ГОСТ Р 57301—2016
Требование 62. Сохранение истории ПМД. Клиническая система не должна стирать записи или
данные журнала аудита или вносить изменения о записи субъекта данных, которые препятствуют вос
становлению записей объекта получения помощи на предшествующий момент времени.
Обоснование
В области здравоохранения считается, что организации могут определять, кто создал, обновил
или осуществлял доступ к записи и когда осуществлялись доступ или изменение. Законным требовани
ем может являться наличие доказательства того, кто создал информацию в медицинской карте. Также
распространено требование о том, чтобы работники здравоохранения могли подтвердить необходи
мость доступа к картам пациентов. В зависимости от законодательства и/или политики юрисдикции
может потребоваться официальное разрешение объекта получения помощи. Все вышеуказанное яв
ляется примером средств управления для обеспечения конфиденциальности пациента и медицинских
карт и в то же время поддержания законного использования медицинских карт и их содержания.
Электронные медицинские карты в отличие от карт на бумажных носителях позволяют в большей
степени контролировать некоторые из этих аспектов. Автоматизированные средства управления могут
применяться для повышения конфиденциальности и обеспечения более высокой поддержки для соот
ветствия законодательным требованиям.
Ведение журнала событий информационных операций и последующих процессов аудита поддер
живает подотчетность тех объектов оказания помощи, которые доверили свою информацию системам
электронных медицинских карт. Оно также предоставляет мощный стимул пользователям таких систем
соответствовать правилам допустимого использования. Эффективное ведение журнала с последую
щим аудитом доступа к данным и других транзакций может помочь обнаружить ненадлежащее исполь
зование систем электронных медицинских карт и данных, а также помочь организациям и объектам
оказания помощи получить возмещение от пользователей, злоупотребивших доступом и правами ис
пользования данных.
Персональная медицинская информация рассматривается многими как самая конфиденциаль
ная среди всех видов персональной информации, и защита ее конфиденциальности играет важную
роль, если необходима поддержка неприкосновенности частной жизни пациента. Для того чтобы за
щитить целостность персональной медицинской информации, также важно, чтобы весь ее жизненный
цикл был полностью защищен и впоследствии подвержен аудиту.
Журналы аудита являются дополнением к реализуемым средствам управления доступом и други
ми операциями. Журналы аудита предоставляют средства оценки соответствия с политикой управле
ния доступом и могут способствовать улучшению и доработке самой политики. Но так как такая поли
тика должна предвидеть возникновение непредвиденных или чрезвычайных случаев, анализ журналов
аудита в этих случаях станет основным средством управления доступом.
Ссылки:
ИСО 27799. ИСО/МЭК 15408 (все части). ИСО 18308. ИСО 27789.
5.3.17 Управление версиями программного обеспечения и документация
Требование 63. Управление версиями клинической системы POS. Все компоненты клиниче
ской системы POS должны быть идентифицированы и иметь соответствующую версию ПО с отдельной
точной ссылкой (уникальный идентификатор, название, поставщик и номер версии).
Требование 64. Документация клинической системы POS. Клинические системы POS долж
ны иметь документацию, которая распространяется на требования и производительность системы,
установку и испытание, управление и работу, известные проблемы безопасности, идентификацию
и аутентификацию пользователя, права пользования и управление доступом, скрытую связь, аудит,
управление изменениями ПО. синхронизацию времени, а также резервное копирование и восстанов
ление.
Тробование 65. Изменения документации. Документация должна содержать историю всех из
менений для того, чтобы пользователь мог проверить все изменения, внесенные в последнюю доступ
ную версию.
Требование 66. Документация и версии программного обеспечения. Все руководства по экс
плуатации должны четко обозначать версию, к которой они применяются, в начале документа.
Тробование 67. Ворсия программного обеспечения. Клинические системы POS должны иметь
функцию, которая позволяет пользователю просматривать версию компонентов своего программного
обеспечения.
Тробование 68. Вопросы, включонные в документацию. Клинические системы POS должны
располагать документацией, которая рассматривает следующие вопросы:
22