ISO/IEC 27001 बनाम ISO 27799: स्वास्थ्य डेटा के लिए सूचना सुरक्षा, और अस्पताल जो प्रमाणपत्र मांगते हैं

संक्षिप्त उत्तर: ISO/IEC 27001 एक सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) निर्दिष्ट करता है: एक संगठन अपने सूचना जोखिमों की पहचान कैसे करता है, नियंत्रण कैसे चुनता है, उन्हें कैसे चलाता है और उनमें सुधार कैसे करता है, जिसमें एक ऑडिटर परिणाम प्रमाणित करता है। इसका साथी ISO/IEC 27002 स्वयं नियंत्रणों का वर्णन करता है। ISO 27799 (स्वास्थ्य सूचना विज्ञान: ISO/IEC 27002 का उपयोग करके स्वास्थ्य में सूचना सुरक्षा प्रबंधन) उन नियंत्रणों को लेता है और बताता है कि उन्हें व्यक्तिगत स्वास्थ्य जानकारी पर कैसे लागू किया जाए: न्यूनतम आवश्यकताएं, स्वास्थ्य-विशिष्ट जोखिम, और नियंत्रण जिन्हें एक अस्पताल या स्वास्थ्य सॉफ्टवेयर आपूर्तिकर्ता को अनिवार्य के बजाय वैकल्पिक मानना चाहिए। आप 27001 के विरुद्ध प्रमाणित होते हैं; आप यह तय करने के लिए 27799 का उपयोग करते हैं कि जब डेटा स्वास्थ्य डेटा हो तो प्रमाणपत्र को क्या कवर करना चाहिए। अस्पताल और राष्ट्रीय कार्यक्रम तेजी से प्रमाणपत्र के साथ-साथ स्वास्थ्य विशिष्टताओं पर विचार किया गया है, या उन्हें एकीकृत करने वाली एक राष्ट्रीय योजना का प्रमाण मांगते हैं।

ISO/IEC 27001:2022 एक पैराग्राफ में

ISO/IEC 27001:2022 सूचना सुरक्षा प्रबंधन प्रणाली के लिए एक प्रमाणन योग्य अंतर्राष्ट्रीय मानक है। धाराएँ 4 से 10 संदर्भ, नेतृत्व, जोखिम-आधारित योजना, समर्थन, संचालन, प्रदर्शन मूल्यांकन और सुधार के लिए आवश्यकताएँ निर्धारित करती हैं; अनुलग्नक A चार विषयों में 93 नियंत्रणों की सूची देता है, जिन्हें प्रयोज्यता के विवरण में चुना और उचित ठहराया गया है। प्रमाणन में दो-चरणीय ऑडिट, वार्षिक निगरानी और हर तीन साल में पुन: प्रमाणन शामिल है।

मानक में दस खंड हैं; खंड 4 से 10 आवश्यकताएं हैं: संदर्भ और दायरा, नेतृत्व, योजना (जोखिम मूल्यांकन और उपचार, उद्देश्य), समर्थन (संसाधन, योग्यता, प्रलेखन), संचालन, प्रदर्शन मूल्यांकन (निगरानी, आंतरिक ऑडिट, प्रबंधन समीक्षा) और सुधार। अनुलग्नक A चार विषयों (संगठनात्मक, लोग, भौतिक, तकनीकी) में 93 नियंत्रणों की सूची देता है, जिन्हें 2022 में 2013 संस्करण के 114 नियंत्रणों से पुनर्गठित किया गया है, जिसमें खतरे की खुफिया जानकारी, क्लाउड सेवाएं, व्यावसायिक निरंतरता के लिए आईसीटी तत्परता, डेटा मास्किंग, डेटा रिसाव रोकथाम, निगरानी, वेब फ़िल्टरिंग और सुरक्षित कोडिंग के लिए नए नियंत्रण शामिल हैं। आपको हर नियंत्रण को लागू करने की आवश्यकता नहीं है; आपको लागू होने के विवरण में यह बताना होगा कि आप किनका उपयोग करते हैं और अन्य क्यों प्रासंगिक नहीं हैं। प्रमाणन एक चरण 1 और चरण 2 ऑडिट है, फिर वार्षिक निगरानी और हर तीन साल में पुनर्सत्यापन होता है।

ISO 27799 क्या जोड़ता है

ISO 27799 ISO/IEC 27002 नियंत्रणों में स्वास्थ्य-विशिष्ट मार्गदर्शन जोड़ता है: व्यक्तिगत स्वास्थ्य जानकारी के लिए यह कई नियंत्रणों को अनिवार्य बनाता है, जिसमें अद्वितीय उपयोगकर्ता पहचान, भूमिका- और देखभाल-संबंध-आधारित एक्सेस नियंत्रण, स्वास्थ्य रिकॉर्ड तक हर पहुंच का ऑडिट लॉगिंग, मोबाइल उपकरणों पर और ट्रांज़िट में एन्क्रिप्शन, सुरक्षित निपटान, घटना प्रबंधन और व्यावसायिक निरंतरता शामिल है, और यह स्वास्थ्य संगठनों के लिए विशिष्ट खतरों का वर्णन करता है।

27799 (वर्तमान संस्करण 2016) 27002 नियंत्रणों के माध्यम से चलता है और, प्रत्येक के लिए, बताता है कि स्वास्थ्य संगठनों को क्या करना चाहिए। यह कई को "विचार करना चाहिए" से "करना चाहिए" तक बढ़ाता है: स्वास्थ्य जानकारी के लिए एक प्रलेखित सूचना सुरक्षा नीति; अद्वितीय उपयोगकर्ता पहचान (नैदानिक प्रणालियों में साझा खाते नहीं); भूमिका और देखभाल संबंध के आधार पर पहुंच नियंत्रण; व्यक्तिगत स्वास्थ्य जानकारी तक हर पहुंच का ऑडिट लॉगिंग, बनाए रखा और समीक्षा योग्य; मोबाइल उपकरणों पर और पारगमन में स्वास्थ्य जानकारी का एन्क्रिप्शन; सुरक्षित निपटान; घटना प्रबंधन जिसमें गोपनीयता उल्लंघन शामिल हैं; और व्यावसायिक निरंतरता क्योंकि एक अनुपलब्ध रिकॉर्ड रोगी को नुकसान पहुंचा सकता है। यह स्वास्थ्य-विशिष्ट खतरों की भी व्याख्या करता है: ज्ञात लोगों के रिकॉर्ड को अंदरूनी तौर पर ब्राउज़ करना, रोगियों के बीच गलत फाइलिंग, अनुसंधान निष्कर्षों का कमजोर बिंदु, और लंबे समय तक बनाए रखने की अवधि जो पुराने डेटा को उजागर रखती है।

दोनों एक साथ, और पड़ोसी

ISO/IEC 27001 और ISO 27799 एक साथ काम करते हैं: 27001 प्रमाणन योग्य प्रबंधन प्रणाली है और 27799 स्वास्थ्य-क्षेत्र मार्गदर्शन है कि किन नियंत्रणों को शामिल किया जाए। पड़ोसी मानक और योजनाएँ आवश्यकताओं को कवर करती हैं: गोपनीयता के लिए ISO 27701, क्लाउड के लिए ISO 27017 और 27018, अमेरिकी ग्राहकों के लिए SOC 2 और HITRUST, राष्ट्रीय खरीद के लिए HDS (फ्रांस), C5 (जर्मनी), NHS DSPT (इंग्लैंड) और ENS (स्पेन)।

इनमें से अधिकांश 27001 के नियंत्रण सेट के साथ भारी रूप से ओवरलैप होते हैं; संगठन एक बार मैप करते हैं और साक्ष्य का पुन: उपयोग करते हैं। कई राष्ट्रीय योजनाएं (HDS, C5, ENS) 27001 पर निर्मित होती हैं और क्षेत्र या देश की आवश्यकताएं जोड़ती हैं, यही कारण है कि यूरोप में बेचने वाली स्वास्थ्य-तकनीक कंपनी के लिए 27001 पहला समझदार प्रमाणपत्र है।

क्या प्रमाणित करें, और कब

यूरोप में बेचने वाली एक हेल्थ-टेक कंपनी के लिए, सामान्य क्रम पहले ISO/IEC 27001 को प्रमाणित करना है, जिसे प्लेटफ़ॉर्म और इसे चलाने वाली टीमों तक सीमित किया गया है, ISO 27799 (प्रति-रिकॉर्ड एक्सेस लॉग, संबंध-आधारित एक्सेस, एन्क्रिप्शन, कोई साझा खाते नहीं, परीक्षण किए गए पुनर्स्थापना) से स्वास्थ्य नियंत्रणों को लागू करने के बाद, फिर जब कोई बाज़ार उनकी मांग करता है तो ISO 27701, HDS, C5 या SOC 2 जोड़ें।

• दायरे को संकीर्ण और ईमानदारी से परिभाषित करें: प्लेटफ़ॉर्म और इसे चलाने वाली टीमें, न कि कंपनी के सभी लैपटॉप, जब तक कि वे डेटा को स्पर्श न करें। अस्पताल दायरे के बयान को पढ़ते हैं।
• प्रमाणन से पहले ही स्वास्थ्य विशिष्टताओं को करें: प्रति रोगी रिकॉर्ड एक्सेस लॉग, भूमिका- और संबंध-आधारित पहुंच, हर जगह एन्क्रिप्शन, कोई साझा खाते नहीं, परीक्षण किए गए पुनर्स्थापन। एक अस्पताल का सुरक्षा प्रश्नावली इन चीजों के लिए पूछता है; 27799 चेकलिस्ट है।
• पहले 27001 प्रमाणित करें, यदि आप कई ग्राहकों के लिए नियंत्रक और प्रोसेसर के रूप में संसाधित करते हैं तो 27701 जोड़ें, जब कोई बाज़ार इसकी मांग करता है तो HDS या C5 जोड़ें, जब अमेरिकी ग्राहक करते हैं तो SOC 2 जोड़ें।
• GDPR लिंक को दृश्यमान रखें: अनुच्छेद 32 जोखिम के लिए उपयुक्त सुरक्षा मांगता है, और 27799-सूचित दायरे के साथ 27001 प्रमाणपत्र इसे दिखाने का सबसे मान्यता प्राप्त तरीका है। DPIA के उपायों अनुभाग और ISMS जोखिम उपचार योजना एक ही सूची होनी चाहिए। स्वास्थ्य ऐप के लिए DPIA देखें।
• NIS2 (दायरे में आने वाली संस्थाओं के लिए) और प्रस्तावित HIPAA सुरक्षा नियम अद्यतन दोनों 27001 अनुलग्नक A की तरह अनिवार्य मल्टी-फैक्टर प्रमाणीकरण और घटना रिपोर्टिंग के साथ पढ़ते हैं; एक ISMS इन तीनों का उत्तर देता है। अस्पतालों और विक्रेताओं के लिए NIS2 देखें।

Anpheros में

Anpheros अपने सुरक्षा कार्यक्रम को ISO 27001 की संरचना के साथ चलाता है जिसमें 27799 द्वारा अनिवार्य माने जाने वाले स्वास्थ्य नियंत्रण शामिल हैं: प्रति-रिकॉर्ड एक्सेस लॉग जिन्हें व्यक्ति पढ़ सकता है, सहमति और समय द्वारा दायरे में रखी गई पहुंच, आराम और पारगमन में एन्क्रिप्शन, यूरोपीय संघ की मेजबानी, कोई साझा खाते नहीं, परीक्षण किए गए बैकअप, और GDPR 72-घंटे की घड़ी के साथ एक घटना प्रक्रिया। डेवलपर साइट प्लेटफ़ॉर्म सुरक्षा का दस्तावेजीकरण करती है और ऑडिट अक्टूबर 2026 की सुरक्षा समीक्षा में पाया गया था।

यह पृष्ठ उत्पाद और इंजीनियरिंग टीमों के लिए विनियमन की व्याख्या करता है। यह कानूनी सलाह नहीं है; स्रोतों के तहत लिंक किए गए पाठ अधिकार हैं, और आपका डेटा सुरक्षा अधिकारी, अधिसूचित निकाय या वकील आपके मामले के लिए निर्णय लेता है। अंतिम समीक्षा: अक्टूबर 2026।

संबंधित पृष्ठ

• अस्पतालों और स्वास्थ्य-तकनीक विक्रेताओं के लिए NIS2
• स्वास्थ्य ऐप के लिए DPIA
• HIPAA बनाम GDPR
• मेरे मेडिकल रिकॉर्ड को किसने देखा?
• स्वास्थ्य डेटा विनियमन मानचित्र
• प्लेटफ़ॉर्म सुरक्षा (डेवलपर साइट)

स्रोत

• ISO/IEC 27001:2022
• ISO/IEC 27002:2022
• ISO 27799:2016, स्वास्थ्य सूचना विज्ञान: ISO/IEC 27002 का उपयोग करके स्वास्थ्य में सूचना सुरक्षा प्रबंधन
• ISO/IEC 27701:2019
• ANS (फ्रांस): HDS प्रमाणन
• BSI (जर्मनी): C5 मानदंड कैटलॉग
• NHS इंग्लैंड: डेटा सुरक्षा और संरक्षण टूलकिट

अक्सर पूछे जाने वाले प्रश्न

क्या मैं ISO 27799 के विरुद्ध प्रमाणित हो सकता हूँ?

नहीं। 27799 मार्गदर्शन है; प्रमाणन निकाय ISO/IEC 27001 को प्रमाणित करते हैं। आप 27001 के दायरे और लागू होने के विवरण में 27799 का संदर्भ दे सकते हैं ताकि प्रमाणपत्र स्पष्ट रूप से स्वास्थ्य-विशिष्ट नियंत्रणों को कवर करे।

क्या SOC 2, ISO 27001 के बराबर है?

वे ओवरलैप करते हैं लेकिन प्रकृति में भिन्न होते हैं: SOC 2 विश्वास मानदंडों के विरुद्ध एक अवधि में नियंत्रणों पर एक ऑडिटर की रिपोर्ट है, जो अमेरिका में आम है; 27001 एक प्रमाणित प्रबंधन प्रणाली है, जो यूरोप और अंतरराष्ट्रीय स्तर पर आम है। कई स्वास्थ्य-तकनीक कंपनियां दोनों रखती हैं।

क्या मुझे फ्रांसीसी क्लीनिकों की सेवा के लिए HDS की आवश्यकता है?

यदि आप फ्रांसीसी देखभाल प्रदाताओं के लिए स्वास्थ्य डेटा की मेजबानी करते हैं, तो हाँ: HDS प्रमाणन फ्रांसीसी सार्वजनिक स्वास्थ्य संहिता के तहत एक कानूनी आवश्यकता है, और अधिकांश फ्रांसीसी ग्राहक इसके बिना हस्ताक्षर नहीं करेंगे। यह 27001 पर निर्मित होता है, इसलिए वहां से शुरू करें।

ISO 27001 में कितना समय लगता है?

एक समर्पित टीम के साथ एक केंद्रित दायरे के लिए, प्रमाणपत्र तक पहुंचने में छह से बारह महीने लगते हैं, जिसमें अधिकांश समय नियंत्रणों को वास्तविक बनाने और साक्ष्य एकत्र करने में व्यतीत होता है। ऑडिट स्वयं कुछ दिनों का होता है।

Anpheros Platform

सैंडबॉक्स में मुफ़्त आज़माएँ

5 मिनट में आपकी पहली FHIR कॉल. एक HL7 FHIR R4 API जिसमें मरीज़ की सहमति शामिल है: सैंडबॉक्स में आज़माएं, फिर अपना ऐप या क्लिनिक सिस्टम कनेक्ट करें।

मुफ़्त सैंडबॉक्स बनाएँडेवलपर गाइड पढ़ें →

मुफ़्त · 30 सिंथेटिक मरीज़ · कोई कार्ड नहीं

द्वारा लिखित

Anpheros टीम

Anpheros एक मेडिकल रिकॉर्ड बनाता है जिसे मरीज़ नियंत्रित कर सकता है और किसी भी क्लिनिक के साथ साझा कर सकता है, यह EU में स्थित HL7 FHIR R4 प्लेटफ़ॉर्म पर आधारित है। ये गाइड आपको अपने स्वास्थ्य को समझने और व्यवस्थित करने में मदद करते हैं; ये आपके डॉक्टर का विकल्प नहीं हैं।

Anpheros के बारे में →