Краткий ответ: ISO/IEC 27001 определяет систему менеджмента информационной безопасности (СМИБ): как организация выявляет свои информационные риски, выбирает средства контроля, внедряет их и совершенствует, с последующей сертификацией результата аудитором. Сопутствующий стандарт ISO/IEC 27002 описывает сами средства контроля. ISO 27799 (медицинская информатика: менеджмент информационной безопасности в здравоохранении с использованием ISO/IEC 27002) берет эти средства контроля и объясняет, как применять их к персональной медицинской информации: минимальные требования, риски, специфичные для здравоохранения, и средства контроля, которые больница или поставщик медицинского программного обеспечения должны рассматривать как обязательные, а не как опциональные. Вы сертифицируетесь по стандарту 27001; вы используете 27799, чтобы определить, что должен охватывать сертификат, когда данные являются медицинскими. Больницы и национальные программы все чаще запрашивают сертификат плюс доказательства того, что были учтены особенности здравоохранения, или национальную схему, которая их интегрирует.
ISO/IEC 27001:2022 в одном абзаце
ISO/IEC 27001:2022 — это международный стандарт, который можно сертифицировать для системы управления информационной безопасностью. Разделы с 4 по 10 устанавливают требования к контексту, руководству, планированию на основе рисков, поддержке, эксплуатации, оценке результативности и улучшению; Приложение А содержит перечень из 93 мер контроля в четырех темах, выбранных и обоснованных в Заявлении о применимости. Сертификация включает двухэтапный аудит, ежегодный надзор и ресертификацию каждые три года.
Стандарт состоит из десяти разделов; разделы с 4 по 10 содержат требования: контекст и область применения, лидерство, планирование (оценка и обработка рисков, цели), поддержка (ресурсы, компетентность, документация), операционная деятельность, оценка результативности (мониторинг, внутренний аудит, обзор управления) и улучшение. Приложение А содержит перечень из 93 средств контроля, сгруппированных в четыре темы (организационные, кадровые, физические, технологические), пересмотренный в 2022 году по сравнению со 114 средствами контроля в издании 2013 года, с новыми разделами по анализу угроз, облачным сервисам, готовности ИКТ к обеспечению непрерывности бизнеса, маскированию данных, предотвращению утечек данных, мониторингу, веб-фильтрации и безопасному кодированию. Вам не обязательно внедрять каждое средство контроля; вы должны обосновать в Заявлении о применимости, какие из них вы применяете и почему остальные не имеют отношения. Сертификация включает аудит этапа 1 и этапа 2, затем ежегодный надзор и ресертификацию каждые три года.
Что добавляет ISO 27799
ISO 27799 добавляет руководство для сферы здравоохранения к мерам контроля ISO/IEC 27002: для персональной медицинской информации несколько мер контроля становятся обязательными, включая уникальную идентификацию пользователя, контроль доступа на основе ролей и отношений по уходу, аудит каждого доступа к медицинским записям, шифрование на мобильных устройствах и при передаче данных, безопасное удаление, управление инцидентами и обеспечение непрерывности бизнеса, а также описывает угрозы, специфичные для медицинских организаций.
Стандарт 27799 (текущее издание 2016 года) рассматривает средства контроля из 27002 и для каждого указывает, что должны делать организации здравоохранения. Он повышает статус нескольких пунктов с "следует рассмотреть" до "должен": наличие документированной политики информационной безопасности, специфичной для медицинской информации; уникальная идентификация пользователей (отсутствие общих учетных записей в клинических системах); контроль доступа на основе роли и отношений по уходу; аудиторское протоколирование каждого доступа к персональной медицинской информации, с сохранением и возможностью проверки; шифрование медицинской информации на мобильных устройствах и при передаче; безопасное уничтожение; управление инцидентами, включая нарушения конфиденциальности; и обеспечение непрерывности бизнеса, поскольку недоступная запись может нанести вред пациенту. Он также объясняет специфические для здравоохранения угрозы: внутренний доступ к записям известных лиц, ошибочное внесение данных между пациентами, уязвимость исследовательских выписок и длительные сроки хранения, которые оставляют старые данные под угрозой.
Оба стандарта вместе и их соседи
ISO/IEC 27001 и ISO 27799 работают вместе: 27001 — это сертифицируемая система управления, а 27799 — руководство для сектора здравоохранения по выбору мер контроля для включения. Соседние стандарты и схемы охватывают потребности: ISO 27701 для конфиденциальности, ISO 27017 и 27018 для облачных технологий, SOC 2 и HITRUST для клиентов из США, HDS (Франция), C5 (Германия), NHS DSPT (Англия) и ENS (Испания) для национальных закупок.
| Стандарт или схема | Тип | Используйте для |
|---|---|---|
| ISO/IEC 27001:2022 | Требования к сертифицируемой СМИБ | Сертификат, который запрашивают больницы и тендеры |
| ISO/IEC 27002:2022 | Руководство по средствам контроля | Внедрение средств контроля из Приложения А |
| ISO 27799:2016 | Руководство для сектора здравоохранения | Определение области применения и обоснование средств контроля для медицинских данных; доказательства при должной осмотрительности |
| ISO/IEC 27701:2019 | Расширение конфиденциальности для 27001/27002 | Демонстрация управления конфиденциальностью в соответствии с GDPR в качестве контролера и обработчика |
| ISO/IEC 27017 и 27018 | Руководство по безопасности облачных вычислений и конфиденциальности в облаке | Облачные провайдеры и SaaS, обрабатывающие персональные данные |
| SOC 2 (AICPA) | Отчет о проверке в США (Тип I или II) по критериям доверия | Клиенты и инвесторы из США; не сертификат |
| HITRUST CSF | Американская система и сертификация в области здравоохранения | Системы здравоохранения и плательщики из США, которые ее требуют |
| HDS (Франция) | Обязательная сертификация для хостинга медицинских данных во Франции | Любой провайдер, хостящий французские медицинские данные; основан на 27001 |
| C5 (Германия) | Аттестация облачных сервисов BSI | Государственный сектор Германии и закупки больниц |
| NHS DSPT (Англия) | Ежегодный инструментарий самооценки | Любой поставщик услуг NHS |
| ENS (Испания) | Национальная система безопасности | Системы государственного сектора Испании |
| IEC 81001-5-1 | Безопасный жизненный цикл продукта для медицинского программного обеспечения | Кибербезопасность программного обеспечения медицинских изделий, наряду с IEC 62304 |
Большинство из этих стандартов сильно пересекаются с набором средств контроля 27001; организации проводят сопоставление один раз и повторно используют доказательства. Несколько национальных схем (HDS, C5, ENS) основаны на 27001 и добавляют отраслевые или страновые требования, поэтому 27001 является разумным первым сертификатом для компании, занимающейся медицинскими технологиями и продающей продукцию в Европе.
Что сертифицировать и когда
Для компании, занимающейся медицинскими технологиями и продающей продукцию в Европе, обычный порядок действий — сначала сертифицировать ISO/IEC 27001, охватывая платформу и команды, которые ею управляют, после внедрения мер контроля для здравоохранения из ISO 27799 (журналы доступа по каждой записи, контроль доступа на основе отношений, шифрование, отсутствие общих учетных записей, протестированные восстановления), а затем добавить ISO 27701, HDS, C5 или SOC 2, когда рынок потребует их.
- Определяйте область применения узко и честно: платформа и команды, которые ею управляют, а не ноутбуки всей компании, если они не касаются данных. Больницы читают заявление об области применения.
- Выполняйте специфические для здравоохранения требования еще до сертификации: журналы доступа по каждой записи пациента, доступ на основе роли и отношений, шифрование везде, отсутствие общих учетных записей, протестированные восстановления. Анкета безопасности больницы запрашивает эти сведения; 27799 — это контрольный список.
- Сначала сертифицируйте 27001, затем добавьте 27701, если вы обрабатываете данные как контролер и обработчик для многих клиентов, добавьте HDS или C5, когда рынок этого требует, SOC 2 — когда этого требуют клиенты из США.
- Сохраняйте связь с GDPR видимой: Статья 32 требует обеспечения безопасности, соответствующей риску, а сертификат 27001 с областью применения, основанной на 27799, является наиболее признанным способом ее демонстрации. Раздел мер в DPIA и план обработки рисков СМИБ должны быть одним и тем же списком. См. DPIA для медицинского приложения.
- NIS2 (для организаций, подпадающих под действие) и предлагаемое обновление HIPAA Security Rule читаются как Приложение А к 27001 с обязательной многофакторной аутентификацией и отчетностью об инцидентах; одна СМИБ отвечает всем трем требованиям. См. NIS2 для больниц и поставщиков.
В Anpheros
Anpheros управляет своей программой безопасности в соответствии со структурой ISO 27001 с учетом обязательных для здравоохранения средств контроля, рассматриваемых в 27799: журналы доступа по каждой записи, которые может прочитать пользователь, доступ, ограниченный согласием и временем, шифрование при хранении и передаче, хостинг в ЕС, отсутствие общих учетных записей, протестированные резервные копии и процесс управления инцидентами с 72-часовым сроком для GDPR. На сайте для разработчиков документирована безопасность платформы, а результаты аудита можно найти в обзоре безопасности за октябрь 2026 года.
Эта страница объясняет нормативные требования для команд по продуктам и инжинирингу. Это не юридическая консультация; тексты, на которые ссылаются в разделе "Источники", являются авторитетными, и ваш специалист по защите данных, уведомленный орган или юрисконсульт принимают решения по вашему случаю. Последний пересмотр: октябрь 2026 г.
Связанные страницы
- NIS2 для больниц и поставщиков медицинских технологий
- DPIA для медицинского приложения
- HIPAA против GDPR
- Кто просматривал мою медицинскую карту?
- Карта регулирования медицинских данных
- Безопасность платформы (сайт для разработчиков)
Источники
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Медицинская информатика: менеджмент информационной безопасности в здравоохранении с использованием ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Франция): Сертификация HDS
- BSI (Германия): Каталог критериев C5
- NHS England: Инструментарий безопасности данных и защиты
Частые вопросы
Могу ли я получить сертификат по ISO 27799?
Нет. 27799 — это руководство; органы по сертификации сертифицируют ISO/IEC 27001. Вы можете указать в области применения и Заявлении о применимости 27001 ссылку на 27799, чтобы сертификат явно охватывал специфические для здравоохранения средства контроля.
Является ли SOC 2 эквивалентом ISO 27001?
Они пересекаются, но различаются по типу: SOC 2 — это отчет аудитора о средствах контроля за определенный период в соответствии с критериями доверия, распространенный в США; 27001 — это сертифицированная система менеджмента, распространенная в Европе и на международном уровне. Многие компании, занимающиеся медицинскими технологиями, имеют оба сертификата.
Нужен ли мне HDS для обслуживания французских клиник?
Если вы хостите медицинские данные для французских поставщиков медицинских услуг, да: сертификация HDS является юридическим требованием в соответствии с французским кодексом общественного здравоохранения, и большинство французских клиентов не подпишут договор без нее. Она основана на 27001, поэтому начните с него.
Сколько времени занимает получение ISO 27001?
Для четко определенной области применения и при наличии целеустремленной команды — от шести до двенадцати месяцев от начала до получения сертификата, большая часть этого времени уходит на внедрение средств контроля и сбор доказательств. Сам аудит занимает несколько дней.
Попробуйте бесплатно в песочнице
Первый запрос FHIR за 5 минут. API HL7 FHIR R4 с встроенным согласием пациента: попробуйте в песочнице, затем подключите свое приложение или систему клиники.
Бесплатно · 30 синтетических пациентов · без карты
Anpheros создает медицинскую карту, которую пациент контролирует и может делиться с любой клиникой, на платформе HL7 FHIR R4, базирующейся в ЕС. Эти руководства помогут вам понять и организовать свое здоровье; они не заменяют вашего врача.
О Anpheros →