Коротка відповідь: ISO/IEC 27001 визначає систему управління інформаційною безпекою (СУІБ): як організація виявляє свої інформаційні ризики, обирає засоби контролю, впроваджує їх та вдосконалює, а результат сертифікується аудитором. Його супутній стандарт ISO/IEC 27002 описує самі засоби контролю. ISO 27799 (медична інформатика: управління інформаційною безпекою в охороні здоров'я з використанням ISO/IEC 27002) бере ці засоби контролю та пояснює, як застосовувати їх до персональної медичної інформації: мінімальні вимоги, специфічні для охорони здоров'я ризики та засоби контролю, які лікарня або постачальник медичного програмного забезпечення повинні розглядати як обов'язкові, а не необов'язкові. Ви сертифікуєтеся за стандартом 27001; ви використовуєте 27799, щоб визначити, що саме має охоплювати сертифікат, коли дані є медичними. Лікарні та національні програми все частіше вимагають сертифікат плюс доказ того, що специфічні для охорони здоров'я аспекти були враховані, або національну схему, яка їх інтегрує.
ISO/IEC 27001:2022 одним абзацом
ISO/IEC 27001:2022 — це міжнародний стандарт для системи управління інформаційною безпекою, який підлягає сертифікації. Пункти з 4 по 10 встановлюють вимоги до контексту, лідерства, планування на основі ризиків, підтримки, операційної діяльності, оцінки ефективності та вдосконалення; Додаток А містить 93 засоби контролю в чотирьох темах, вибрані та обґрунтовані в Заяві про застосовність. Сертифікація включає двоступеневий аудит, щорічний нагляд та повторну сертифікацію кожні три роки.
Стандарт має десять пунктів; пункти з 4 по 10 є вимогами: контекст та сфера застосування, лідерство, планування (оцінка та обробка ризиків, цілі), підтримка (ресурси, компетентність, документація), операційна діяльність, оцінка ефективності (моніторинг, внутрішній аудит, огляд керівництвом) та вдосконалення. Додаток A містить 93 засоби контролю в чотирьох темах (організаційні, люди, фізичні, технологічні), реорганізовані у 2022 році з 114 засобів контролю видання 2013 року, з новими для розвідки загроз, хмарних сервісів, готовності ІКТ до безперервності бізнесу, маскування даних, запобігання витоку даних, моніторингу, веб-фільтрації та безпечного кодування. Вам не обов'язково впроваджувати кожен засіб контролю; ви повинні обґрунтувати у Заяві про застосовність, які з них ви застосовуєте і чому інші не є релевантними. Сертифікація — це аудит етапу 1 та етапу 2, потім щорічний нагляд та повторна сертифікація кожні три роки.
Що додає ISO 27799
ISO 27799 додає специфічні для охорони здоров'я рекомендації до засобів контролю ISO/IEC 27002: для персональної медичної інформації він робить кілька засобів контролю обов'язковими, включаючи унікальну ідентифікацію користувача, контроль доступу на основі ролі та стосунків у догляді, журналювання доступу до медичних записів, шифрування на мобільних пристроях та під час передачі, безпечне видалення, управління інцидентами та безперервність бізнесу, а також описує загрози, специфічні для медичних організацій.
27799 (поточне видання 2016 року) розглядає засоби контролю 27002 і для кожного зазначає, що повинні робити організації охорони здоров'я. Він підвищує кілька пунктів з "слід розглянути" до "повинен": задокументована політика інформаційної безпеки, специфічна для медичної інформації; унікальна ідентифікація користувача (жодних спільних облікових записів у клінічних системах); контроль доступу на основі ролі та стосунків догляду; журналювання аудиту кожного доступу до персональної медичної інформації, яке зберігається та може бути переглянуте; шифрування медичної інформації на мобільних пристроях та під час передачі; безпечне знищення; управління інцидентами, що включає порушення конфіденційності; та безперервність бізнесу, оскільки недоступний запис може завдати шкоди пацієнту. Він також пояснює специфічні для охорони здоров'я загрози: внутрішнє переглядання записів відомих людей, неправильне сортування між пацієнтами, слабке місце дослідницьких витягів та тривалі терміни зберігання, які залишають старі дані відкритими.
Два разом і сусіди
ISO/IEC 27001 та ISO 27799 працюють разом: 27001 — це система управління, що підлягає сертифікації, а 27799 — це керівництво для сектору охорони здоров'я щодо того, які засоби контролю слід включити. Сусідні стандарти та схеми охоплюють потреби: ISO 27701 для конфіденційності, ISO 27017 та 27018 для хмарних рішень, SOC 2 та HITRUST для клієнтів із США, HDS (Франція), C5 (Німеччина), NHS DSPT (Англія) та ENS (Іспанія) для національних закупівель.
| Стандарт або схема | Тип | Використовуйте для |
|---|---|---|
| ISO/IEC 27001:2022 | Сертифіковані вимоги до СУІБ | Сертифікат, який вимагають лікарні та тендери |
| ISO/IEC 27002:2022 | Керівництво щодо контролю | Впровадження засобів контролю з Додатку A |
| ISO 27799:2016 | Керівництво для сектору охорони здоров'я | Визначення сфери застосування та обґрунтування контролю для медичних даних; доказ належної обачності |
| ISO/IEC 27701:2019 | Розширення конфіденційності до 27001/27002 | Демонстрація управління конфіденційністю відповідно до GDPR як контролером та обробником |
| ISO/IEC 27017 та 27018 | Керівництво щодо безпеки хмарних обчислень та конфіденційності хмарних обчислень | Постачальники хмарних послуг та SaaS, що обробляють персональні дані |
| SOC 2 (AICPA) | Звіт про атестацію в США (Тип I або II) щодо критеріїв довіри | Клієнти та інвестори в США; не сертифікат |
| HITRUST CSF | Американська рамкова структура та сертифікація для охорони здоров'я | Системи охорони здоров'я та страховики в США, які цього вимагають |
| HDS (Франція) | Обов'язкова сертифікація для розміщення медичних даних у Франції | Будь-який постачальник, що розміщує французькі медичні дані; побудовано на основі 27001 |
| C5 (Німеччина) | Атестація хмарних послуг BSI | Державні установи та закупівлі лікарень у Німеччині |
| NHS DSPT (Англія) | Щорічний інструмент самооцінки | Будь-який постачальник для NHS |
| ENS (Іспанія) | Національна рамкова структура безпеки | Системи державного сектору Іспанії |
| IEC 81001-5-1 | Безпечний життєвий цикл продукту для медичного програмного забезпечення | Кібербезпека програмного забезпечення медичних виробів, поряд з IEC 62304 |
Більшість із цих стандартів значною мірою перетинаються з набором контролів 27001; організації проводять зіставлення один раз і повторно використовують докази. Кілька національних схем (HDS, C5, ENS) побудовані на основі 27001 і додають специфічні для сектору або країни вимоги, тому 27001 є розумним першим сертифікатом для компанії, що займається медичними технологіями та продає в Європі.
Що сертифікувати і коли
Для компанії, що працює в галузі медичних технологій і продає продукцію в Європі, звичайний порядок дій — спочатку сертифікувати ISO/IEC 27001, охопивши платформу та команди, які нею керують, після впровадження медичних засобів контролю з ISO 27799 (журнали доступу до записів, доступ на основі стосунків, шифрування, відсутність спільних облікових записів, перевірені відновлення), а потім додати ISO 27701, HDS, C5 або SOC 2, коли цього вимагатиме ринок.
- Визначайте сферу застосування вузько і чесно: платформа та команди, які її обслуговують, а не ноутбуки всієї компанії, якщо вони не торкаються даних. Лікарні читають заяву про сферу застосування.
- Виконуйте специфічні для охорони здоров'я вимоги ще до сертифікації: журнали доступу до запису пацієнта, доступ на основі ролі та стосунків, шифрування всюди, жодних спільних облікових записів, протестовані відновлення. Анкета безпеки лікарні запитує про це; 27799 є контрольний список.
- Спочатку сертифікуйте 27001, додайте 27701, якщо ви обробляєте дані як контролер і обробник для багатьох клієнтів, додайте HDS або C5, коли цього вимагає ринок, SOC 2, коли цього вимагають клієнти в США.
- Зберігайте зв'язок з GDPR видимим: Стаття 32 вимагає безпеки, відповідної ризику, а сертифікат 27001 з обґрунтуванням на основі 27799 є найбільш визнаним способом її демонстрації. Розділ заходів DPIA та план обробки ризиків СУІБ повинні бути однаковим списком. Див. DPIA для медичного додатка.
- NIS2 (для суб'єктів, що підпадають під дію) та запропоноване оновлення Правил безпеки HIPAA виглядають як Додаток A до 27001 з обов'язковою багатофакторною автентифікацією та звітуванням про інциденти; одна СУІБ відповідає всім трьом. Див. NIS2 для лікарень та постачальників.
В Anpheros
Anpheros керує своєю програмою безпеки відповідно до структури ISO 27001 з обов'язковими для медичних даних засобами контролю, які розглядаються в 27799: журнали доступу до кожного запису, які може читати особа, доступ, обмежений згодою та часом, шифрування під час зберігання та передачі, розміщення в ЄС, жодних спільних облікових записів, протестовані резервні копії та процес реагування на інциденти з 72-годинним терміном GDPR. Сайт для розробників документує безпеку платформи, а аудит можна знайти в огляді безпеки за жовтень 2026 року.
Ця сторінка пояснює нормативні вимоги для команд розробки продуктів та інженерії. Це не юридична консультація; тексти, посилання на які наведено в розділі "Джерела", є авторитетними, а ваш співробітник з питань захисту даних, повідомлений орган або юрисконсульт приймають рішення у вашому випадку. Останній перегляд: жовтень 2026 року.
Пов'язані сторінки
- NIS2 для лікарень та постачальників медичних технологій
- DPIA для медичного додатка
- HIPAA проти GDPR
- Хто переглядав мою медичну картку?
- Карта регулювання медичних даних
- Безпека платформи (сайт для розробників)
Джерела
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Медична інформатика: управління інформаційною безпекою в охороні здоров'я з використанням ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Франція): сертифікація HDS
- BSI (Німеччина): критерії C5
- NHS England: Інструмент безпеки даних та захисту (Data Security and Protection Toolkit)
Поширені запитання
Чи можу я отримати сертифікат за ISO 27799?
Ні. 27799 є керівництвом; сертифікаційні органи сертифікують ISO/IEC 27001. Ви можете посилатися на 27799 у сфері застосування 27001 та Заяві про застосовність, щоб сертифікат демонстрував охоплення специфічних для охорони здоров'я засобів контролю.
Чи еквівалентний SOC 2 до ISO 27001?
Вони перетинаються, але відрізняються за типом: SOC 2 — це звіт аудитора про засоби контролю за певний період відповідно до критеріїв довіри, поширений у США; 27001 — це сертифікована система управління, поширена в Європі та на міжнародному рівні. Багато компаній, що займаються медичними технологіями, мають обидва.
Чи потрібен мені HDS для обслуговування французьких клінік?
Якщо ви розміщуєте медичні дані для французьких постачальників медичних послуг, так: сертифікація HDS є юридичною вимогою відповідно до французького кодексу охорони здоров'я, і більшість французьких клієнтів не підпишуть договір без неї. Вона побудована на основі 27001, тому почніть з цього.
Скільки часу займає ISO 27001?
Для чітко визначеної сфери застосування з відданою командою — від шести до дванадцяти місяців від початку до отримання сертифіката, більша частина цього часу витрачається на впровадження засобів контролю та збір доказів. Сам аудит триває кілька днів.
Спробуйте безкоштовно в пісочниці
Перший запит FHIR за 5 хвилин. API стандарту HL7 FHIR R4 з вбудованою згодою пацієнта: спробуйте в пісочниці, а потім підключіть власну програму чи клінічну систему.
Безкоштовно · 30 синтетичних пацієнтів · без картки
Anpheros створює медичну карту, яку пацієнт контролює та може ділитися з будь-якою клінікою, на платформі HL7 FHIR R4, розташованій в ЄС. Ці посібники допоможуть вам зрозуміти та організувати своє здоров'я; вони не замінюють вашого лікаря.
Про Anpheros →