ГОСТ Р 57301—2016
США
CCHIT SC 03.01
Система должна проводить аутентификацию пользователя перед предоставлением доступа к защищенным
ресурсам (например. ПМД), включая случаи, когда подключение к сети отсутствует: например, при использо
вании мобильных устройств.
Канада: Alberta 1.1 (Альберта 1.1);
ИСО/МЭК 15408. СС SFR: FIA_UAU. FIA_UID:
NIST SP BOO-53: IA-2 ИДЕНТИФИКАЦИЯ И АУТЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЯ:
HIPAA: 164.312(d).
CCHIT IFR.09
Необходимо убедиться в том, что лицо или организация, запрашивающие доступ к электронной медицинской
информации через сеть, имеют право на доступ к такой информации в соответствии со стандартом, указан
ным в таблице 2В. строка 5.
Таблица 2В строка 5. Аутентификация между предприятиями: использование безопасных операций между
предприятиями, которые содержат достаточную идентификационную информацию, например, таких, при ко
торых получатель может принимать решения в системе контроля доступа и составлять детальные и точные
журналы аудита (например, аутентификация между предприятиями IHE (XUA) с подтверждением идентифи
кационных данных на языке SAMLJ.
Канада
Требование безопасности 71 канадской медицинской организации Infoway
Надежная аутентификация пользователя
Инфоструктура EHR и все системы POS. подключенные к инфоструктуре EHR. должны надежно аутентифи
цировать пользователей.
Обоснование — Неконтролируемый доступ пользователей является частой причиной нарушения безопасности.
Кроме того, для поддержания некоторого уровня однородности устойчивости аутентификации, скорее всего,
будет необходима поддержка межюрисдикционной совместимости.
Необходимо отметить, что это требование, скорее всего, потребует реализации надежных технологий аутен
тификации. включающих:
а> цифровые сертификаты;
b
) технику биометрической идентификации:
c) смарт-карты или другие аппаратные ключи безопасности: или
d) безопасные, основанные на стандарте и надежные схемы паролей.
Предполагается, что системы EHRi и POS. подключенные к инфоструктуре EHR. будут работать вместе для
выполнения задачи по аутентификации пользователей, имеющих доступ к инфоструктуре EHR; т. е. пользо
ватели не должны быть аутентифицированы дважды.
Великобритания
Требование 3.1.2 Управления информацией Великобритании
Система должна гарантировать, что все пользователи, которые имеют доступ к персональным данным или
конфиденциальным персональным данным пациентов, полученным из хранящихся в или подлежащим хра
нению в CRS NHS. безопасно аутентифицированы с помощью стандартных смарт-карт или идентификаци
онных данных, предоставленных NASP.
Российская Федерация
Рекомендация Министерства здравоохранения РФ 2009-12-23. тр. 6.2 (необязательное)
Все пользователи должны быть аутентифицированы перед осуществлением доступа к:
- операционной системе;
- средствам обеспечения безопасности:
- журналам аудита.
В.6.4 Аутентификация системой и аутентификация сетевого узла
Бразилия
NGS1.06.02
Контроль доступа от клиента к системе
При осуществлении дистанционного доступа S-RES доступ к системе ограничен и доступен только клиентам,
имеющим предварительное разрешение. Такой контроль доступа может осуществляться, к примеру, через
IP-адрес клиента.
ABNT NBR ИСО/МЭК 27001:2005. А. 11.4.2.
NGS1.06.05
Контроль доступа между компонентами
В системе EHR. состоящей из нескольких распределенных компонентов (т. е. размещенных на разных компью
терах). в процессе коммуникации между этими компонентами (например, база данных) доступ к компоненту
должен быть ограничен и доступен только партнерам (компонентам) с предварительным разрешением.
ABNT NBR ИСО/МЭК 27001:2005. А. 10.9.2.
55