ГОСТ Р 57301—2016
о результатах аудита должны быть открыты для доступа, что делает соответствие требований по аудиту
самым строгим существующим юрисдикционным законодательным требованиям незаменимым для обеспе
чения полной совместимости (интероперабельности) с разными юрисдикциями.
Совместимость также лежит в основе последовательного и единого ведения журналов (регистрации). Несмо
тря на то что в Канаде не существует широко применяемого стандарта для ведения медицинских журналов
аудита, стандарт IHE «Security Audit and Access Accountability Message XML Data Definitions for Healthcare
Applications» описывает XML-схему для предоставления информации, необходимой для аудита конфиден
циальности и безопасности медицинских приложений. Данный стандарт выпускается под общей редакцией с
IHE ГТ Infrastructure Technical Framework Supplement 2004— 2005. Audit Тгай and Node Authentication Profile
Public Comment Version.
Требование безопасности 41 канадской медицинской организации Infoway
Регистрация (ведение журнала) передачи ПМД в инфоструктуре EHR
Инфоструктура EHR должна определять всех прошлых получателей данных от EHR. а также уведомлять их
в случав, если в дальнейшем данные в EHR были изменены.
Обоснование — Даннов требование облегчает проведение общесистемного аудита передачи и получения
сообщений. Оно также вытекает из требования безопасности 25.
Несмотря на то что регистрация всех последних получателей в журналах может значительно увеличиться в
числе, стоимость оперативного хранения продолжает сокращаться в два раза каждый год. и даже терабайт
памяти больше не представляется чрезмерно дорогим для многих медицинских организаций. Инфоструктура
EHR может требовать сохранения всех записей обо всех случаях обмена ПМД между юрис дикциями. Даннов
требование основано на юрисдикционном законодательстве. Например, законодатель ные акты по
медицинской информации провинции Альберта, согласно которым хранителю, разглашающему ПМД.
необходимо записывать имя человека, которому хранитель разглашает информацию, дату и цель раз
глашения. а также описание разглашенной информации. Последнее требование (описание разглашенной
информации) не соответствует предыдущему требованию полностью, однако в этом случав предыдущее
требование необходимо соблюдать наряду с другими требованиями к ведению журнала аудита, указанными в
данном разделе.
Великобритания
Требование 3.15.4 Управления информацией Великобритании
Успешный вход в систему, неудачные попытки входа в систему и выход из системы, а также изменения паро ля
должны регистрироваться в системном журнале аудита. Данные, которые необходимо включить в запись в
журнале аудита:
- успешный вход в систему, выход из системы:
- идентификатор пользователя;
- дата и время:
- неудачная попытка входа в систему:
- количество попыток;
- дата и время;
- точка доступа (при наличии):
- идентификатор пользователя (при наличии):
- изменения паролей:
- идентификатор пользователя;
- пользователь, пароль которого изменен;
- дата и время;
- подобные записи в журнале аудита также должны включать в себя идентификационную информацию око
нечного устройства (или системы).
Требование 3.9.11 Управления информацией Великобритании
Журналы аудита должны включать в себя подробную информацию о каждой конфигурации (например, о
включении службы spine service) или изменениях справочной информации (например, об обновлении дан
ных клинической схемы кодирования, базы данных лекарственных препаратов), применяемых к системе.
Требование 3.9.12 Управления информацией Великобритании
В системе, в которой любые карты пациента архивируются (становятся недоступными при нормальном до
ступе к системе), должна поддерживаться связь между архивированными картами и журналом аудита.
Требование 3.9.13 Управления информацией Великобритании
Необходимо поддерживать ведение истории аудита для включения подробной информации об обновлениях
системы, резервном копировании данных и других действиях по обслуживанию системы.
Требование 3.9.14 Управления информацией Великобритании
Поставщики должны гарантировать, что во время обновления системы любые этапы, выполняемые вручную,
досрочно зарегистрированы, а любые автоматические этапы включают в себя создание одного или несколь ких
журналов, которые описывают каждый выполненный этап и включают информацию о том. был пи этап
77