ГОСТ Р 57301—2016
- несанкционированный доступ к данным посторонних лиц с физическим вмешательством: по
стороннее лицо осуществляет физическое вторжение путем принуждения или силового доступа внутрь
помещения и получает доступ к системе:
- несанкционированный доступ в сетевую систему: постороннее лицо, включая бывших сотрудни
ков. пациентов или хакеров, вторгается в сеть организации извне с целью получения доступа к инфор
мации о пациенте или вывода системы из строя.
5.2.3 Системные угрозы
Эти угрозы возникают не за пределами цепочки информационного потока, а от членов организа
ции. которые имеют доступ к информации о пациенте. Например, страховые компании могут отказать
в страховании жизни пациента на основе его состояния здоровья или работодатель, имеющий доступ
к медицинским картам работников, может отказать в повышении или прекратить трудовые отношения.
Пациенты или организации плательщиков могут понести финансовые потери в результате мошенниче
ства. в том числе оказания ненужных медицинских услуг.
5.2.4 Применимость
Как отмечалось ранее, область применения настоящего стандарта ориентирована на безопас
ность и конфиденциальность программного обеспечения для электронных карт пациента в пунктах
обслуживания: аппаратное обеспечение и средства управления процессом не входят в область при
менения. Существует множество различных требований безопасности и конфиденциальности, разра
ботанных и опубликованных во всем мире, настоящий стандарт не предназначен для создания новых
требований, а, скорее, объединяет наиболее подходящие, уже опубликованные требования и адапти
рует их для использования при проверке соответствия систем.
Наиболее известным международным стандартом по безопасности является ИСО/МЭК 27002.
Несмотря на то что он рассматривает вопросы управления информационной безопасностью в целом,
средства управления, описанные в нем. применяются к электронным системам. Стандарт медико-фар
мацевтической отрасли ИСО 27799 является одним из нескольких стандартов, разработанных в рамках
ИСО/ТС 215 для обеспечения реализации программных средств управления и практик в сфере здра
воохранения.
В отношении оценки безопасности одним из самых известных стандартов является ИСО/МЭК
15408 (все части). Он устанавливает общие понятия и принципы оценки безопасности информацион
ных технологий и включает в себя общие критерии, через которые могут быть отражены требования
безопасности.
В то же время некоторые страны внедряют процессы сертификации медицинских программных
систем, каждая со своим собственным набором требований. Некоторые примеры включают США. Ка
наду. Бразилию. Нидерланды, Великобританию. Австралию и Европу.
Настоящий стандарт определяет требования по безопасности и конфиденциальности, взятые из
указанных выше стандартов и международного опыта, которые должны быть согласованы для провер ки
соответствия совместимых клинических систем POS (электронная карта пациента), взаимодейству
ющих с электронным учетом здоровья.
Набор требований должен быть четко и ясно выраженным. Требования должны быть такими,
чтобы разработчики программного обеспечения могли правильно реализовать их в своих системах, а
процесс оценки мог подтвердить, что все требования выполнены или не выполнены в этой кон
кретной системе. Это основная причина, по которой процедурные требования не были включены, так
как гарантировать, что они согласованы только с помощью оценки самого программного обе
спечения. невозможно: было бы необходимо провести оценку среды, в которой используется эта
программа, включая профили пользователей, администраторов и знания в области использования
системы. Тем не менее этот более широкий вопрос является необходимым для обеспечения без
опасности и конфиденциальности, и поэтому рекомендуется в дополнение к сертификации про
граммного обеспечения и соответствия провести экологическую инспекцию текущего управления
системы на основе ИСО 27799. Данное более общее издание, касающееся управления, является
необходимым для обеспечения безопасности и конфиденциальности, и поэтому в дополнение к
сертификации и проверке соответствия программного обеспечения рекомендуется проводить испы
тание на воздействие окружающей среды, находящейся под непрерывным управлением системы на
основе ИСО 27799.
Другим аспектом в процессе разработки требований является то. что они должны быть настолько
устойчивыми к краткосрочным технологическим изменениям и преобразованиям, насколько это воз
можно. В результате этого ссылки на техническую информацию, например алгоритмы криптограмм.
10