ГОСТР ИСО 27799—2015
7.3.3 Третьи стороны
7.3.3.1 Идентификация рисков, связанных со сторонними организациями
Контроль
Организации, занимающиеся обработкой медицинской информации, должны оценивать риски,
связанные с доступом третьих сторон к этим системам или содержащимся в них данным, а затом вне
дрять элементы контроля защиты, подходящие для определенного уровня риска и для использованных
технологий.
Руководство по внедронию
Оценка рисков необходима для эффективного управления доступом третьих сторон к системам,
содержащим медицинскую информацию, а в особенности персональную медицинскую информацию.
Должны защищаться права субъектов оказания медицинской помощи, даже когда сторонняя организа
ция. имеющая возможность доступа к персональной медицинской информации, располагается в юрис
дикции, отличной от той, которая руководит субъектом оказания медицинской помощи или медицин
ской организацией.
7.3.3.2 Решение вопросов безопасности при работе с клиентами
Нет дополнительных руководств по менеджменту защиты информации в сфере здравоохранения.
7.3.3.3 Решение вопросов безопасности при соглашениях с третьими сторонами
К
онт
р
о
л
ь
Медицинские организации, пользующиеся услугами третьих сторон, при которых сервисы третьих
сторон обрабатывают персональную медицинскую информацию, должны использовать официальные
контракты, в которых оговаривается:
a) конфиденциальный характер и ценность персональной медицинской информации;
b
) меры по защите, которые должны быть применены и/или требования которых должны быть
соблюдены;
c) ограничения доступа третьих сторон к этим сервисам:
d) качество предоставляемых услуг, которого нужнодостигнуть вслучае предоставления этих услуг;
e) формат и частота предоставления отчетов в ISMF медицинской организации;
0 организация участия третьей стороны на соответствующих собраниях медицинской организа
ции, а также в рабочих группах;
д) средства для осуществления надзорного аудита третьих сторон;
h) взыскания, производимые в случае несоблюдения любого из вышеуказанных условий.
Руководство по внедрению
Помимо соблюдения инструкций, указанных в ИСО/МЭК 27002. вышеуказанные требованиядолж
ны гарантировать то. что когда медицинская организация перестает напрямую контролировать поток
информации, конфиденциальность, целостность и доступность персональной медицинской информа
ции будут сохранены. Для информации, пересекающей границы юрисдикций, существуют инструкции,
указанные в ИСО 22857.
В случаях, когда третья сторона не занимается обработкой персональной медицинской информа
ции. все равно может быть уместна соответствующая подгруппа вышеуказанных элементов контракта.
Во всех случаях предоставления услуг третьей стороной должно быть внедрено соглашение, оговари
вающее минимальный набор элементов управления защитой, который должен быть применен.
7.4 Управление активами
7.4.1 Ответственность за активы медицинской информации
Контроль
Помимо соблюдения инструкций, указанных в ИСО/МЭК 27002. организации, занимающиеся об
работкой персональной медицинской информации, должны:
a) отвечать за активы медицинской информации (т.е., поддерживать уровень таких активов):
b
) иметь назначенного хранителя этих активов медицинской информации;
c) иметь правила для надлежащего применения этих активов, которые идентифицированы, задо
кументированы и внедрены.
Руководство по внедрению
Организации, занимающиеся обработкой медицинской информации, должны иметь правила для
поддержания актуальности этих активов (например, актуальность баз данных по лекарствам) и целост
ности этих активов (например, функциональная целостность медицинских приборов, записывающих
или сообщающих данные).
21