ГОСТ Р 57301—2016
Б.7.5 Отмена прав доступа
США
CCHIT SC 01.04
Контроль доступа
Система должна поддерживать возможность удаления привилегий пользователя, не удаляя пользователя из
системы. Цепь данного условия — предоставить возможность удаления привилегий, сохранив при этом
историю действий пользователя в системе.
HIPAA: 164.308(a) (4) (ii) (С): 164.308(a) (3) (i) (С);
HITSP/TP20.
Канада
Требование безопасности 62 канадской медицинской организации Infoway
Своевременная отмена привилегий доступа
Инфоструктура EHR и все системы POS, подключенные к инфоструктуре EHR, должны поддерживать воз
можность своевременной отмены привилегий доступа пользователя, т. е. предотвращать вход пользователя в
систему сразу же после отмены его привилегий доступа.
Обоснование — Данное требование гарантирует, что привилегии пользователя на доступ в инфоструктуру
EHR могут незамедлительно и систематически приостанавливаться, если на это имеются причины.
В.8 Приемлемое использование
В.8.1 Уведомление пользователей
США
CCHIT SC 06.07
Технические службы
Система перед предоставлением доступа к любым ПМД должна отображать конфигурируемое уведомление
или баннер при входе в систему (например, «Доступ к системе должен осуществляться только авторизован
ными пользователями»).
В случае если система не поддерживает возможность отображения баннера перед входом в систему, она
должна отображать его сразу после авторизации.
СС2.1 L.4 Баннеры доступа TOE (FTA_TAB); ССЗ.О FIA_TIN.1 Информационное предупреждающее сообще
ние;
NIST SP 800-53 АС-8 Уведомление об использовании системы;
HIPAA 164.308(aX5)(i); 164.308(а>(5)(й).
Великобритания
Требование 3.1.11 Управления информацией Великобритании
Приложение должно на видном месте отображать следующее сообщение при его запуске, чтобы напомнить
пользователям об их обязательствах и правовых ограничениях на использование системы: Закон о неправо
мерном использовании компьютерных технологий 1990 г. «Несанкционированный доступ к этой системе яв
ляется преступлением». Обратите внимание, что эта формулировка может периодически обновляться.
В.9 Безопасность сеанса
В.9.1 Время ожидания пользовательского сеанса
Бразилия
NGS 1.03.01
Завершение сеанса при бездействии
Сеанс пользователя может быть завершен по истечении регулируемого периода бездействия путем отмены
параметра управления сеансом, используя, например, файл cookie.
ABNTNBR ИСО/МЭК 27001:2005. А.11.5.5.
США
IFR.03
Завершение электронного сеанса по истечении предварительно установленного периода бездействия.
SC 03.03
Аутентификация
Система при обнаружении бездействия интерактивного сеанса должна предотвратить дальнейший просмотр и
доступ к системе, используя этот сеанс, путем его завершения или блокировки, которая остается в силе до тех
пор. пока пользователь не восстановит доступ с помощью соответствующих процедур идентификации и
аутентификации. Время ожидания активности должно регулироваться.
Канада. Альберта 7.3.14 (безопасность);
Канада: Онтарио 5.6.12.3 (защита рабочих станций);
ИСО/МЭК 15408. СС SFR: FTA_SSL. FMT_SAE:
NIST SP 800-53: AC-7 НЕУДАЧНЫЕ ПОПЫТКИ ДОСТУПА; АС-11 БЛОКИРОВКА СЕАНСА; АС-12 ЗАВЕРШЕ
НИЕ СЕАНСА.
HIPAA: 164.312(a) (1): 164.312(a) (2) (iii).
65