ГОСТ Р 57301—2016
формата шифрования, применяющего стандарт тройного шифрования данных (3DES), продвинутый стан
дарт шифрования (AES) и преемников этих стандартов.
FIPS 140-2. ИСО/МЭК 15408. СС SFR: FCS_COP. ОМВ М-06-16. SP800-53: АС-19. HITSP ТЗЗ:
HIPAA: 164.312(e) (2) (н);
FIPS PUB 140-2.
Канада
Требование безопасности 34 канадской медицинской организации Infoway
Защита ПМД на портативных носителях
Все организации, размещающие компоненты инфоструктуры EHR. и организации, подключенные к инфо
структуре EHR, должны гарантировать, что ПМД и другие данные системы с особыми требованиями по ин
формационной безопасности, хранящиеся на портативных носителях;
a) зашифрованы при передаче носителя для защиты целостности и конфиденциальности данных и
b
) защищены от кражи в соответствующих случаях при передаче носителя для защиты доступности данных.
Обоснование — Данное требование предназначено для обеспечения защиты информации, хранящейся на
сьемных носителях. Мобильные устройства рассмотрены в требовании безопасности 73 (приемлемое ис
пользование мобильных устройств).
Великобритания
Требование 3.11.8 Управления информацией Великобритании
В случаях, когда устройства или услуги, предложенные поставщиком, требуют передачи любых идентифи
цируемых данных пациентов на любых портативных носителях, необходимо выполнить шифрование этих
данных. Уровень шифрования должен соответствовать утвержденным криптографическим стандартам, опи
санным в требовании 3.10.3.
Требование 3.11.9 Управления информацией Великобритании
Шифрование, дешифрование, передача, хранение и уничтожение переносимых данных должны подвергать ся
аудиту, а носители должны регистрироваться в журнале и отслеживаться для обеспечения того, что все
экземпляры включены в отчет.
Требование 3.11.11 Управления информацией Великобритании
Поставщик должен гарантировать, что применяемый продукт шифрования соответствует FIPS 140-2 и про
ходил аккредитацию ССТМ (см. http:/\vww.cesg.gov.uk/servicecataloguec’CCTM/Pages/ CCTM.aspx).
Требование 3.11.12 Управления информацией Великобритании
Поставщик должен гарантировать, что стойкость и сложность ключа шифрования для каждого архива соот
ветствует описанию в утвержденном криптографическом стандарте.
Требование 3.11.13 Управления информацией Великобритании
В случаях когда ключи шифрования создаются системой автоматически для передачи данных на порта
тивных носителях, система должна передать ключ шифрования на блок управления данными для каж дой
процедуры шифрования. В таких случаях криптографические ключи не должны быть созданы путем
использования алгоритма или другого совместно используемого секретного ключа, который объединяет
только известную или доступную информацию, касающуюся окружающей среды, или другую информа
цию, зависящую от контекста, без включения уникальной, зависящей от контекста секретной информа ции.
в соответствии с требованиями пользователя или поставщика. Секретная информация, зависящая от
контекста, должна контролироваться и управляться в соответствии с принципами рекомендуемых норм
управления ключами защиты.
Требование 3.11.14 Управления информацией Великобритании
Поставщик должен гарантировать, что любые ключи шифрования, создаваемые системой, хранятся надеж
ным способом для обеспечения возможности восстановления данных в случае утраты ключа или его порчи
блоком управления данными.
Требование 3.11.15 Управления информацией Великобритании
Поставщик должен гарантировать, что ключ шифрования является уникальным для каждого архива данных.
Требование 3.11.16 Управления информацией Великобритании
В случаях когда система поставщика предоставляет механизм для отправки ключа шифрования получателю
электронным путем или вручную, необходимо наличие на месте процессов для обеспечения гарантии того,
что ключи шифрования отправлены вслед за отдельным механизмом связи для зашифрованных данных или
отправлены отдельно от зашифрованных носителей.
Требование 3.11.17 Управления информацией Великобритании
В случаях когда услуга, предложенная поставщиком, требует передачи идентифицируемых данных пациен тов
на любых портативных носителях, необходимо выполнить шифрование этих данных, уровень которого
должен соответствовать утвержденным криптографическим стандартам, и передать их безопасным спосо
бом. Передача идентифицируемых данных пациента должна проводиться с помощью безопасных служб
доставки в соответствии с руководством по шифрованию Департамента здравоохранения.
См. также требование 3.11.7 Управления информацией Великобритании.
72