Krátka odpoveď: ISO/IEC 27001 špecifikuje systém manažérstva informačnej bezpečnosti (ISMS): ako organizácia identifikuje svoje informačné riziká, vyberá kontroly, spravuje ich a zlepšuje, pričom výsledok certifikuje audítor. Jeho sprievodná norma ISO/IEC 27002 popisuje samotné kontroly. ISO 27799 (zdravotnícka informatika: manažérstvo informačnej bezpečnosti v zdravotníctve s využitím ISO/IEC 27002) preberá tieto kontroly a uvádza, ako ich aplikovať na osobné zdravotné informácie: minimálne požiadavky, riziká špecifické pre zdravotníctvo a kontroly, ktoré by mal nemocnica alebo dodávateľ zdravotníckeho softvéru považovať za povinné, nie voliteľné. Certifikujete sa podľa 27001; používate 27799 na rozhodnutie, čo musí certifikát pokrývať, keď sú údaje zdravotnými údajmi. Nemocnice a národné programy čoraz častejšie požadujú certifikát plus dôkaz, že boli zohľadnené špecifiká zdravotníctva, alebo národný program, ktorý ich integruje.
ISO/IEC 27001:2022 v jednom odseku
ISO/IEC 27001:2022 je medzinárodný štandard pre systém manažérstva informačnej bezpečnosti, ktorý je možné certifikovať. Články 4 až 10 stanovujú požiadavky na kontext, vedenie, plánovanie založené na riziku, podporu, prevádzku, hodnotenie výkonnosti a zlepšovanie; príloha A uvádza 93 kontrol v štyroch témach, vybraných a zdôvodnených vo Vyhlásení o aplikovateľnosti. Certifikácia zahŕňa dvojstupňový audit, ročný dohľad a recertifikáciu každé tri roky.
Norma má desať klauzúl; klauzuly 4 až 10 sú požiadavky: kontext a rozsah, vedenie, plánovanie (hodnotenie a spracovanie rizík, ciele), podpora (zdroje, kompetencie, dokumentácia), prevádzka, hodnotenie výkonnosti (monitorovanie, interný audit, preskúmanie manažmentom) a zlepšovanie. Príloha A uvádza 93 kontrol v štyroch témach (organizačné, ľudia, fyzické, technologické), ktoré boli v roku 2022 reorganizované z 114 kontrol edície z roku 2013, s novými pre spravodajstvo o hrozbách, cloudové služby, pripravenosť ICT na kontinuitu podnikania, maskovanie údajov, prevenciu úniku údajov, monitorovanie, webové filtrovanie a bezpečné kódovanie. Nemusíte implementovať každú kontrolu; musíte v Vyhlásení o aplikovateľnosti zdôvodniť, ktoré implementujete a prečo ostatné nie sú relevantné. Certifikácia je audit štádia 1 a štádia 2, potom ročné dohľady a recertifikácia každé tri roky.
Čo pridáva ISO 27799
ISO 27799 pridáva k kontrolám ISO/IEC 27002 usmernenia špecifické pre zdravotníctvo: pre osobné zdravotné informácie robí niekoľko kontrol povinnými, vrátane jedinečnej identifikácie používateľa, riadenia prístupu založeného na rolách a vzťahu v starostlivosti, auditného záznamu každého prístupu k zdravotným záznamom, šifrovania na mobilných zariadeniach a pri prenose, bezpečného likvidovania, riadenia incidentov a kontinuity podnikania, a opisuje hrozby špecifické pre zdravotnícke organizácie.
27799 (aktuálne vydanie 2016) prechádza kontrolami 27002 a pre každú uvádza, čo by mali zdravotnícke organizácie robiť. Niekoľko z nich povyšuje z "malo by sa zvážiť" na "musí": zdokumentovaná politika informačnej bezpečnosti špecifická pre zdravotné informácie; jedinečná identifikácia používateľa (žiadne zdieľané účty v klinických systémoch); riadenie prístupu založené na úlohe a vzťahu starostlivosti; auditné záznamy o každom prístupe k osobným zdravotným informáciám, uchovávané a prehľadávateľné; šifrovanie zdravotných informácií na mobilných zariadeniach a pri prenose; bezpečné zlikvidovanie; riadenie incidentov, ktoré zahŕňa porušenia súkromia; a kontinuita podnikania, pretože nedostupný záznam môže poškodiť pacienta. Vysvetľuje tiež špecifické hrozby pre zdravotníctvo: vnútorné prehliadanie záznamov známych osôb, nesprávne zaradenie medzi pacientov, slabé miesto výskumných extraktov a dlhé obdobia uchovávania, ktoré udržujú staré údaje vystavené.
Dve spolu a susedia
ISO/IEC 27001 a ISO 27799 spolupracujú: 27001 je certifikovateľný systém manažérstva a 27799 sú usmernenia pre sektor zdravotníctva, ktoré kontroly zahrnúť. Susedné štandardy a schémy pokrývajú potreby: ISO 27701 pre ochranu súkromia, ISO 27017 a 27018 pre cloud, SOC 2 a HITRUST pre amerických zákazníkov, HDS (Francúzsko), C5 (Nemecko), NHS DSPT (Anglicko) a ENS (Španielsko) pre národné obstarávanie.
| Norma alebo program | Typ | Použite na |
|---|---|---|
| ISO/IEC 27001:2022 | Certifikovateľné požiadavky ISMS | Certifikát, ktorý nemocnice a tendre žiadajú |
| ISO/IEC 27002:2022 | Sprievodca kontrolami | Implementácia kontrol z prílohy A |
| ISO 27799:2016 | Sprievodca pre zdravotnícky sektor | Určenie rozsahu a zdôvodnenie kontrol pre zdravotné údaje; dôkaz pri náležitej starostlivosti |
| ISO/IEC 27701:2019 | Rozšírenie ochrany súkromia na 27001/27002 | Preukázanie manažérstva ochrany súkromia v súlade s GDPR ako správca a spracovateľ |
| ISO/IEC 27017 a 27018 | Sprievodca bezpečnosťou a ochranou súkromia v cloude | Poskytovatelia cloudu a SaaS spracujúci osobné údaje |
| SOC 2 (AICPA) | Správa o posúdení v USA (Typ I alebo II) o kritériách dôvery | Americkí zákazníci a investori; nie certifikát |
| HITRUST CSF | Americký rámec a certifikácia zdravotnej starostlivosti | Americké zdravotnícke systémy a platitelia, ktorí to vyžadujú |
| HDS (Francúzsko) | Povinná certifikácia pre hostovanie zdravotných údajov vo Francúzsku | Akýkoľvek poskytovateľ hostujúci francúzske zdravotné údaje; postavené na 27001 |
| C5 (Nemecko) | Posúdenie cloudu BSI | Nemecký verejný sektor a obstarávanie nemocníc |
| NHS DSPT (Anglicko) | Ročný nástroj na sebahodnotenie | Akýkoľvek dodávateľ pre NHS |
| ENS (Španielsko) | Národný rámec bezpečnosti | Španielske systémy verejného sektora |
| IEC 81001-5-1 | Bezpečný životný cyklus produktu pre zdravotnícky softvér | Kybernetická bezpečnosť softvéru zdravotníckych pomôcok, spolu s IEC 62304 |
Väčšina z nich sa silne prekrýva s kontrolnou sadou 27001; organizácie mapujú raz a dôkazy opakovane používajú. Niekoľko národných programov (HDS, C5, ENS) je postavených na 27001 a pridávajú sektorové alebo krajinské požiadavky, preto je 27001 rozumným prvým certifikátom pre spoločnosť v oblasti zdravotníckych technológií predávajúcu v Európe.
Čo certifikovať a kedy
Pre spoločnosť z oblasti zdravotníckych technológií predávajúcu v Európe je bežným postupom najprv certifikovať ISO/IEC 27001, zameraný na platformu a tímy, ktoré ju prevádzkujú, po implementácii zdravotníckych kontrol z ISO 27799 (záznamy o prístupe k jednotlivým záznamom, prístup založený na vzťahu, šifrovanie, žiadne zdieľané účty, testované obnovy), potom pridať ISO 27701, HDS, C5 alebo SOC 2, keď si ich trh vyžiada.
- Rozsah úzko a čestne: platforma a tímy, ktoré ju spravujú, nie firemné notebooky celej spoločnosti, pokiaľ sa nedotýkajú údajov. Nemocnice si prečítajú vyhlásenie o rozsahu.
- Zdravotnícke špecifiká urobte ešte pred certifikáciou: záznamy o prístupe na záznam pacienta, prístup založený na úlohe a vzťahu, šifrovanie všade, žiadne zdieľané účty, testované obnovy. Bezpečnostný dotazník nemocnice sa na to pýta; 27799 je kontrolný zoznam.
- Najprv certifikujte 27001, pridajte 27701, ak spracovávate ako správca a spracovateľ pre mnohých zákazníkov, pridajte HDS alebo C5, keď si to trh vyžiada, SOC 2, keď to požadujú americkí zákazníci.
- Udržujte prepojenie na GDPR viditeľné: Článok 32 požaduje bezpečnosť primeranú riziku a certifikát 27001 s rozsahom informovaným podľa 27799 je najuznávanejším spôsobom, ako to preukázať. Sekcia opatrení DPIA a plán spracovania rizík ISMS by mali byť rovnakým zoznamom. Pozri DPIA pre zdravotnú aplikáciu.
- NIS2 (pre subjekty v rozsahu) a navrhovaná aktualizácia HIPAA Security Rule oboje vyzerajú ako 27001 Príloha A s povinnou viacfaktorovou autentizáciou a hlásením incidentov; jeden ISMS odpovedá všetkým trom. Pozri NIS2 pre nemocnice a dodávateľov.
V Anpheros
Anpheros riadi svoj bezpečnostný program podľa štruktúry ISO 27001 s kontrolami pre zdravotníctvo, ktoré 27799 považuje za povinné: záznamy o prístupe na záznam, ktoré môže osoba čítať, prístup obmedzený súhlasom a časom, šifrovanie v pokoji a pri prenose, hosting v EÚ, žiadne zdieľané účty, testované zálohy a proces riešenia incidentov s 72-hodinovou lehotou GDPR. Stránka pre vývojárov dokumentuje bezpečnosť platformy a audit nájdete v bezpečnostnej revízii z októbra 2026.
Táto stránka vysvetľuje reguláciu pre produktové a inžinierske tímy. Nie je to právne poradenstvo; texty uvedené v časti Zdroje sú záväzné a váš zodpovedný pracovník pre ochranu údajov, notifikovaný orgán alebo právny zástupca rozhodne pre váš prípad. Posledná revízia: október 2026.
Súvisiace stránky
- NIS2 pre nemocnice a dodávateľov zdravotníckych technológií
- DPIA pre zdravotnú aplikáciu
- HIPAA vs GDPR
- Kto si prezeral môj lekársky záznam?
- Mapa regulácie zdravotných údajov
- Bezpečnosť platformy (stránka pre vývojárov)
Zdroje
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Zdravotnícka informatika: manažérstvo informačnej bezpečnosti v zdravotníctve s využitím ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Francúzsko): HDS certifikácia
- BSI (Nemecko): Kritérium C5
- NHS England: Nástroj na zabezpečenie údajov a ochranu (Data Security and Protection Toolkit)
Časté otázky
Môžem sa certifikovať podľa ISO 27799?
Nie. 27799 je sprievodca; certifikačné orgány certifikujú ISO/IEC 27001. Rozsah 27001 a Vyhlásenie o aplikovateľnosti môžete odkazovať na 27799, aby certifikát preukázateľne pokrýval špecifické kontroly pre zdravotníctvo.
Je SOC 2 ekvivalentný ISO 27001?
Prekrývajú sa, ale líšia sa v druhu: SOC 2 je správa audítora o kontrolách počas obdobia podľa kritérií dôvery, bežná v USA; 27001 je certifikovaný systém manažérstva, bežný v Európe a medzinárodne. Mnohé spoločnosti v oblasti zdravotníckych technológií vlastnia oboje.
Potrebujem HDS na obsluhu francúzskych kliník?
Ak hostíte zdravotné údaje pre francúzskych poskytovateľov starostlivosti, áno: certifikácia HDS je zákonná požiadavka podľa francúzskeho zákona o verejnom zdravotníctve a väčšina francúzskych zákazníkov ju bez nej nepodpíše. Je postavená na 27001, takže začnite tam.
Ako dlho trvá ISO 27001?
Pre zameraný rozsah s angažovaným tímom, šesť až dvanásť mesiacov od začiatku do certifikátu, pričom väčšina času sa strávi realizáciou kontrol a zberom dôkazov. Samotný audit trvá niekoľko dní.
Vyskúšajte zadarmo v sandboxe
Prvé volanie FHIR za 5 minút. API podľa štandardu HL7 FHIR R4 s integrovaným súhlasom pacienta: vyskúšajte si ho v sandboxe a potom pripojte svoju vlastnú aplikáciu alebo klinický systém.
Zadarmo · 30 syntetických pacientov · bez karty
Anpheros vyvíja zdravotný záznam, ktorý pacient ovláda a môže zdieľať s akoukoľvek klinikou, na platforme HL7 FHIR R4, so sídlom v EÚ. Tieto návody vám pomôžu pochopiť a usporiadať si svoje zdravie; nenahrádzajú vášho lekára.
O Anpherose →