Rövid válasz: Az ISO/IEC 27001 egy információbiztonsági irányítási rendszert (ISMS) ír elő: hogyan azonosítja a szervezet az információval kapcsolatos kockázatait, hogyan választja ki a kontrollokat, hogyan működteti azokat és hogyan fejleszti tovább őket, egy auditor pedig tanúsítja az eredményt. Kiegészítő szabványa, az ISO/IEC 27002 magukat a kontrollokat írja le. Az ISO 27799 (egészségügyi informatika: információbiztonsági irányítás az egészségügyben az ISO/IEC 27002 felhasználásával) ezeket a kontrollokat veszi át, és elmagyarázza, hogyan kell alkalmazni őket a személyes egészségügyi információkra: minimális követelmények, egészségügyi specifikus kockázatok és olyan kontrollok, amelyeket egy kórháznak vagy egészségügyi szoftver szállítónak kötelezőnek kell tekintenie a választhatókkal szemben. Ön a 27001-es szabványra tanúsíttat; a 27799-est használja annak eldöntésére, hogy a tanúsítványnak mit kell lefednie, ha az adatok egészségügyi adatok. A kórházak és a nemzeti programok egyre gyakrabban kérik a tanúsítványt, valamint a bizonyítékot arra, hogy az egészségügyi specifikumokat figyelembe vették, vagy egy olyan nemzeti rendszert, amely ezeket beépíti.
ISO/IEC 27001:2022 egy bekezdésben
Az ISO/IEC 27001:2022 egy tanúsítható nemzetközi szabvány az információbiztonsági irányítási rendszerekre. A 4-10. pontok követelményeket fogalmaznak meg a kontextusra, vezetésre, kockázatalapú tervezésre, támogatásra, működésre, teljesítményértékelésre és fejlesztésre vonatkozóan; az A. melléklet 93 ellenőrzést sorol fel négy témakörben, amelyeket az Alkalmazhatósági Nyilatkozatban választanak ki és indokolnak meg. A tanúsítás két szakaszból álló auditot, éves felügyeletet és háromévenkénti újra tanúsítást foglal magában.
A szabvány tíz fejezetből áll; a 4-től 10-ig terjedő fejezetek tartalmazzák a követelményeket: kontextus és hatókör, vezetés, tervezés (kockázatértékelés és -kezelés, célkitűzések), támogatás (erőforrások, kompetencia, dokumentáció), működés, teljesítményértékelés (monitorozás, belső audit, vezetői átvizsgálás) és fejlesztés. Az A. melléklet 93 kontrollt sorol fel négy témakörben (szervezeti, emberi, fizikai, technológiai), amelyeket 2022-ben átszerveztek a 2013-as kiadás 114 kontrolljához képest, újakkal a fenyegetésintelligencia, a felhőszolgáltatások, az üzletmenet-folytonosság ICT-készültsége, az adatmaszkolás, az adatvesztés megelőzése, a monitorozás, a webes szűrés és a biztonságos kódolás terén. Nem kell minden kontrollt implementálnia; a hatályossági nyilatkozatban indokolnia kell, hogy melyeket alkalmazza, és miért nem relevánsak a többi. A tanúsítás egy 1. és 2. fázisú auditból, majd éves felügyeletből és háromévenkénti újra tanúsításból áll.
Mit ad hozzá az ISO 27799
Az ISO 27799 egészségügyi specifikus útmutatást ad az ISO/IEC 27002 ellenőrzéseihez: a személyes egészségügyi információk esetében több ellenőrzést kötelezővé tesz, beleértve az egyedi felhasználói azonosítást, a szerep- és gondozási kapcsolaton alapuló hozzáférés-szabályozást, az egészségügyi nyilvántartások minden hozzáférésének auditnaplózását, a mobil eszközökön és átvitel közbeni titkosítást, a biztonságos megsemmisítést, az incidenskezelést és az üzletmenet-folytonosságot, valamint leírja az egészségügyi szervezeteket érintő specifikus fenyegetéseket.
A 27799 (jelenlegi kiadás 2016) végigmegy a 27002 kontrolljain, és mindegyikhez megállapítja, mit kell tenniük az egészségügyi szervezeteknek. Több "fontolóra kell venni" státuszból "kell" státuszba emel: egy dokumentált információbiztonsági politika, amely specifikus az egészségügyi információkra; egyedi felhasználói azonosítás (nincsenek megosztott fiókok a klinikai rendszerekben); hozzáférés-szabályozás szerepkör és gondozási kapcsolat alapján; minden személyes egészségügyi információhoz való hozzáférés auditnaplója, megőrizve és felülvizsgálható; egészségügyi információk titkosítása mobil eszközökön és átvitel közben; biztonságos megsemmisítés; incidenskezelés, amely magában foglalja az adatvédelmi megsértéseket; és üzletmenet-folytonosság, mert egy elérhetetlen nyilvántartás károsíthatja a beteget. Magyarázza az egészségügyi specifikus fenyegetéseket is: belső böngészés ismert személyek nyilvántartásaiban, téves archiválás betegek között, a kutatási kivonatok gyenge pontja, és a hosszú megőrzési időszakok, amelyek miatt a régi adatok ki vannak téve.
A kettő együtt, és a szomszédok
Az ISO/IEC 27001 és az ISO 27799 együtt működik: a 27001 a tanúsítható irányítási rendszer, a 27799 pedig az egészségügyi ágazati útmutató arról, hogy mely ellenőrzéseket kell beépíteni. A szomszédos szabványok és rendszerek fedezik az igényeket: ISO 27701 az adatvédelemhez, ISO 27017 és 27018 a felhőhöz, SOC 2 és HITRUST az amerikai ügyfeleknek, HDS (Franciaország), C5 (Németország), NHS DSPT (Anglia) és ENS (Spanyolország) nemzeti beszerzésekhez.
| Szabvány vagy rendszer | Típus | Mire használja |
|---|---|---|
| ISO/IEC 27001:2022 | Tanúsítható ISMS követelmények | A tanúsítvány, amit a kórházak és a pályázatok kérnek |
| ISO/IEC 27002:2022 | Kontroll útmutató | Az A. melléklet kontrolljainak implementálása |
| ISO 27799:2016 | Egészségügyi ágazati útmutató | Egészségügyi adatokra vonatkozó kontrollok hatókörének meghatározása és indoklása; bizonyíték a kellő gondosság során |
| ISO/IEC 27701:2019 | Adatvédelmi kiterjesztés a 27001/27002-re | GDPR-kompatibilis adatvédelmi irányítás bemutatása adatkezelőként és adatfeldolgozóként |
| ISO/IEC 27017 és 27018 | Felhőbiztonsági és felhőadatvédelmi útmutató | Felhőszolgáltatók és SaaS-ok személyes adatok kezelése |
| SOC 2 (AICPA) | Amerikai tanúsítási jelentés (I. vagy II. típus) a bizalmi kritériumokról | Amerikai ügyfelek és befektetők; nem tanúsítvány |
| HITRUST CSF | Amerikai egészségügyi keretrendszer és tanúsítás | Amerikai egészségügyi rendszerek és fizetők, amelyek ezt igénylik |
| HDS (Franciaország) | Kötelező tanúsítás egészségügyi adatok franciaországi tárhelyezéséhez | Bármely francia egészségügyi adatok tárhelyező szolgáltatója; a 27001-re épül |
| C5 (Németország) | BSI felhőtanúsítás | Német közigazgatási és kórházi beszerzések |
| NHS DSPT (Anglia) | Éves önértékelési eszköztár | Bármely NHS-szállító |
| ENS (Spanyolország) | Nemzeti biztonsági keretrendszer | Spanyol közigazgatási rendszerek |
| IEC 81001-5-1 | Egészségügyi szoftverek biztonságos termékéletciklusa | Orvostechnikai eszköz szoftverek kiberbiztonsága, az IEC 62304 mellett |
Ezek többsége erősen átfedésben van a 27001 kontrollkészletével; a szervezetek egyszer térképeznek és újra felhasználják a bizonyítékokat. Számos nemzeti rendszer (HDS, C5, ENS) a 27001-re épül, és ágazati vagy országos követelményeket ad hozzá, ezért a 27001 az ésszerű első tanúsítvány egy egészségügyi technológiai cég számára, amely Európában értékesít.
Mit tanúsíttassunk, és mikor
Egy Európában értékesítő egészségügyi technológiai cég esetében a szokásos sorrend az ISO/IEC 27001 tanúsítása, amelyet a platformra és az azt működtető csapatokra terjesztenek ki, miután implementálták az ISO 27799 egészségügyi ellenőrzéseit (rekordenkénti hozzáférési naplók, kapcsolatalapú hozzáférés, titkosítás, nincs megosztott fiók, tesztelt visszaállítások), majd hozzáadják az ISO 27701, HDS, C5 vagy SOC 2 tanúsítást, amikor egy piac megköveteli azokat.
- Hatókört szűken és becsületesen: a platformot és az azt működtető csapatokat, nem a teljes cég laptopjait, hacsak nem érintik az adatokat. A kórházak elolvassák a hatókör nyilatkozatát.
- Az egészségügyi specifikumokat már a tanúsítás előtt végezze el: hozzáférési naplók betegrekordonként, szerepkör- és kapcsolat alapú hozzáférés, titkosítás mindenhol, nincs megosztott fiók, tesztelt visszaállítások. Egy kórház biztonsági kérdőíve ezeket kéri; a 27799 a lista.
- Először a 27001-et tanúsíttassa, adja hozzá a 27701-et, ha adatkezelőként és adatfeldolgozóként dolgozik sok ügyfél számára, adja hozzá a HDS-t vagy a C5-öt, amikor egy piac igényli, a SOC 2-t, amikor amerikai ügyfelek.
- Tartsa láthatóan a GDPR kapcsolatot: a 32. cikk a kockázatnak megfelelő biztonságot kéri, és a 27799-en alapuló hatókörrel rendelkező 27001 tanúsítvány a legelismertebb módja ennek bemutatásának. A DPIA intézkedések szakasza és az ISMS kockázatkezelési terve ugyanaz a lista legyen. Lásd: DPIA egy egészségügyi alkalmazáshoz.
- A NIS2 (a hatálya alá tartozó szervezetekre) és a javasolt HIPAA Biztonsági Szabályzat frissítése mind a 27001 A. mellékletéhez hasonlóan hangzik, kötelező többtényezős hitelesítéssel és incidensjelentéssel; egy ISMS mindháromra válaszol. Lásd: NIS2 kórházaknak és szállítóknak.
Az Anpherosnál
Az Anpheros az ISO 27001 szerkezetét követve futtatja biztonsági programját a 27799 által kötelezőnek tekintett egészségügyi kontrollokkal: rekordonkénti hozzáférési naplók, amelyeket az illető elolvashat, hozzáférés a beleegyezés és az idő alapján szűkítve, titkosítás tároláskor és átvitelkor, EU-s tárhely, nincs megosztott fiók, tesztelt biztonsági mentések, és egy incidensfolyamat a GDPR 72 órás határidejével. A fejlesztői webhely dokumentálja a platform biztonságát, a audit pedig a 2026. októberi biztonsági felülvizsgálatban található.
Ez az oldal a termék- és mérnöki csapatok számára szóló szabályozást magyarázza el. Nem jogi tanács; a Források alatt linkelt szövegek az irányadóak, és az Ön adatvédelmi tisztviselője, értesített szerve vagy tanácsadója dönt az Ön esetében. Utolsó felülvizsgálat: 2026. október.
Kapcsolódó oldalak
- NIS2 kórházaknak és egészségügyi technológiai szállítóknak
- DPIA egy egészségügyi alkalmazáshoz
- HIPAA vs GDPR
- Ki nézte meg az orvosi nyilvántartásomat?
- Egészségügyi adatszabályozási térkép
- Platform biztonság (fejlesztői webhely)
Források
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Egészségügyi informatika: információbiztonsági irányítás az egészségügyben az ISO/IEC 27002 felhasználásával
- ISO/IEC 27701:2019
- ANS (Franciaország): HDS tanúsítás
- BSI (Németország): C5 kritériumkatalógus
- NHS Anglia: Adatbiztonsági és Védelmi Eszköztár
Gyakori kérdések
Tanúsíttathatok az ISO 27799 alapján?
Nem. A 27799 útmutató; a tanúsító testületek az ISO/IEC 27001-et tanúsítják. A 27001 hatókörét és hatályossági nyilatkozatát hivatkozhatja a 27799-re, így a tanúsítvány bizonyíthatóan lefedi az egészségügyi specifikus kontrollokat.
A SOC 2 egyenértékű az ISO 27001-gyel?
Átfedésben vannak, de eltérő jellegűek: a SOC 2 egy auditori jelentés a bizalmi kritériumoknak megfelelő kontrollokról egy adott időszakban, gyakori az USA-ban; a 27001 egy tanúsított irányítási rendszer, gyakori Európában és nemzetközileg. Sok egészségügyi technológiai cég rendelkezik mindkettővel.
Szükségem van HDS-re a francia klinikák kiszolgálásához?
Ha egészségügyi adatokat tárol francia egészségügyi szolgáltatók számára, igen: a HDS tanúsítás jogi követelmény a francia közegészségügyi törvény alapján, és a legtöbb francia ügyfél nem ír alá nélküle. A 27001-re épül, tehát ott kezdje.
Mennyi ideig tart az ISO 27001?
Egy fókuszált hatókörrel és egy elkötelezett csapattal hat-tizenkét hónap az elejétől a tanúsítványig, ennek nagy része a kontrollok valósággá tételével és a bizonyítékok gyűjtésével telik. Az audit maga néhány nap.
Próbálja ki ingyen a sandboxban
Az első FHIR-hívás 5 perc alatt. Egy HL7 FHIR R4 API, amely tartalmazza a beteg beleegyezését: próbáld ki a sandboxban, majd csatlakoztasd saját alkalmazásodat vagy klinikai rendszeredet.
Ingyenes · 30 szintetikus beteg · kártya nélkül
Az Anpheros egy olyan egészségügyi nyilvántartást épít, amelyet a beteg irányít, és megoszthat bármelyik klinikával, egy EU-ban működő HL7 FHIR R4 platformon. Ezek az útmutatók segítenek megérteni és rendszerezni az egészségügyi adataidat; nem helyettesítik az orvosodat.
Tudj meg többet az Anpherosról →