ISO/IEC 27001 ve ISO 27799: Sağlık verileri için bilgi güvenliği ve hastanelerin talep ettiği sertifikalar

Kısa cevap: ISO/IEC 27001, bir bilgi güvenliği yönetim sistemi (BGYS) tanımlar: bir kuruluşun bilgi risklerini nasıl belirlediği, kontrolleri nasıl seçtiği, bunları nasıl işlettiği ve iyileştirdiği, denetçinin de sonucu onaylamasıyla. Bununla birlikte gelen ISO/IEC 27002, kontrollerin kendisini açıklar. ISO 27799 (sağlık bilişimi: ISO/IEC 27002 kullanarak sağlıkta bilgi güvenliği yönetimi), bu kontrolleri alır ve kişisel sağlık bilgilerine nasıl uygulanacağını belirtir: minimum gereksinimler, sağlığa özgü riskler ve bir hastane veya sağlık yazılımı tedarikçisinin zorunlu olarak ele alması gereken kontroller. 27001'e göre sertifika alırsınız; veriler sağlık verisi olduğunda sertifikanın neleri kapsaması gerektiğini belirlemek için 27799'u kullanırsınız. Hastaneler ve ulusal programlar giderek daha fazla sertifika artı sağlıkla ilgili özel durumların dikkate alındığına dair kanıt veya bunları içeren ulusal bir şema talep etmektedir.

ISO/IEC 27001:2022 tek paragrafta

ISO/IEC 27001:2022, bilgi güvenliği yönetim sistemi için belgelendirilebilir uluslararası standarttır. 4 ila 10. maddeler, bağlam, liderlik, risk temelli planlama, destek, operasyon, performans değerlendirme ve iyileştirme için gereklilikleri belirler; Ek A, Uygulanabilirlik Beyanı'nda seçilen ve gerekçelendirilen dört temada 93 kontrol listeler. Sertifikasyon, iki aşamalı bir denetim, yıllık gözetim ve her üç yılda bir yeniden sertifikasyon içerir.

Standart on madde içerir; 4 ila 10 arası maddeler gereksinimlerdir: bağlam ve kapsam, liderlik, planlama (risk değerlendirmesi ve tedavisi, hedefler), destek (kaynaklar, yetkinlik, dokümantasyon), operasyon, performans değerlendirme (izleme, iç denetim, yönetim gözden geçirmesi) ve iyileştirme. Ek A, dört temada (kurumsal, insan, fiziksel, teknolojik) 93 kontrol listeler. Bu kontroller, 2013 sürümündeki 114 kontrolden yeniden düzenlenmiş olup, tehdit istihbaratı, bulut hizmetleri, iş sürekliliği için BT hazırlığı, veri maskeleme, veri sızıntısını önleme, izleme, web filtreleme ve güvenli kodlama için yenileri eklenmiştir. Her kontrolü uygulamak zorunda değilsiniz; hangi kontrolleri uyguladığınızı ve diğerlerinin neden ilgili olmadığını bir Uygulanabilirlik Beyanı'nda gerekçelendirmelisiniz. Sertifikasyon, aşama 1 ve aşama 2 denetimi, ardından yıllık gözetim ve üç yılda bir yeniden sertifikasyon şeklindedir.

ISO 27799 Neler Ekler

ISO 27799, ISO/IEC 27002 kontrollerine sağlık alanına özel rehberlik ekler: kişisel sağlık bilgileri için, benzersiz kullanıcı kimliği, rol ve bakım ilişkisine dayalı erişim kontrolü, sağlık kayıtlarına yapılan her erişimin denetim kaydı, mobil cihazlarda ve iletim sırasında şifreleme, güvenli imha, olay yönetimi ve iş sürekliliği dahil olmak üzere çeşitli kontrolleri zorunlu kılar ve sağlık kuruluşlarına özgü tehditleri açıklar.

27799 (güncel baskısı 2016), 27002 kontrollerini adım adım inceler ve her biri için sağlık kuruluşlarının ne yapması gerektiğini belirtir. Birkaçını "dikkate alınmalı"dan "yapılmalı"ya yükseltir: sağlık bilgisine özel belgelenmiş bir bilgi güvenliği politikası; benzersiz kullanıcı kimliği (klinik sistemlerde paylaşılan hesaplar olmamalı); role ve bakım ilişkisine dayalı erişim kontrolü; kişisel sağlık bilgilerine yapılan her erişimin denetim kaydı, saklanmalı ve incelenebilir olmalı; mobil cihazlarda ve iletim sırasında sağlık bilgilerinin şifrelenmesi; güvenli imha; gizlilik ihlallerini içeren olay yönetimi; ve kullanılamayan bir kaydın hastaya zarar verebileceği için iş sürekliliği. Ayrıca sağlığa özgü tehditleri açıklar: bilinen kişilerin kayıtlarını gizlice görüntüleyen iç kişiler, hastalar arasında yanlış dosyalama, araştırma özetlerinin zayıf noktası ve eski verileri maruz bırakan uzun saklama süreleri.

İkisi Birlikte ve Komşuları

ISO/IEC 27001 ve ISO 27799 birlikte çalışır: 27001 belgelendirilebilir yönetim sistemidir ve 27799 hangi kontrollerin dahil edileceğine dair sağlık sektörü rehberidir. Komşu standartlar ve programlar ihtiyaçları karşılar: gizlilik için ISO 27701, bulut için ISO 27017 ve 27018, ABD'li müşteriler için SOC 2 ve HITRUST, ulusal tedarik için HDS (Fransa), C5 (Almanya), NHS DSPT (İngiltere) ve ENS (İspanya).

Bu şemaların çoğu, 27001'in kontrol setiyle büyük ölçüde örtüşmektedir; kuruluşlar bir kez eşleştirme yapar ve kanıtları yeniden kullanır. Birçok ulusal şema (HDS, C5, ENS) 27001 üzerine kurulmuştur ve sektörel veya ülke gereksinimleri ekler, bu nedenle Avrupa'da satış yapan bir sağlık teknolojisi şirketi için ilk mantıklı sertifika 27001'dir.

Neler Sertifikalandırılmalı ve Ne Zaman

Avrupa'da satış yapan bir sağlık teknolojisi şirketi için, genellikle önce ISO/IEC 27001'i platform ve onu çalıştıran ekipler için kapsayacak şekilde belgelendirmek, ardından ISO 27799'dan (kayıt başına erişim günlükleri, ilişki tabanlı erişim, şifreleme, paylaşılan hesap olmaması, test edilmiş geri yüklemeler) sağlık kontrollerini uygulamak ve son olarak bir pazar talep ettiğinde ISO 27701, HDS, C5 veya SOC 2'yi eklemek şeklinde ilerlenir.

• Kapsamı dar ve dürüst tutun: tüm şirketin dizüstü bilgisayarları değil, platform ve onu çalıştıran ekipler, ancak yalnızca veriye dokunuyorlarsa. Hastaneler kapsam beyanını okur.
• Sağlık özel durumlarını sertifikasyondan önce yapın: hasta kaydı başına erişim günlükleri, rol ve ilişki tabanlı erişim, her yerde şifreleme, paylaşılan hesaplar olmaması, test edilmiş geri yüklemeler. Bir hastanenin güvenlik anketi bunları sorar; 27799 kontrol listesidir.
• Önce 27001'i sertifikalandırın, birçok müşteri için denetleyici ve işlemci olarak işliyorsanız 27701'i ekleyin, bir pazar talep ettiğinde HDS veya C5'i ekleyin, ABD'li müşteriler istediğinde SOC 2'yi ekleyin.
• GDPR bağlantısını görünür tutun: Madde 32, riske uygun güvenliği ister ve 27799'dan etkilenen bir kapsamla 27001 sertifikası bunu göstermenin en tanınmış yoludur. DPIA'nın önlemler bölümü ve BGYS risk tedavi planı aynı liste olmalıdır. Bir sağlık uygulaması için DPIA bölümüne bakın.
• NIS2 (kapsamındaki kuruluşlar için) ve önerilen HIPAA Güvenlik Kuralı güncellemesi, zorunlu çok faktörlü kimlik doğrulama ve olay raporlaması ile 27001 Ek A'ya benzer şekilde okunur; tek bir BGYS üçüne de cevap verir. Hastaneler ve satıcılar için NIS2 bölümüne bakın.

Anpheros'ta

Anpheros, güvenlik programını ISO 27001'in yapısına göre, 27799'un zorunlu kabul ettiği sağlık kontrolleriyle yürütür: kişinin okuyabileceği kayıt başına erişim günlükleri, onay ve zamana göre kapsamlandırılmış erişim, depolama ve iletim sırasında şifreleme, AB barındırma, paylaşılan hesap olmaması, test edilmiş yedeklemeler ve GDPR 72 saatlik süresi olan bir olay süreci. Geliştirici sitesi platform güvenliğini belgeler ve denetim Ekim 2026 güvenlik incelemesinde bulunabilir.

Bu sayfa ürün ve mühendislik ekipleri için düzenlemeleri açıklar. Yasal tavsiye değildir; Kaynaklar altındaki metinler yetkilidir ve veri koruma görevliniz, bildirimde bulunan kuruluş veya danışmanınız sizin durumunuz için karar verir. Son gözden geçirme: Ekim 2026.

İlgili Sayfalar

• Hastaneler ve sağlık teknolojisi satıcıları için NIS2
• Bir sağlık uygulaması için DPIA
• HIPAA vs GDPR
• Tıbbi kaydımı kim görüntüledi?
• Sağlık verileri düzenleme haritası
• Platform güvenliği (geliştirici sitesi)

Kaynaklar

• ISO/IEC 27001:2022
• ISO/IEC 27002:2022
• ISO 27799:2016, Sağlık bilişimi: ISO/IEC 27002 kullanarak sağlıkta bilgi güvenliği yönetimi
• ISO/IEC 27701:2019
• ANS (Fransa): HDS sertifikasyonu
• BSI (Almanya): C5 kriterleri kataloğu
• NHS England: Veri Güvenliği ve Koruma Araç Seti

Sık sorulan sorular

ISO 27799'a göre sertifika alabilir miyim?

Hayır. 27799 rehberliktir; sertifikasyon kuruluşları ISO/IEC 27001'i sertifikalandırır. 27001 kapsamını ve Uygulanabilirlik Beyanı'nı 27799'a referans verebilirsiniz, böylece sertifika sağlıkla ilgili özel kontrolleri gösterilebilir şekilde kapsar.

SOC 2, ISO 27001'e eşdeğer midir?

Örtüşürler ancak türleri farklıdır: SOC 2, güven kriterlerine karşı belirli bir dönemdeki kontrollere ilişkin bir denetçi raporudur, ABD'de yaygındır; 27001, Avrupa ve uluslararası alanda yaygın olan sertifikalı bir yönetim sistemidir. Birçok sağlık teknolojisi şirketi her ikisine de sahiptir.

Fransız kliniklerine hizmet vermek için HDS'ye ihtiyacım var mı?

Fransız bakım sağlayıcıları için sağlık verilerini barındırıyorsanız, evet: HDS sertifikasyonu Fransız halk sağlığı kanunu kapsamında yasal bir gerekliliktir ve çoğu Fransız müşterisi onsuz imzalamaz. 27001 üzerine kurulmuştur, bu yüzden oradan başlayın.

ISO 27001 ne kadar sürer?

Odaklanmış bir kapsam ve kararlı bir ekip için, başlangıçtan sertifikaya kadar altı ila on iki ay sürer, bunun çoğu kontrolleri gerçek hale getirmek ve kanıt toplamakla geçer. Denetimin kendisi birkaç gün sürer.

Anpheros Platform

Sandbox'ta ücretsiz deneyin

İlk FHIR çağrınız 5 dakikada. Hasta izniyle yerleşik HL7 FHIR R4 API: sandbox'ta deneyin, ardından kendi uygulamanızı veya klinik sisteminizi bağlayın.

Ücretsiz sandbox oluşturunGeliştirici kılavuzlarını okuyun →

Ücretsiz · 30 sentetik hasta · kart gerekmez

Yazan

Anpheros Ekibi

Anpheros, hasta kontrolünde olan ve herhangi bir klinik ile paylaşılabilecek, AB merkezli bir HL7 FHIR R4 platformu üzerinde tıbbi kayıtlar oluşturur. Bu rehberler, sağlığınızı anlamanıza ve düzenlemenize yardımcı olur; doktorunuzun yerini tutmaz.

Anpheros Hakkında →