简短回答： ISO/IEC 27001 规定了信息安全管理体系（ISMS）：组织如何识别其信息风险，选择控制措施，实施并改进它们，并通过审核员认证结果。其配套标准 ISO/IEC 27002 描述了具体的控制措施。ISO 27799（健康信息学：使用 ISO/IEC 27002 进行健康信息安全管理）则将这些控制措施应用于个人健康信息，并说明了如何应用它们：最低要求、健康特定风险以及医院或健康软件供应商应视为强制而非可选的控制措施。您针对 27001 进行认证；您使用 27799 来决定当数据是健康数据时，认证必须涵盖哪些内容。医院和国家项目越来越多地要求提供认证以及已考虑健康特定要求的证明，或要求一个将这些要求嵌入其中的国家计划。
ISO/IEC 27001:2022 概览
ISO/IEC 27001:2022 是可认证的信息安全管理体系国际标准。第 4 至 10 条规定了组织环境、领导力、基于风险的规划、支持、运行、绩效评估和改进的要求；附录 A 列出了四个主题中的 93 项控制措施，这些措施在适用性声明中进行了选择和论证。认证过程包括两个阶段的审核、年度监督审核以及每三年一次的再认证。
该标准包含十个条款；第 4 至 10 条是要求：组织环境和范围、领导作用、策划（风险评估和处理、目标）、支持（资源、能力、文件化）、运行、绩效评价（监视、内部审核、管理评审）和改进。附录 A 列出了四个主题下的 93 项控制措施（组织、人员、物理、技术），这些控制措施在 2022 年进行了重新组织，从 2013 年版的 114 项控制措施中调整而来，并新增了威胁情报、云服务、业务连续性的信息通信技术准备度、数据屏蔽、数据泄露防护、监视、Web 过滤和安全编码等内容。您不必实施所有控制措施；您需要在适用性声明中说明您应用了哪些措施，以及为什么其他措施不适用。认证包括第一阶段和第二阶段审核，然后是年度监督审核和每三年一次的再认证。
ISO 27799 的补充内容
ISO 27799 为 ISO/IEC 27002 的控制措施增加了医疗健康领域的特定指导：对于个人健康信息，它将多项控制措施设为强制性，包括唯一用户识别、基于角色和护理关系的访问控制、对健康记录的每一次访问的审计日志记录、移动设备和传输中的加密、安全处置、事件管理和业务连续性，并描述了医疗健康组织特有的威胁。
27799（当前版本 2016）逐一介绍了 27002 的控制措施，并针对每项说明了健康组织应如何做。它将一些“应考虑”的控制措施提升为“必须”：制定一份针对健康信息的文档化信息安全策略；唯一的用户标识（临床系统中不允许共享账户）；基于角色和护理关系的访问控制；对个人健康信息的每一次访问进行审计日志记录，并进行保留和审查；对移动设备上的健康信息以及传输中的健康信息进行加密；安全处置；事件管理，包括隐私泄露；以及业务连续性，因为无法访问的记录可能会损害患者。它还解释了健康特有的威胁：内部人员浏览已知人员的记录、患者之间的错误归档、研究提取物的薄弱环节，以及长时间的保留期导致旧数据暴露。
两者结合及相关标准
ISO/IEC 27001 和 ISO 27799 协同工作：27001 是可认证的管理体系，27799 是关于应包含哪些控制措施的医疗健康行业指导。邻近的标准和计划涵盖了其他需求：ISO 27701 用于隐私保护，ISO 27017 和 27018 用于云服务，SOC 2 和 HITRUST 面向美国客户，HDS（法国)、C5（德国)、NHS DSPT（英格兰)和 ENS（西班牙)用于国家采购。
| 标准或计划 | 类型 | 用途 |
|---|---|---|
| ISO/IEC 27001:2022 | 可认证的 ISMS 要求 | 医院和招标要求的认证 |
| ISO/IEC 27002:2022 | 控制措施指南 | 实施附录 A 的控制措施 |
| ISO 27799:2016 | 健康行业指南 | 确定健康数据的范围和控制措施的合理性；尽职调查的证据 |
| ISO/IEC 27701:2019 | 27001/27002 的隐私扩展 | 作为控制器和处理者展示符合 GDPR 的隐私管理 |
| ISO/IEC 27017 和 27018 | 云安全和云隐私指南 | 云提供商和处理个人数据的 SaaS |
| SOC 2 (AICPA) | 美国信任标准证明报告（Type I 或 II） | 美国客户和投资者；非认证 |
| HITRUST CSF | 美国医疗保健框架和认证 | 美国医疗系统和支付方要求 |
| HDS (法国) | 在法国托管健康数据的强制认证 | 任何托管法国健康数据的提供商；基于 27001 |
| C5 (德国) | BSI 云证明 | 德国公共部门和医院采购 |
| NHS DSPT (英格兰) | 年度自我评估工具包 | 任何 NHS 供应商 |
| ENS (西班牙) | 国家安全框架 | 西班牙公共部门系统 |
| IEC 81001-5-1 | 健康软件安全产品生命周期 | 医疗器械软件网络安全，与 IEC 62304 一起 |
大多数这些标准与 27001 的控制措施集有很大重叠；组织只需进行一次映射即可重复使用证据。几个国家计划（HDS、C5、ENS）都基于 27001 并增加了行业或国家要求，这就是为什么 27001 对于在欧洲销售的健康科技公司来说是一个明智的首个认证。
认证什么，何时认证
对于在欧洲销售的健康科技公司，通常的流程是首先认证 ISO/IEC 27001，将其范围限定在平台及其运营团队，在实施了 ISO 27799 的健康控制措施（例如，每条记录的访问日志、基于关系的访问、加密、禁止共享账户、经过测试的恢复)后，当市场有需求时，再添加 ISO 27701、HDS、C5 或 SOC 2。
- 范围界定要狭窄且诚实： 平台及其运行团队，而不是整个公司的笔记本电脑，除非它们接触到数据。医院会阅读范围声明。
- 在认证前就处理好健康特定要求： 每个患者记录的访问日志、基于角色和关系的访问、所有地方的加密、无共享账户、经过测试的恢复。医院的安全问卷会询问这些；27799 是清单。
- 先认证 27001，如果您作为控制器和处理者为许多客户处理数据，则添加 27701，当市场有需求时添加 HDS 或 C5，当美国客户有需求时添加 SOC 2。
- 保持 GDPR 链接可见： 第 32 条要求采取适当于风险的安全措施，而带有 27799 知情范围的 27001 认证是展示这一点最受认可的方式。DPIA 的措施部分和 ISMS 风险处理计划应是同一份清单。请参阅 健康应用的 DPIA。
- NIS2（针对在范围内的实体）和拟议的 HIPAA 安全规则更新都类似于 27001 附录 A，并增加了强制性的多因素身份验证和事件报告；一个 ISMS 可以满足所有这三项要求。请参阅 NIS2 对医院和供应商。
在 Anpheros
Anpheros 按照 ISO 27001 的结构运行其安全计划，并遵循 27799 视为强制性的健康控制措施：每条记录的访问日志（可供用户阅读）、基于同意和时间的访问范围、静态和传输中的加密、欧盟托管、无共享账户、经过测试的备份以及符合 GDPR 72 小时时限的事件处理流程。开发者网站记录了 平台安全，并在 2026 年 10 月的安全审查 中发现了审核结果。
本页面面向产品和工程团队解释法规。它不构成法律建议；链接的来源文本具有权威性，您的数据保护官、通知机构或律师将决定您的具体情况。最后审查日期：2026 年 10 月。
相关页面
来源
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, 健康信息学：使用 ISO/IEC 27002 进行健康信息安全管理
- ISO/IEC 27701:2019
- ANS (法国): HDS 认证
- BSI (德国): C5 标准目录
- NHS 英格兰: 数据安全和保护工具包
常见问题
我可以获得 ISO 27799 认证吗？
不可以。27799 是指南；认证机构对 ISO/IEC 27001 进行认证。您可以让 27001 的范围和适用性声明引用 27799，这样认证就可以证明涵盖了健康特定控制措施。
SOC 2 等同于 ISO 27001 吗？
它们有重叠但性质不同：SOC 2 是审计师根据信任标准在一段时间内对控制措施的报告，在美国很常见；27001 是一个经过认证的管理体系，在欧洲和国际上都很常见。许多健康科技公司同时拥有两者。
为法国诊所服务需要 HDS 吗？
如果您为法国医疗保健提供者托管健康数据，是的：HDS 认证是法国公共卫生法典下的法律要求，大多数法国客户没有它就不会签约。它基于 27001，所以从那里开始。
ISO 27001 需要多长时间？
对于范围明确且团队投入的项目，从开始到获得认证需要六到十二个月，大部分时间用于实施控制措施并收集证据。审核本身需要几天时间。
在沙盒中免费试用
5 分钟完成第一次 FHIR 调用. 一个内置患者授权的 HL7 FHIR R4 API：先在沙盒中试用，然后连接您自己的应用或诊所系统。
免费 · 30 位合成患者 · 无需信用卡
Anpheros 致力于打造一个由患者掌控的医疗记录，并可在欧盟的 HL7 FHIR R4 平台上与任何诊所共享。这些指南旨在帮助您理解和整理您的健康信息，但不能替代您的医生。
关于 Anpheros →