательный регламент. 20 февраля. 2003 (Department
of Health and Human Services. Office of the Secretary. 45 CFR. Parts 160. 162. and 164 Health Insurance Reform;
Security Standards; Final Rule. February 20. 2003).
38