ГОСТР ИСО 27799—2015
Руководство по внедрению
Важно отметить, что неподходящие, неправильно протестированные или некорректные измене
ния в обработке персональной медицинской информации могут привести к катастрофическим послед
ствиям для ухода за больным и для его безопасности. Внесоние изменений в процесс обработки
долж но явным образом фиксировать и оценивать риски изменений.
7.7.1.3 Распределение обязанностей
Руководство по внедрению
В дополнение к следованию руководствам, данным в ИСО/МЭК 27002. организации, занимаю
щиеся обработкой персональной медицинской информации, должны, при наличии возможности, рас
пределять обязанности и области ответственности с целью снижения возможности неправомерного
внесения изменений или злоупотребления персональной медицинской информацией.
Организации, занимающиеся обработкой персональной медицинской информации, должны га
рантировать. что задействованные IT-системы содержат функциональность применимости, которая
обеспечит поддержку клинических процессов различными должностными лицами, где это требуется.
7.7.1.4 Разделение средств разработки, испытания и эксплуатации
К
онт
р
о
л
ь
В дополнение к следованию руководствам, данным в ИСО/МЭК 27002. организации, занимающие
ся обработкой персональной медицинской информации, должны разделять (физически или виртуаль
но) среды разработки и испытания для информационных систем здравоохранения, обрабатывающих
такую информацию из эксплуатационной среды, управляющей этими информационными системами
здравоохранения. Правила смены статуса информации с разработки на эксплуатацию должны быть
определены и задокументированы организацией, управляющей затронутыми сферами применения.
7.7.2 Управление предоставлением услуг третьими сторонами
Руководство по внедрению
Управление предоставлением услуг третьими сторонами значительно упрощается, когда принято
официальное соглашение, которое определяет минимальный набор средств управления, которые не
обходимо внедрить
7.7.3 Планирование и приемка системы
7.7.3.1 Управление производительностью
Нет дополнительных руководств по менеджменту защиты информации в здравоохранении.
7.7.3.2 Приемка системы
Контроль
Помимо соблюдения инструкций, указанных в ИСО/МЭК 27002. организации, занимающиеся об
работкой персональной медицинской информации, должны установить критерии приемлемости для
запланированных новых информационных систем, обновлений и новых версий. Они должны произво
дить подходящие испытания системы перед ее приемкой.
Руководство по внедрению
Объем и строгость этих испытаний должны быть на уровне, соответствующем обозначенным ри
скам изменений. См. также 7.7.1.2.
7.7.4 Защита от враждебного программного или мобильного кода
7.7.4.1 Средства управления против враждебного программного кода
Контроль
Помимо соблюдения инструкций, указанных в ИСО/МЭК 27002, организации, занимающиеся
обработкой персональной медицинской информации, должны внедрить соответствующие средства
управления предотвращения, обнаружения и реагирования для защиты от вредоносного программного
обеспечения, и должны внедрять соответствующую подготовку для осведомленности пользователя.
7.7.4.2 Средства управления против мобильного кода
Нет дополнительных руководств по менеджменту защиты информации в здравоохранении.
7.7.5 Резервное копирование информации
Контроль
Помимо соблюдения инструкций, указанных в ИСО/МЭК 27002. организации, занимающиеся об
работкой персональной медицинсхой информации, должны осуществлять резервное копирование
всей персональной медицинской информации и хранить ее в физически защищенной среде для обе
спечения ее последующей доступности.
Для защиты конфиденциальности персональной медицинской информации, она должна быть
скопирована в зашифрованном виде.
27