إجابة مختصرة: يحدد معيار ISO/IEC 27001 نظام إدارة أمن المعلومات (ISMS): كيف تحدد المؤسسة مخاطر معلوماتها، وتختار الضوابط، وتديرها، وتحسنها، مع قيام مدقق بالتصديق على النتيجة. ويصف معيارها المصاحب ISO/IEC 27002 الضوابط نفسها. ويأخذ معيار ISO 27799 (المعلوماتية الصحية: إدارة أمن المعلومات في مجال الصحة باستخدام ISO/IEC 27002) هذه الضوابط ويشرح كيفية تطبيقها على المعلومات الصحية الشخصية: الحد الأدنى من المتطلبات، والمخاطر الخاصة بالصحة، والضوابط التي يجب على المستشفى أو مورد برامج الصحة اعتبارها إلزامية بدلاً من اختيارية. أنت تحصل على شهادة وفقًا لمعيار 27001؛ وتستخدم معيار 27799 لتحديد ما يجب أن تغطيه الشهادة عندما تكون البيانات بيانات صحية. تطلب المستشفيات والبرامج الوطنية بشكل متزايد الشهادة بالإضافة إلى إثبات النظر في خصوصيات الصحة، أو الحصول على مخطط وطني يدمجها.
ISO/IEC 27001:2022 في فقرة واحدة
معيار ISO/IEC 27001:2022 هو المعيار الدولي القابل للشهادة لنظام إدارة أمن المعلومات. تحدد البنود من 4 إلى 10 متطلبات للسياق، والقيادة، والتخطيط القائم على المخاطر، والدعم، والتشغيل، وتقييم الأداء والتحسين؛ ويقدم الملحق A قائمة بـ 93 ضابطًا في أربعة محاور، يتم اختيارها وتبريرها في بيان التطبيق. تتضمن الشهادة تدقيقًا على مرحلتين، ومراقبة سنوية، وإعادة شهادة كل ثلاث سنوات.
يتكون المعيار من عشرة بنود؛ البنود من 4 إلى 10 هي المتطلبات: السياق والنطاق، القيادة، التخطيط (تقييم المخاطر ومعالجتها، الأهداف)، الدعم (الموارد، الكفاءة، التوثيق)، التشغيل، تقييم الأداء (المراقبة، التدقيق الداخلي، مراجعة الإدارة) والتحسين. الملحق أ يسرد 93 ضابطًا في أربعة محاور (تنظيمية، بشرية، مادية، تكنولوجية)، أعيد تنظيمها في عام 2022 من 114 ضابطًا في إصدار 2013، مع ضوابط جديدة لذكاء التهديدات، والخدمات السحابية، والاستعداد التكنولوجي للمعلومات والاتصالات لاستمرارية الأعمال، وإخفاء البيانات، ومنع تسرب البيانات، والمراقبة، وتصفية الويب، والترميز الآمن. لا يتعين عليك تنفيذ كل ضابط؛ بل يجب عليك تبرير، في بيان التطبيق، الضوابط التي تطبقها ولماذا الضوابط الأخرى غير ذات صلة. الشهادة هي تدقيق مرحلة 1 ومرحلة 2، ثم مراقبة سنوية وإعادة تصديق كل ثلاث سنوات.
ما يضيفه معيار ISO 27799
يضيف معيار ISO 27799 إرشادات خاصة بالصحة إلى ضوابط ISO/IEC 27002: بالنسبة لمعلومات الصحة الشخصية، فإنه يجعل العديد من الضوابط إلزامية، بما في ذلك تحديد هوية المستخدم الفريدة، والتحكم في الوصول بناءً على الدور وعلاقة الرعاية، وتسجيل تدقيق لكل وصول إلى السجلات الصحية، والتشفير على الأجهزة المحمولة وأثناء النقل، والتخلص الآمن، وإدارة الحوادث واستمرارية الأعمال، ويصف التهديدات الخاصة بالمؤسسات الصحية.
يشرح معيار 27799 (الإصدار الحالي 2016) ضوابط معيار 27002، وبالنسبة لكل منها، يحدد ما يجب على المنظمات الصحية القيام به. ويرفع عدة بنود من "يجب النظر فيها" إلى "يجب": سياسة أمن معلومات موثقة خاصة بالمعلومات الصحية؛ تحديد هوية فريد للمستخدم (لا توجد حسابات مشتركة في الأنظمة السريرية)؛ التحكم في الوصول بناءً على الدور وعلاقة الرعاية؛ تسجيل تدقيق لكل وصول إلى المعلومات الصحية الشخصية، يتم الاحتفاظ به ومراجعته؛ تشفير المعلومات الصحية على الأجهزة المحمولة وأثناء النقل؛ التخلص الآمن؛ إدارة الحوادث التي تشمل خروقات الخصوصية؛ واستمرارية الأعمال لأن السجل غير المتاح يمكن أن يضر بالمريض. كما يشرح التهديدات الخاصة بالصحة: التصفح الداخلي لسجلات الأشخاص المعروفين، والملفات الخاطئة بين المرضى، ونقطة الضعف في مستخلصات الأبحاث، وفترات الاحتفاظ الطويلة التي تبقي البيانات القديمة مكشوفة.
الاثنان معًا، والجيران
يعمل معيارا ISO/IEC 27001 و ISO 27799 معًا: 27001 هو نظام الإدارة القابل للشهادة و 27799 هو الإرشادات الخاصة بقطاع الصحة بشأن الضوابط التي يجب تضمينها. تغطي المعايير والمخططات المجاورة الاحتياجات: ISO 27701 للخصوصية، و ISO 27017 و 27018 للسحابة، و SOC 2 و HITRUST للعملاء في الولايات المتحدة، و HDS (فرنسا)، و C5 (ألمانيا)، و NHS DSPT (إنجلترا)، و ENS (إسبانيا) للمشتريات الوطنية.
| المعيار أو المخطط | النوع | استخدمه لـ |
|---|---|---|
| ISO/IEC 27001:2022 | متطلبات نظام إدارة أمن المعلومات القابلة للشهادة | الشهادة التي تطلبها المستشفيات والمناقصات |
| ISO/IEC 27002:2022 | إرشادات الضوابط | تنفيذ ضوابط الملحق أ |
| ISO 27799:2016 | إرشادات قطاع الصحة | تحديد نطاق وتبرير الضوابط لبيانات الصحة؛ دليل في العناية الواجبة |
| ISO/IEC 27701:2019 | امتداد الخصوصية للمعيارين 27001/27002 | إظهار إدارة الخصوصية المتوافقة مع اللائحة العامة لحماية البيانات (GDPR) كمسؤول معالج ومسؤول عن المعالجة |
| ISO/IEC 27017 و 27018 | إرشادات أمن السحابة وخصوصية السحابة | مقدمو الخدمات السحابية و SaaS الذين يتعاملون مع البيانات الشخصية |
| SOC 2 (AICPA) | تقرير إثبات أمريكي (النوع الأول أو الثاني) حول معايير الثقة | العملاء والمستثمرون الأمريكيون؛ ليس شهادة |
| HITRUST CSF | إطار عمل وشهادة أمريكية للرعاية الصحية | الأنظمة الصحية والدافعون الأمريكيون الذين يطلبونها |
| HDS (فرنسا) | شهادة إلزامية لاستضافة بيانات الصحة في فرنسا | أي مقدم خدمة يستضيف بيانات صحية فرنسية؛ مبني على المعيار 27001 |
| C5 (ألمانيا) | شهادة السحابة من BSI | القطاع العام الألماني ومشتريات المستشفيات |
| NHS DSPT (إنجلترا) | أداة تقييم ذاتي سنوية | أي مورد لـ NHS |
| ENS (إسبانيا) | إطار عمل الأمن الوطني | أنظمة القطاع العام الإسباني |
| IEC 81001-5-1 | دورة حياة المنتج الآمن للبرامج الصحية | الأمن السيبراني لبرامج الأجهزة الطبية، جنبًا إلى جنب مع IEC 62304 |
تتداخل معظم هذه المعايير بشكل كبير مع مجموعة ضوابط المعيار 27001؛ تقوم المؤسسات بالربط مرة واحدة وإعادة استخدام الأدلة. تعتمد العديد من المخططات الوطنية (HDS، C5، ENS) على المعيار 27001 وتضيف متطلبات قطاعية أو بلدية، وهذا هو السبب في أن المعيار 27001 هو الشهادة الأولى المنطقية لشركة تقنية صحية تبيع في أوروبا.
ما الذي يجب التصديق عليه، ومتى
بالنسبة لشركة تقنية صحية تبيع في أوروبا، فإن الترتيب المعتاد هو التصديق على ISO/IEC 27001 أولاً، مع تحديد نطاق المنصة والفرق التي تديرها، بعد تنفيذ الضوابط الصحية من ISO 27799 (سجلات الوصول لكل سجل، والوصول القائم على العلاقة، والتشفير، وعدم وجود حسابات مشتركة، واستعادة مختبرة)، ثم إضافة ISO 27701، أو HDS، أو C5، أو SOC 2 عندما يتطلب السوق ذلك.
- حدد النطاق بضيق وبصدق: المنصة والفرق التي تديرها، وليس أجهزة الكمبيوتر المحمولة الخاصة بالشركة بأكملها، ما لم تكن تلامس البيانات. تقرأ المستشفيات بيان النطاق.
- قم بتنفيذ خصوصيات الصحة حتى قبل التصديق: سجلات الوصول لكل سجل مريض، والوصول المستند إلى الدور والعلاقة، والتشفير في كل مكان، وعدم وجود حسابات مشتركة، واستعادة مختبرة. يسأل استبيان الأمان الخاص بالمستشفى عن هذه الأمور؛ معيار 27799 هو قائمة التحقق.
- قم بالتصديق على المعيار 27001 أولاً، وأضف المعيار 27701 إذا كنت تعالج كمسؤول معالج ومسؤول عن المعالجة للعديد من العملاء، وأضف HDS أو C5 عندما يتطلب السوق ذلك، و SOC 2 عندما يطلب العملاء الأمريكيون ذلك.
- حافظ على رابط اللائحة العامة لحماية البيانات (GDPR) مرئيًا: تطلب المادة 32 أمانًا مناسبًا للمخاطر، وشهادة المعيار 27001 مع نطاق مستنير بمعيار 27799 هي الطريقة الأكثر شهرة لإظهار ذلك. يجب أن يكون قسم التدابير في تقييم تأثير حماية البيانات (DPIA) وخطة معالجة مخاطر نظام إدارة أمن المعلومات (ISMS) نفس القائمة. انظر DPIA لتطبيق صحي.
- المعيار NIS2 (للكيانات ضمن النطاق) وتحديث قاعدة HIPAA الأمنية المقترح يقرآن مثل الملحق أ للمعيار 27001 مع المصادقة متعددة العوامل الإلزامية والإبلاغ عن الحوادث؛ نظام إدارة أمن معلومات واحد يلبي جميع الثلاثة. انظر NIS2 للمستشفيات والموردين.
في Anpheros
تدير Anpheros برنامجها الأمني وفقًا لهيكل المعيار ISO 27001 مع ضوابط الصحة التي يعاملها المعيار 27799 على أنها إلزامية: سجلات الوصول لكل سجل، يمكن للشخص قراءتها، الوصول المحدد بالنطاق حسب الموافقة والوقت، التشفير أثناء التخزين وأثناء النقل، الاستضافة في الاتحاد الأوروبي، عدم وجود حسابات مشتركة، نسخ احتياطي مختبر، وعملية حوادث مع ساعة الـ 72 ساعة الخاصة باللائحة العامة لحماية البيانات (GDPR). يوثق موقع المطور أمن المنصة وتم العثور على التدقيق في مراجعة الأمن في أكتوبر 2026.
تشرح هذه الصفحة اللوائح الخاصة بفرق المنتجات والهندسة. إنها ليست استشارة قانونية؛ النصوص المرتبطة تحت المصادر هي السلطة، ويقرر مسؤول حماية بياناتك، أو الهيئة المبلّغة، أو المستشار الخاص بك لحالتك. آخر مراجعة: أكتوبر 2026.
صفحات ذات صلة
- NIS2 للمستشفيات وموردي التكنولوجيا الصحية
- DPIA لتطبيق صحي
- HIPAA مقابل GDPR
- من شاهد سجلي الطبي؟
- خريطة تنظيم بيانات الصحة
- أمن المنصة (موقع المطور)
المصادر
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, المعلوماتية الصحية: إدارة أمن المعلومات في مجال الصحة باستخدام ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (فرنسا): شهادة HDS
- BSI (ألمانيا): كتالوج معايير C5
- NHS England: Data Security and Protection Toolkit
الأسئلة الشائعة
هل يمكنني الحصول على شهادة وفقًا لمعيار ISO 27799؟
لا. معيار 27799 هو إرشادات؛ تقوم هيئات التصديق بالتصديق على المعيار ISO/IEC 27001. يمكنك جعل نطاق المعيار 27001 وبيان التطبيق يشيران إلى المعيار 27799 بحيث تغطي الشهادة بشكل واضح الضوابط الخاصة بالصحة.
هل SOC 2 يعادل ISO 27001؟
يتداخلان ولكنهما يختلفان في النوع: SOC 2 هو تقرير مدقق حول الضوابط خلال فترة زمنية مقابل معايير الثقة، وهو شائع في الولايات المتحدة؛ المعيار 27001 هو نظام إدارة معتمد، وهو شائع في أوروبا ودوليًا. العديد من شركات التكنولوجيا الصحية تحمل كلاهما.
هل أحتاج إلى HDS لخدمة العيادات الفرنسية؟
إذا كنت تستضيف بيانات صحية لمقدمي الرعاية الفرنسيين، فنعم: شهادة HDS هي متطلب قانوني بموجب قانون الصحة العامة الفرنسي، ولن يوقع معظم العملاء الفرنسيين بدونها. إنها مبنية على المعيار 27001، لذا ابدأ به.
كم من الوقت يستغرق الحصول على شهادة ISO 27001؟
بالنسبة لنطاق مركز مع فريق ملتزم، من ستة إلى اثني عشر شهرًا من البداية إلى الشهادة، معظمها يقضي في جعل الضوابط حقيقية وجمع الأدلة. التدقيق نفسه يستغرق بضعة أيام.
جرّبه مجانًا في بيئة الاختبار
أول طلب FHIR خلال 5 دقائق. واجهة برمجة تطبيقات HL7 FHIR R4 مع موافقة المريض مدمجة: جربها في بيئة الاختبار، ثم اربط تطبيقك الخاص أو نظام عيادتك.
مجاني · 30 مريضًا اصطناعيًا · دون بطاقة
تبني Anpheros سجلًا طبيًا يتحكم فيه المريض ويمكن مشاركته مع أي عيادة، على منصة HL7 FHIR R4، مقرها في الاتحاد الأوروبي. تساعدك هذه الأدلة على فهم وتنظيم صحتك؛ ولا تغني عن استشارة طبيبك.
عن Anpheros →