Σύντομη απάντηση: Το ISO/IEC 27001 καθορίζει ένα σύστημα διαχείρισης ασφάλειας πληροφοριών (ΣΔΑΠ): πώς ένας οργανισμός εντοπίζει τους κινδύνους πληροφοριών του, επιλέγει ελέγχους, τους εφαρμόζει και τους βελτιώνει, με έναν ελεγκτή να πιστοποιεί το αποτέλεσμα. Το συνοδευτικό του ISO/IEC 27002 περιγράφει τους ίδιους τους ελέγχους. Το ISO 27799 (πληροφορική υγείας: διαχείριση ασφάλειας πληροφοριών στην υγεία χρησιμοποιώντας το ISO/IEC 27002) παίρνει αυτούς τους ελέγχους και λέει πώς να τους εφαρμόσει σε προσωπικές πληροφορίες υγείας: ελάχιστες απαιτήσεις, κινδύνους ειδικούς για την υγεία και ελέγχους που ένα νοσοκομείο ή ένας προμηθευτής λογισμικού υγείας θα πρέπει να θεωρεί υποχρεωτικούς αντί για προαιρετικούς. Πιστοποιείστε σύμφωνα με το 27001· χρησιμοποιήστε το 27799 για να αποφασίσετε τι πρέπει να καλύπτει το πιστοποιητικό όταν τα δεδομένα είναι δεδομένα υγείας. Τα νοσοκομεία και τα εθνικά προγράμματα ζητούν όλο και περισσότερο το πιστοποιητικό, συν την απόδειξη ότι οι ειδικές λεπτομέρειες της υγείας εξετάστηκαν, ή ένα εθνικό σχέδιο που τις ενσωματώνει.
ISO/IEC 27001:2022 με μία παράγραφο
Το ISO/IEC 27001:2022 είναι το διεθνές πρότυπο που πιστοποιείται για ένα σύστημα διαχείρισης ασφάλειας πληροφοριών. Οι παράγραφοι 4 έως 10 θέτουν απαιτήσεις για το πλαίσιο, την ηγεσία, τον σχεδιασμό βάσει κινδύνου, την υποστήριξη, τη λειτουργία, την αξιολόγηση της απόδοσης και τη βελτίωση. Το Παράρτημα Α παραθέτει 93 ελέγχους σε τέσσερις θεματικές ενότητες, οι οποίοι επιλέγονται και αιτιολογούνται σε μια Δήλωση Εφαρμοσιμότητας. Η πιστοποίηση περιλαμβάνει έναν έλεγχο δύο σταδίων, ετήσια παρακολούθηση και επαναπιστοποίηση κάθε τρία χρόνια.
Το πρότυπο έχει δέκα άρθρα· τα άρθρα 4 έως 10 είναι οι απαιτήσεις: πλαίσιο και πεδίο εφαρμογής, ηγεσία, σχεδιασμός (εκτίμηση και αντιμετώπιση κινδύνων, στόχοι), υποστήριξη (πόροι, ικανότητες, τεκμηρίωση), λειτουργία, αξιολόγηση απόδοσης (παρακολούθηση, εσωτερικός έλεγχος, ανασκόπηση από τη διοίκηση) και βελτίωση. Το Παράρτημα Α παραθέτει 93 ελέγχους σε τέσσερις θεματικές ενότητες (οργανωτικοί, ανθρώπινοι, φυσικοί, τεχνολογικοί), αναδιοργανωμένους το 2022 από τους 114 ελέγχους της έκδοσης του 2013, με νέους για πληροφορίες απειλών, υπηρεσίες cloud, ετοιμότητα ΤΠΕ για επιχειρησιακή συνέχεια, απόκρυψη δεδομένων, πρόληψη διαρροής δεδομένων, παρακολούθηση, φιλτράρισμα ιστού και ασφαλή κωδικοποίηση. Δεν χρειάζεται να εφαρμόσετε κάθε έλεγχο· πρέπει να δικαιολογήσετε, σε μια Δήλωση Εφαρμοσιμότητας, ποιους εφαρμόζετε και γιατί οι άλλοι δεν είναι σχετικοί. Η πιστοποίηση είναι ένας έλεγχος σταδίου 1 και σταδίου 2, στη συνέχεια ετήσια παρακολούθηση και επαναπιστοποίηση κάθε τρία χρόνια.
Τι προσθέτει το ISO 27799
Το ISO 27799 προσθέτει καθοδήγηση ειδικά για τον τομέα της υγείας στους ελέγχους του ISO/IEC 27002: για τις προσωπικές πληροφορίες υγείας, καθιστά υποχρεωτικούς αρκετούς ελέγχους, συμπεριλαμβανομένης της μοναδικής αναγνώρισης χρήστη, του ελέγχου πρόσβασης βάσει ρόλου και σχέσης φροντίδας, της καταγραφής όλων των προσβάσεων στα αρχεία υγείας, της κρυπτογράφησης σε κινητές συσκευές και κατά τη μεταφορά, της ασφαλούς διαγραφής, της διαχείρισης περιστατικών και της επιχειρησιακής συνέχειας, και περιγράφει απειλές ειδικές για τους οργανισμούς υγείας.
Το 27799 (τρέχουσα έκδοση 2016) εξετάζει τους ελέγχους του 27002 και, για καθέναν, δηλώνει τι πρέπει να κάνουν οι οργανισμοί υγείας. Αναβαθμίζει αρκετούς από "θα πρέπει να εξεταστεί" σε "πρέπει": μια τεκμηριωμένη πολιτική ασφάλειας πληροφοριών ειδική για πληροφορίες υγείας· μοναδική αναγνώριση χρήστη (όχι κοινοί λογαριασμοί σε κλινικά συστήματα)· έλεγχος πρόσβασης βάσει ρόλου και σχέσης φροντίδας· καταγραφή ελέγχου κάθε πρόσβασης σε προσωπικές πληροφορίες υγείας, που διατηρείται και είναι αναθεωρήσιμη· κρυπτογράφηση πληροφοριών υγείας σε κινητές συσκευές και κατά τη μεταφορά· ασφαλής διάθεση· διαχείριση συμβάντων που περιλαμβάνει παραβιάσεις απορρήτου· και επιχειρησιακή συνέχεια, επειδή ένα μη διαθέσιμο αρχείο μπορεί να βλάψει έναν ασθενή. Εξηγεί επίσης κινδύνους ειδικούς για την υγεία: εσωτερική περιήγηση αρχείων γνωστών ατόμων, λανθασμένη αρχειοθέτηση μεταξύ ασθενών, το αδύναμο σημείο των ερευνητικών αποσπασμάτων και οι μεγάλες περίοδοι διατήρησης που αφήνουν τα παλιά δεδομένα εκτεθειμένα.
Τα δύο μαζί, και οι γείτονες
Τα ISO/IEC 27001 και ISO 27799 λειτουργούν μαζί: το 27001 είναι το πιστοποιήσιμο σύστημα διαχείρισης και το 27799 η καθοδήγηση για τον τομέα της υγείας σχετικά με τους ελέγχους που πρέπει να περιλαμβάνονται. Γειτονικά πρότυπα και σχήματα καλύπτουν ανάγκες: το ISO 27701 για την ιδιωτικότητα, τα ISO 27017 και 27018 για το cloud, τα SOC 2 και HITRUST για πελάτες στις ΗΠΑ, το HDS (Γαλλία), το C5 (Γερμανία), το NHS DSPT (Αγγλία) και το ENS (Ισπανία) για εθνικές προμήθειες.
| Πρότυπο ή σχέδιο | Τύπος | Χρησιμοποιήστε το για |
|---|---|---|
| ISO/IEC 27001:2022 | Απαιτήσεις πιστοποιήσιμου ΣΔΑΠ | Το πιστοποιητικό που ζητούν τα νοσοκομεία και οι διαγωνισμοί |
| ISO/IEC 27002:2022 | Οδηγίες ελέγχου | Εφαρμογή των ελέγχων του Παραρτήματος Α |
| ISO 27799:2016 | Οδηγίες για τον τομέα της υγείας | Καθορισμός πεδίου εφαρμογής και δικαιολόγηση ελέγχων για δεδομένα υγείας· απόδειξη στην δέουσα επιμέλεια |
| ISO/IEC 27701:2019 | Επέκταση απορρήτου στο 27001/27002 | Επίδειξη διαχείρισης απορρήτου ευθυγραμμισμένης με τον GDPR ως υπεύθυνος επεξεργασίας και εκτελών την επεξεργασία |
| ISO/IEC 27017 και 27018 | Οδηγίες ασφάλειας cloud και απορρήτου cloud | Πάροχοι cloud και SaaS που χειρίζονται προσωπικά δεδομένα |
| SOC 2 (AICPA) | Έκθεση ελέγχου ΗΠΑ (Τύπος I ή II) σχετικά με κριτήρια εμπιστοσύνης | Πελάτες και επενδυτές ΗΠΑ· όχι πιστοποιητικό |
| HITRUST CSF | Πλαίσιο και πιστοποίηση υγείας ΗΠΑ | Συστήματα υγείας και πληρωτές ΗΠΑ που το απαιτούν |
| HDS (Γαλλία) | Υποχρεωτική πιστοποίηση για φιλοξενία δεδομένων υγείας στη Γαλλία | Οποιοσδήποτε πάροχος φιλοξενεί γαλλικά δεδομένα υγείας· βασίζεται στο 27001 |
| C5 (Γερμανία) | Πιστοποίηση cloud BSI | Γερμανικός δημόσιος τομέας και προμήθειες νοσοκομείων |
| NHS DSPT (Αγγλία) | Ετήσιο εργαλείο αυτοαξιολόγησης | Οποιοσδήποτε προμηθευτής του NHS |
| ENS (Ισπανία) | Εθνικό πλαίσιο ασφάλειας | Ισπανικά συστήματα δημόσιου τομέα |
| IEC 81001-5-1 | Ασφαλής κύκλος ζωής προϊόντος για λογισμικό υγείας | Κυβερνοασφάλεια λογισμικού ιατρικών συσκευών, παράλληλα με το IEC 62304 |
Τα περισσότερα από αυτά επικαλύπτονται σε μεγάλο βαθμό με το σύνολο ελέγχων του 27001· οι οργανισμοί χαρτογραφούν μία φορά και επαναχρησιμοποιούν τα στοιχεία. Αρκετά εθνικά σχέδια (HDS, C5, ENS) βασίζονται στο 27001 και προσθέτουν απαιτήσεις τομέα ή χώρας, γι' αυτό το 27001 είναι το λογικό πρώτο πιστοποιητικό για μια εταιρεία τεχνολογίας υγείας που πωλεί στην Ευρώπη.
Τι να πιστοποιήσετε, και πότε
Για μια εταιρεία health-tech που πωλεί στην Ευρώπη, η συνήθης σειρά είναι η πιστοποίηση του ISO/IEC 27001 πρώτα, με πεδίο εφαρμογής την πλατφόρμα και τις ομάδες που τη διαχειρίζονται, αφού εφαρμοστούν οι έλεγχοι υγείας από το ISO 27799 (καταγραφές πρόσβασης ανά αρχείο, πρόσβαση βάσει σχέσης, κρυπτογράφηση, χωρίς κοινούς λογαριασμούς, ελεγμένες επαναφορές), και στη συνέχεια η προσθήκη του ISO 27701, HDS, C5 ή SOC 2 όταν μια αγορά τα απαιτεί.
- Πεδίο εφαρμογής στενά και ειλικρινά: η πλατφόρμα και οι ομάδες που τη διαχειρίζονται, όχι οι φορητοί υπολογιστές ολόκληρης της εταιρείας, εκτός αν αγγίζουν τα δεδομένα. Τα νοσοκομεία διαβάζουν τη δήλωση πεδίου εφαρμογής.
- Κάντε τις ειδικές λεπτομέρειες της υγείας ακόμη και πριν την πιστοποίηση: αρχεία καταγραφής πρόσβασης ανά αρχείο ασθενούς, πρόσβαση βάσει ρόλου και σχέσης, κρυπτογράφηση παντού, χωρίς κοινούς λογαριασμούς, δοκιμασμένες επαναφορές. Το ερωτηματολόγιο ασφαλείας ενός νοσοκομείου ζητά αυτά· το 27799 είναι η λίστα ελέγχου.
- Πιστοποιήστε πρώτα το 27001, προσθέστε το 27701 εάν επεξεργάζεστε ως υπεύθυνος επεξεργασίας και εκτελών την επεξεργασία για πολλούς πελάτες, προσθέστε HDS ή C5 όταν μια αγορά το απαιτεί, SOC 2 όταν το κάνουν οι πελάτες των ΗΠΑ.
- Διατηρήστε ορατή τη σύνδεση με τον GDPR: το Άρθρο 32 ζητά ασφάλεια κατάλληλη για τον κίνδυνο, και ένα πιστοποιητικό 27001 με πεδίο εφαρμογής ενημερωμένο από το 27799 είναι ο πιο αναγνωρισμένος τρόπος για να το δείξετε. Η ενότητα μέτρων της DPIA και το σχέδιο αντιμετώπισης κινδύνων του ΣΔΑΠ πρέπει να είναι η ίδια λίστα. Δείτε DPIA για μια εφαρμογή υγείας.
- Το NIS2 (για οντότητες εντός του πεδίου εφαρμογής) και η προτεινόμενη ενημέρωση του HIPAA Security Rule μοιάζουν με το Παράρτημα Α του 27001 με υποχρεωτική έλεγχο ταυτότητας πολλαπλών παραγόντων και αναφορά συμβάντων· ένα ΣΔΑΠ απαντά και στα τρία. Δείτε NIS2 για νοσοκομεία και προμηθευτές.
Στην Anpheros
Η Anpheros εκτελεί το πρόγραμμα ασφαλείας της σύμφωνα με τη δομή του ISO 27001 με τους ελέγχους υγείας που το 27799 θεωρεί υποχρεωτικούς: αρχεία καταγραφής πρόσβασης ανά εγγραφή ασθενούς που μπορεί να διαβάσει το άτομο, πρόσβαση με βάση τη συγκατάθεση και τον χρόνο, κρυπτογράφηση κατά την αποθήκευση και κατά τη μεταφορά, φιλοξενία στην ΕΕ, χωρίς κοινούς λογαριασμούς, δοκιμασμένα αντίγραφα ασφαλείας και μια διαδικασία συμβάντων με το χρονόμετρο 72 ωρών του GDPR. Ο ιστότοπος προγραμματιστών τεκμηριώνει την ασφάλεια της πλατφόρμας και ο έλεγχος βρέθηκε στην ανασκόπηση ασφαλείας του Οκτωβρίου 2026.
Αυτή η σελίδα εξηγεί τη ρύθμιση για ομάδες προϊόντων και μηχανικών. Δεν αποτελεί νομική συμβουλή· τα κείμενα που συνδέονται στις Πηγές είναι η αρχή, και ο υπεύθυνος προστασίας δεδομένων σας, ο κοινοποιημένος οργανισμός ή ο σύμβουλός σας αποφασίζει για την περίπτωσή σας. Τελευταία αναθεώρηση: Οκτώβριος 2026.
Σχετικές σελίδες
- NIS2 για νοσοκομεία και προμηθευτές τεχνολογίας υγείας
- DPIA για μια εφαρμογή υγείας
- HIPAA vs GDPR
- Ποιος είδε τον ιατρικό μου φάκελο;
- Χάρτης κανονισμών δεδομένων υγείας
- Ασφάλεια πλατφόρμας (ιστότοπος προγραμματιστών)
Πηγές
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Πληροφορική υγείας: διαχείριση ασφάλειας πληροφοριών στην υγεία χρησιμοποιώντας το ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Γαλλία): Πιστοποίηση HDS
- BSI (Γερμανία): Κατάλογος κριτηρίων C5
- NHS England: Data Security and Protection Toolkit
Συχνές ερωτήσεις
Μπορώ να πιστοποιηθώ σύμφωνα με το ISO 27799;
Όχι. Το 27799 είναι οδηγός· οι φορείς πιστοποίησης πιστοποιούν το ISO/IEC 27001. Μπορείτε να έχετε το πεδίο εφαρμογής του 27001 και τη Δήλωση Εφαρμοσιμότητας να αναφέρονται στο 27799, ώστε το πιστοποιητικό να καλύπτει αποδεδειγμένα ελέγχους ειδικούς για την υγεία.
Είναι το SOC 2 ισοδύναμο με το ISO 27001;
Επικαλύπτονται αλλά διαφέρουν ως προς το είδος: το SOC 2 είναι μια έκθεση ελεγκτή σχετικά με τους ελέγχους κατά τη διάρκεια μιας περιόδου βάσει κριτηρίων εμπιστοσύνης, κοινό στις ΗΠΑ· το 27001 είναι ένα πιστοποιημένο σύστημα διαχείρισης, κοινό στην Ευρώπη και διεθνώς. Πολλές εταιρείες τεχνολογίας υγείας κατέχουν και τα δύο.
Χρειάζομαι HDS για να εξυπηρετήσω γαλλικές κλινικές;
Εάν φιλοξενείτε δεδομένα υγείας για γαλλικούς παρόχους φροντίδας, ναι: η πιστοποίηση HDS είναι νομική απαίτηση σύμφωνα με τον γαλλικό κώδικα δημόσιας υγείας, και οι περισσότεροι γαλλικοί πελάτες δεν θα υπογράψουν χωρίς αυτήν. Βασίζεται στο 27001, οπότε ξεκινήστε από εκεί.
Πόσο χρόνο παίρνει το ISO 27001;
Για ένα εστιασμένο πεδίο εφαρμογής με αφοσιωμένη ομάδα, έξι έως δώδεκα μήνες από την έναρξη έως το πιστοποιητικό, το μεγαλύτερο μέρος του χρόνου αφιερώνεται στην υλοποίηση των ελέγχων και τη συλλογή αποδείξεων. Ο ίδιος ο έλεγχος διαρκεί λίγες ημέρες.
Δοκιμάστε δωρεάν στο sandbox
Η πρώτη σας κλήση FHIR σε 5 λεπτά. Ένα API HL7 FHIR R4 με τη συγκατάθεση του ασθενούς ενσωματωμένη: δοκιμάστε το στο sandbox, στη συνέχεια συνδέστε τη δική σας εφαρμογή ή σύστημα κλινικής.
Δωρεάν · 30 συνθετικοί ασθενείς · χωρίς κάρτα
Το Anpheros δημιουργεί ένα ιατρικό αρχείο που ελέγχει ο ασθενής και μπορεί να μοιραστεί με οποιαδήποτε κλινική, σε πλατφόρμα HL7 FHIR R4, με έδρα την ΕΕ. Αυτοί οι οδηγοί σάς βοηθούν να κατανοήσετε και να οργανώσετε την υγεία σας· δεν αντικαθιστούν τον γιατρό σας.
Σχετικά με το Anpheros →