ГОСТ Р 57301—2016
- просмотру аудиторского следа:
- доступу к информации о неработающем персонале;
- доступу к картам пациентов, который не может быть осуществлен обычным способом пользователями си
стемы (например, в системах GP. к картам пациентов. которые на данный момент не используются в работе).
Требование 3.3.9 Управления информацией Великобритании
a) Система должна гарантировать, что организация выбранного профиля роли соответствует организации
системы, вход в которую пытается осуществить пользователь, а также что она разрешает доступ, только
если:
- организация а рамках выбранного профиля роли подбирает код организации в пределах системы или
- в условиях микрорайонных аптек роль и направление работы выбранного ролевого профиля совпадает с
ролью и направлением работы польэователей-фармацевтов. а организация в рамках выбранного ролевого
профиля соответствует специальной условной настройке организации (код организации FFFFF) для под-
держхи EPS R2. Система должна поддерживать использование ролевого профиля только FFFFF
организа ции. если нет соответствующего специального ролевого профиля организации, связанного с
пользователем.
b
) На экране выбора ролевого профиля система должна отображать только те профили,
которые применимы к системе, вход в которую пытается осуществить пользователь. Кроме того, любой
ролевой профиль FFFFF организации будет отображаться только в том случае, если нет
соответствующего специального ролевого профиля для этой организации. Система должна прояснить
пользователю, какой ролевой профиль исполь зуется системой: как правило, наиболее подходящим будет
только один ролевой профиль, в таком случае пользователю нет необходимости самому выбирать его из
списка, который включает другие неподходящие (не соответствующие организации) или менее подходящие
(для FFFFF организации) ролевые профили. Требование 3.3.10 Управления информацией Великобритании
Поставщики должны предоставлять подробную информацию о сопоставлении своих локальных системных
функций с действиями, выполняемыми в национальной базе данных RBAC. используя предоставленный об
разец. Это необходимо для поддержки процесса удаленного доступа (для того чтобы обеспечить наличие у
Ras информации, необходимей для присвоения пользователям соответствующих служебных ролей, направ
лений работы и любых дополнительных действий), а также для поддержки процесса соответствия.
Российская Федерация
Рекомендация Министерства здравоохранения РФ 2009-12-23, тр. 5.11
Система должна предоставлять возможность установки ограничений или разрешений для пользователей/
групп в соответствии с матрицей прав доступа.
В.7.2 Предоставление информации о правах доступа
Канада
Требование безопасности 63а канадской медицинской организации Infoway
Регистрация прав доступа пользователя
EHRi и все системы POS, подключенные к инфоструктуре EHR. должны предоставлять функции, которые
позволяют обеспечить определенного пользователя следующей информацией:
a) к каким записям пользователь может осуществлять доступ;
b
) к каким частям записи пользователь может осуществлять доступ;
c) какие права (просмотра, изменения и т. д.) имеет пользователь применительно к каждой из этих записей.
Обоснование — Прошлый опыт использования популярного программного обеспечения операционной си
стемы показал, насколько сложным является определение того, имеет пи определенный пользователь до
ступ к определенной записи или может ли он использовать данную ему привилегию, если в системе не суще
ствует отдельной функции, отвечающей на такие вопросы. Отсутствие такой функции значительно усложняет
обнаружение и устранение ошибок, возникающих при предоставлении пользователю прав доступа.
Великобритания
Требование 3.1.12 Управления информацией Великобритании
Даннов приложение должно предоставить пользователям возможность проводить проверку роли и органи
зации. имеющих значение для получения доступа, получаемого этими пользователями, так, чтобы они не
могли заявить о незнании этой роли или организации или иными способами оправдать неосведомленность о
значении своих действий.
В.7.3 Ограничение прав доступа
США
CCHIT SC 01.01
Контроль доступа
Система должна предоставлять наиболее ограниченный набор прав/привилегий или доступов, необходимых
пользователям/фуппам (например, системным администраторам, секретарям, медсестрам, докторам) или
процессам, действующим от имени пользователей, для выполнения указанных задач.
ИСО/МЭК 27002:2005. 9.1.1.2.Ь:
HIPAA: 164.312(a)(1): 164.308(a) (3) (1);
HITSP/TP20;
63