ГОСТРИСО 27799—2015
Медицинские приборы, записывающие или сообщающие данные, могут потребовать особых мер
предосторожности в связи со средой, в которой они функционируют, а также в связи с электромагнит
ным излучением, происходящим во время их работы. Такие приборы должны быть особенным обра
зом идентифицированы.
7.4.2 Классификация медицинской информации
7.4.2.1 Руководства по классификации
Контроль
Помимо соблюдения инструкций, указанных в ИСО/МЭК 27002, организации, занимающиеся об
работкой персональной медицинской информации, должны единообразно классифицировать такие
данные как конфиденциальные.
Руководство по внедрению
Определение уровней защиты информационных активов в здравоохранении является комплекс
ным, а сравнение с классификацией правительственной или военной информации может ввести в за
блуждение. Ниже указаны важные характеристики информационных активов в рамках здравоохранения.
a) Конфиденциальность персональной медицинской информации всегда скорее субъективна, чем
объективна. Другими словами, в целом только субъект данных (т.е., объект оказания медицинской по
мощи) может надлежащим образом определить относительную конфиденциальность различных обла
стей или групп данных. Например, человек, избегающий насильственных отношений, может посчитать
свой новый адрес и номер телефона конфиденциальной информацией, в отличие от клинических дан ных
о состоянии его сломанной руки;
b
) Конфиденциальность персональной медицинской информации зависит от контекста. Напри
мер. имя и адрес объекта оказания медицинской помощи в списке допуска к отделению неотложной
помощи больницы может расцениваться им как не особо конфиденциальная информация, а его имя и
адрес в списке допуска к лечению импотенции может расцениваться им как в крайней степени конфи
денциальная информация;
c) Конфиденциальность персональной медицинской информации в медицинской карте пациента
может со временем меняться. Например, изменение общественных мнений за последние 20 лет при
вело к тому, что многие объекты оказания медицинской помощи не стремятся скрыть свою сексуальную
ориентацию. И наоборот, отношение к наркотической и алкогольной зависимости привело к тому, что на
данный момент многие объекты оказания медицинской помощи расценивают данные о прохождении
консультации у врача по вопросам зависимости в большей степени конфиденциальными, чем это было
20 лет назад.
Поскольку нельзя предсказать чувствительность данного элемента персональной медицинской
информации в отношении всех его применений и всех этапов его жизненного цикла, персональная ме
дицинская информация должна всегда подлежать соответствующему уровню защиты. Обратите вни
мание. что в то время как вся персональная медицинская информация должна быть в равной степени
классифицирована как конфиденциальная, из практических соображений может потребоваться иден
тификация записей об объекте оказания медицинской помощи, которые подвержены повышенному ри
ску доступа неуполномоченными лицами. Среди них работники самой организации (особенно если их
состояние влечет за собой эмоциональное поведение), главы правительства, знаменитости, политики,
работники СМИ и участники групп, подвергающиеся особенно высоким рискам (например, люди с за
болеваниями. передающимися половым путем или те. чья персональная медицинская информация
содержит записи о предрасположенности к серьезным заболеваниям). Может потребоваться особая
маркировка записей о таких людях, так чтобы можно было четко контролировать доступ. Однако, при
применении таких схем нужно быть крайне осторожными, так как такая маркировка может обострить
проблему, для решения которой она создается, например, она может привлечь внимание к опреде
ленным частям информации, которые промаркированы. Также стоит подчеркнуть, что в то время как
некоторые лица подвержены повышенным рискам, их персональная медицинская информация изна
чально не является в большей степени конфиденциальной, чем информациядругих объектов оказания
медицинской помощи. Вся персональная медицинская информация является конфиденциальной и с
ней следует обращаться надлежащим образом. См. также обсуждение в 7.5.2.1.
Выявлоние и (в случае необходимости) нанесение защитной маркировки о конфиденциальности
информационных активов может стать важным инструментом в подготовке кадров и в соответствии по
литике. Это лучше всего работает, когда классификация действует в качестве индикатора необходимых
методик обработки информации. Классификация также может быть важным компонентом соглашений
22