Krótka odpowiedź: ISO/IEC 27001 określa system zarządzania bezpieczeństwem informacji (SZBI): w jaki sposób organizacja identyfikuje swoje ryzyka związane z informacjami, wybiera środki zaradcze, wdraża je i doskonali, a audytor certyfikuje wynik. Towarzysząca mu norma ISO/IEC 27002 opisuje same środki zaradcze. ISO 27799 (informatyka medyczna: zarządzanie bezpieczeństwem informacji w ochronie zdrowia z wykorzystaniem ISO/IEC 27002) przejmuje te środki zaradcze i określa, jak je zastosować do osobistych danych zdrowotnych: minimalne wymagania, ryzyka specyficzne dla ochrony zdrowia oraz środki zaradcze, które szpital lub dostawca oprogramowania medycznego powinien traktować jako obowiązkowe, a nie opcjonalne. Certyfikujesz się zgodnie z 27001; korzystasz z 27799, aby zdecydować, co musi obejmować certyfikat, gdy dane są danymi zdrowotnymi. Szpitale i programy krajowe coraz częściej proszą o certyfikat plus dowód uwzględnienia specyfiki ochrony zdrowia lub o krajowy program, który je uwzględnia.
ISO/IEC 27001:2022 w jednym akapicie
ISO/IEC 27001:2022 to międzynarodowy standard, który można certyfikować, dotyczący systemu zarządzania bezpieczeństwem informacji. Klauzule od 4 do 10 określają wymagania dotyczące kontekstu, przywództwa, planowania opartego na ryzyku, wsparcia, działania, oceny wydajności i doskonalenia; Załącznik A zawiera 93 środki kontroli w czterech obszarach tematycznych, wybranych i uzasadnionych w Oświadczeniu o stosowaniu. Certyfikacja obejmuje audyt dwuetapowy, coroczny nadzór i recertyfikację co trzy lata.
Norma składa się z dziesięciu klauzul; klauzule od 4 do 10 to wymagania: kontekst i zakres, przywództwo, planowanie (ocena i postępowanie z ryzykiem, cele), wsparcie (zasoby, kompetencje, dokumentacja), eksploatacja, ocena skuteczności (monitorowanie, audyt wewnętrzny, przegląd zarządzania) i doskonalenie. Załącznik A zawiera listę 93 środków zaradczych w czterech tematach (organizacyjne, dotyczące osób, fizyczne, technologiczne), przeorganizowanych w 2022 roku z 114 środków z edycji 2013, z nowymi dotyczącymi analizy zagrożeń, usług chmurowych, gotowości ICT do ciągłości działania, maskowania danych, zapobiegania wyciekom danych, monitorowania, filtrowania sieci i bezpiecznego kodowania. Nie musisz wdrażać każdego środka zaradczego; musisz uzasadnić w Oświadczeniu o zastosowaniu, które z nich stosujesz i dlaczego pozostałe nie są istotne. Certyfikacja to audyt etapowy 1 i 2, a następnie coroczne nadzory i rekertyfikacja co trzy lata.
Co dodaje ISO 27799
ISO 27799 dodaje wytyczne specyficzne dla ochrony zdrowia do środków kontroli z ISO/IEC 27002: dla osobistych informacji zdrowotnych kilka środków kontroli staje się obowiązkowych, w tym unikalna identyfikacja użytkownika, kontrola dostępu oparta na rolach i relacjach opiekuńczych, rejestrowanie wszystkich dostępów do dokumentacji medycznej, szyfrowanie na urządzeniach mobilnych i podczas przesyłania, bezpieczne usuwanie, zarządzanie incydentami i ciągłość działania, a także opisuje zagrożenia specyficzne dla organizacji opieki zdrowotnej.
27799 (obecna edycja 2016) omawia środki zaradcze z 27002 i dla każdego z nich określa, co powinny robić organizacje ochrony zdrowia. Podnosi kilka z kategorii "należy rozważyć" do "należy": udokumentowaną politykę bezpieczeństwa informacji specyficzną dla danych zdrowotnych; unikalną identyfikację użytkownika (brak wspólnych kont w systemach klinicznych); kontrolę dostępu opartą na roli i relacji opieki; rejestrowanie w dzienniku audytu każdego dostępu do osobistych danych zdrowotnych, przechowywane i możliwe do przeglądu; szyfrowanie danych zdrowotnych na urządzeniach mobilnych i w tranzycie; bezpieczne usuwanie; zarządzanie incydentami obejmujące naruszenia prywatności; oraz ciągłość działania, ponieważ niedostępny zapis może zaszkodzić pacjentowi. Wyjaśnia również zagrożenia specyficzne dla ochrony zdrowia: wewnętrzne przeglądanie zapisów znanych osób, błędne przypisywanie między pacjentami, słaby punkt wyciągów badawczych oraz długie okresy przechowywania, które utrzymują stare dane w stanie narażenia.
Dwa razem i sąsiedzi
ISO/IEC 27001 i ISO 27799 działają razem: 27001 to certyfikowalny system zarządzania, a 27799 to wytyczne dla sektora ochrony zdrowia dotyczące tego, które środki kontroli należy uwzględnić. Sąsiednie standardy i schematy obejmują inne potrzeby: ISO 27701 dla prywatności, ISO 27017 i 27018 dla chmury, SOC 2 i HITRUST dla klientów z USA, HDS (Francja), C5 (Niemcy), NHS DSPT (Anglia) i ENS (Hiszpania) dla zamówień publicznych.
| Norma lub program | Typ | Użyj do |
|---|---|---|
| ISO/IEC 27001:2022 | Wymagania dotyczące certyfikowalnego SZBI | Certyfikat, o który proszą szpitale i przetargi |
| ISO/IEC 27002:2022 | Wytyczne dotyczące środków zaradczych | Wdrażanie środków zaradczych z Załącznika A |
| ISO 27799:2016 | Wytyczne dla sektora ochrony zdrowia | Określanie zakresu i uzasadnianie środków zaradczych dla danych zdrowotnych; dowód w należytej staranności |
| ISO/IEC 27701:2019 | Rozszerzenie prywatności do 27001/27002 | Pokazywanie zarządzania prywatnością zgodnego z RODO jako administrator i procesor |
| ISO/IEC 27017 i 27018 | Wytyczne dotyczące bezpieczeństwa chmury i prywatności w chmurze | Dostawcy chmury i SaaS przetwarzający dane osobowe |
| SOC 2 (AICPA) | Raport z atestacji w USA (Typ I lub II) dotyczący kryteriów zaufania | Klienci i inwestorzy z USA; nie jest to certyfikat |
| HITRUST CSF | Amerykański framework i certyfikacja ochrony zdrowia | Systemy ochrony zdrowia i płatnicy w USA, którzy tego wymagają |
| HDS (Francja) | Obowiązkowa certyfikacja do hostowania danych zdrowotnych we Francji | Każdy dostawca hostujący francuskie dane zdrowotne; zbudowany na 27001 |
| C5 (Niemcy) | Atestacja chmury BSI | Niemiecki sektor publiczny i zamówienia szpitalne |
| NHS DSPT (Anglia) | Roczny zestaw narzędzi do samooceny | Każdy dostawca dla NHS |
| ENS (Hiszpania) | Krajowy framework bezpieczeństwa | Systemy hiszpańskiego sektora publicznego |
| IEC 81001-5-1 | Bezpieczny cykl życia produktu dla oprogramowania medycznego | Cyberbezpieczeństwo oprogramowania wyrobów medycznych, wraz z IEC 62304 |
Większość z nich w dużej mierze pokrywa się z zestawem środków zaradczych z 27001; organizacje mapują raz i ponownie wykorzystują dowody. Kilka programów krajowych (HDS, C5, ENS) jest zbudowanych na 27001 i dodaje wymagania sektorowe lub krajowe, dlatego 27001 jest rozsądnym pierwszym certyfikatem dla firmy z branży health-tech sprzedającej w Europie.
Co certyfikować i kiedy
Dla firmy z branży health-tech sprzedającej w Europie, zwykła kolejność to najpierw certyfikacja ISO/IEC 27001, obejmująca platformę i zespoły, które nią zarządzają, po wdrożeniu kontroli zdrowotnych z ISO 27799 (logi dostępu do poszczególnych rekordów, dostęp oparty na relacjach, szyfrowanie, brak wspólnych kont, przetestowane przywracanie danych), a następnie dodanie ISO 27701, HDS, C5 lub SOC 2, gdy rynek ich wymaga.
- Zakres wąski i uczciwy: platforma i zespoły, które nią zarządzają, a nie laptopy całej firmy, chyba że mają dostęp do danych. Szpitale czytają oświadczenie o zakresie.
- Zajmij się specyfiką ochrony zdrowia jeszcze przed certyfikacją: logi dostępu do każdego rekordu pacjenta, dostęp oparty na roli i relacji, szyfrowanie wszędzie, brak wspólnych kont, przetestowane przywracanie danych. Kwestionariusz bezpieczeństwa szpitala zawiera pytania o te rzeczy; 27799 jest listą kontrolną.
- Najpierw certyfikuj 27001, dodaj 27701, jeśli przetwarzasz jako administrator i procesor dla wielu klientów, dodaj HDS lub C5, gdy rynek tego wymaga, SOC 2, gdy tego wymagają klienci z USA.
- Utrzymuj widoczny związek z RODO: Artykuł 32 wymaga bezpieczeństwa odpowiedniego do ryzyka, a certyfikat 27001 z zakresem zgodnym z 27799 jest najbardziej rozpoznawalnym sposobem jego wykazania. Sekcja środków w DPIA i plan postępowania z ryzykiem SZBI powinny być tą samą listą. Zobacz DPIA dla aplikacji zdrowotnej.
- NIS2 (dla podmiotów objętych zakresem) i proponowana aktualizacja HIPAA Security Rule brzmią jak Załącznik A do 27001 z obowiązkowym uwierzytelnianiem wieloskładnikowym i raportowaniem incydentów; jeden SZBI odpowiada wszystkim trzem. Zobacz NIS2 dla szpitali i dostawców.
W Anpheros
Anpheros prowadzi swój program bezpieczeństwa zgodnie ze strukturą ISO 27001 z obowiązkowymi środkami zaradczymi dla ochrony zdrowia, o których mowa w 27799: logi dostępu do każdego rekordu, które osoba może odczytać, dostęp ograniczony zgodą i czasem, szyfrowanie w spoczynku i w tranzycie, hosting w UE, brak wspólnych kont, przetestowane kopie zapasowe i proces incydentowy z 72-godzinnym terminem RODO. Strona dla deweloperów dokumentuje bezpieczeństwo platformy, a audyt można znaleźć w przeglądzie bezpieczeństwa z października 2026 r..
Ta strona wyjaśnia przepisy dla zespołów produktowych i inżynieryjnych. Nie stanowi porady prawnej; teksty podane w Źródłach są autorytetem, a Twój inspektor ochrony danych, jednostka notyfikowana lub doradca decyduje w Twojej sprawie. Ostatnia weryfikacja: październik 2026.
Powiązane strony
- NIS2 dla szpitali i dostawców technologii medycznych
- DPIA dla aplikacji zdrowotnej
- HIPAA vs RODO
- Kto przeglądał mój rekord medyczny?
- Mapa regulacji danych zdrowotnych
- Bezpieczeństwo platformy (strona dla deweloperów)
Źródła
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Informatyka medyczna: zarządzanie bezpieczeństwem informacji w ochronie zdrowia z wykorzystaniem ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Francja): certyfikacja HDS
- BSI (Niemcy): katalog kryteriów C5
- NHS England: Data Security and Protection Toolkit
Najczęstsze pytania
Czy mogę uzyskać certyfikat ISO 27799?
Nie. 27799 to wytyczne; jednostki certyfikujące certyfikują ISO/IEC 27001. Możesz mieć zakres 27001 i Oświadczenie o zastosowaniu odwołujące się do 27799, aby certyfikat w sposób udokumentowany obejmował specyficzne dla ochrony zdrowia środki zaradcze.
Czy SOC 2 jest równoważny z ISO 27001?
Pokrywają się, ale różnią się rodzajem: SOC 2 to raport audytora dotyczący środków zaradczych w danym okresie w odniesieniu do kryteriów zaufania, powszechny w USA; 27001 to certyfikowany system zarządzania, powszechny w Europie i na świecie. Wiele firm z branży health-tech posiada oba.
Czy potrzebuję HDS, aby obsługiwać francuskie kliniki?
Jeśli hostujesz dane zdrowotne dla francuskich świadczeniodawców, tak: certyfikacja HDS jest wymogiem prawnym zgodnie z francuskim kodeksem zdrowia publicznego, a większość francuskich klientów nie podpisze umowy bez niej. Jest ona zbudowana na 27001, więc zacznij od niej.
Ile czasu zajmuje uzyskanie ISO 27001?
Dla skoncentrowanego zakresu z zaangażowanym zespołem, od sześciu do dwunastu miesięcy od rozpoczęcia do uzyskania certyfikatu, większość tego czasu poświęca się na wdrożenie środków zaradczych i gromadzenie dowodów. Sam audyt trwa kilka dni.
Wypróbuj za darmo w sandboksie
Pierwsze wywołanie FHIR w 5 minut. API HL7 FHIR R4 z wbudowaną zgodą pacjenta: wypróbuj w piaskownicy, a następnie połącz własną aplikację lub system kliniczny.
Za darmo · 30 syntetycznych pacjentów · bez karty
Anpheros tworzy dokumentację medyczną, nad którą pacjent ma kontrolę i którą może udostępniać dowolnej klinice, na platformie HL7 FHIR R4, z siedzibą w UE. Te przewodniki pomogą Ci zrozumieć i uporządkować informacje o Twoim zdrowiu; nie zastępują one wizyty u lekarza.
O Anpheros →