ГОСТ Р 54472-2011

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                   ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                        НАЦИОНАЛЬНЫЙ                    ГОСТР
                           СТАНДАРТ                     _ лл-тп
                          РОССИЙСКОЙ
                                                        54472-
                           ФЕДЕРАЦИИ                    2011/
                                                        ISO/TS 13606-4:2009



                     Информатизация здоровья

                   ПЕРЕДАЧА ЭЛЕКТРОННЫХ
                     МЕДИЦИНСКИХ КАРТ
                                    Ч а с т ь   4


                               Безопасность

                                 ISO/TS 13606-4:2009
                        Health Inform atics — Electronic health
                      record com m unication — Part 4: Security
                                          (IDT)



                                Изданио официальное




                                        Сш|Д«ртИ1фо{м
                                             2011




болеро связанные

ГОСТ Р 54472—2011/ISO/TS 13606-4:2009


                                        Предисловие

      Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом
от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных
стандартов Российской Федерации — ГОСТ Р 1.0—2004 «Стандартизация в Российской Федерации.
Основные положения»

     Сведения о стандарте

     1 ПОДГОТОВЛЕН Федеральным государственным бюджетным учреждением «Центральный на­
учно-исследовательский институт организации и информатизации здравоохранения Минздравсоц-
развития» (ЦНИИОИЗ Минздравсоцразвития) и Обществом с ограниченной ответственностью «Кор­
поративные электронные системы» на основе собственного аутентичного перевода на русский язык
международного документа, указанного в пункте 4

   2 ВНЕСЕН Техническим комитетом по стандартизации ТК 468 «Информатизация здоровья» при
ЦНИИОИЗ Минздравсоцразвития — единоличным представителем ИСО ТК 215

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре­
гулированию и метрологии от 18 октября 2011 г. N° 467-ст

     4 Настоящий стандарт идентичен международному документу ИСО/ТС 13606-4:2009 «Информати­
зация здоровья. Передача электронных медицинских карт. Часть 4. Безопасность» (ISO/TS 13606-4:2009
«Health informatics — Electronic health record communication — Part 4. Security»)
     При применении настоящего стандарта рекомендуется использовать вместо ссылочных
международных стандартов соответствующие им национальные стандарты Российской Федерации,
сведения о которых приведены в дополнительном приложении ДА

     5 ВВЕДЕН ВПЕРВЫЕ



     Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом ин­
формационном указателе «Национальные стандарты», а текст изменений и поправок — в ежеме­
сячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра
(замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано
в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответству­
ющая информация, уведомление и тексты размещаются также в информационной системе общего
пользования — на официальном сайте Федерального агентства по техническому регулированию и
метрологии в сети Интернет




                                                                         ©   Стандартинформ. 2013

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии
II

ГОСТ Р 54472—2011/lSOfTS 13606-4:2009


                                                                      Содержание

1 Область применения.......................................................................................................................................... 1
2 Соответствие.......................................................................................................................................................1
3 Термины и определения.............................................................................                                                                 2
4 Обозначения и сокращ ения............................................................................................................................. 3
5 Чувствительность компонентов ЭМК и функциональные роли.................................................................. 4
   5.1 Чувствительность элемента RECORD_COMPONENT...........................................................................4
   5.2 Функциональные р о л и ............................................................................................................................ 4
   5.3 Отображение функциональной роли на категорию чувствительности элемента
   RECORD_COMPONENT....................................................................................................................................5
6 Представление информации о политике доступа в выписке EHR_EXTRACT......................................... 6
  6.1 Общие положения.........................                                                                                               6
  6.2 Архетип композиции политики доступа....................................................................................................7
   6.3 Представление композиции COMPOSITION архетипа политики доступа на языке A D L ...............9
   6.4 Представление архетипа композиции политики доступа на языке U M L ........................................ 15
7 Представление информации журнала аудита — модель объекта EHR_AUDIT_LOG_EXTRACT . . . 16
Приложение А (справочное) Пример контроля доступа................................................................................ 19
Приложение В (справочное) Связь со стандартом ENV 13606-3:2000.......................................................23
Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов
               и документов ссылочным национальным стандартам Российской Федерации........... 30
Библиография......................................................................................................................................................31

ГОСТ Р 54472—2011/ISO/TS 13606-4:2009


                                            Введение

     1 Сложность предмета настоящего стандарта
      Безопасная передача электронных медицинских карт (ЭМК) целиком или отдельными частями,
внутри организации и между организациями, а иногда и между разными странами представляет опре­
деленную сложность. Медицинские карты должны создаваться, обрабатываться и управляться таким
образом, чтобы была обеспечена конфиденциальность их содержания и чтобы пациенты могли кон­
тролировать ее использование в рамках действующего законодательства. Во всем мире эти принципы
воплощаются в форме национальных законов о защите персональной информации. Эти законы де­
кларируют. что только субъект медицинской помощи имеет право на принятие решений, связанных с
доступом к содержанию и с передачей его медицинской карты. Передача третьей стороне информации,
содержащейся в медицинской карте, может иметь место только с согласия пациента в форме подпи­
си. например, согласие на обработку его персональных данных. Для определения соответствующих
спецификаций политики безопасности при трансграничной передаче ЭМК могут использоваться мето­
дические указания, изложенные в ИСО 22857.
      В идеале каждый отдельный элемент медицинской карты пациента должен быть доступен только
лицам, имеющим право видеть эту информацию, по выбору или с согласия пациента. Круг лиц, на ко­
торые законом возложена обязанность оказания медицинской помощи, динамически меняется на про­
тяжении жизни пациента. Разрешение доступа к этим элементам должно быть также дано тем лицам,
которые имеют на это право по причинам, не связанным с непосредственным оказанием медицинской
помощи (например, для управления здравоохранением, ответственного за эпидемиологию согласован­
ных исследований общественного здоровья). Однако это не относится к тем данным, которые пациент
считает слишком личными. С другой стороны, если пациент или его представители категорируют ин­
формацию как персональную или личную, то это не должно препятствовать оказанию экстренной ме­
дицинской помощи или вводить в заблуждение медицинских специалистов, которые из-за отсутствия
необходимой информации могут принять неправильное решение о лечении пациента. Со временем
представление пациента о чувствительности11сведений его медицинской карты может изменяться по
мере того, как у него появляется все больше опасений за свое здоровье или меняется отношение обще­
ства к проблеме здоровья. Пациенты могут пожелать предоставить гетерогенные права доступа членам
семьи, друзьям, лицам, осуществляющим уход, членам своей общины. Члены одной семьи могут по­
желать иметь возможность доступа (хотя и не обязательно равного) к медицинским картам друг друга,
чтобы следить за изменением состояния здоровья фамильного древа.
      Требования к разрешению доступа к ЭМК, бесспорно, намного сложнее, чем те. что практикуются
в большинстве других отраслей. Ситуация еще более осложняется следующими причинами:
      - большим числом записей в медицинскую карту пациента, обусловленным современными техно­
логиями медицинской помощи;
      - значительным числом медицинских работников, часто меняющих свои посты, которые потенци­
ально могут контактировать с пациентом в любой момент времени,
      - большим числом организаций здравоохранения, в которые пациент может обращаться на про­
тяжении своей жизни;
      - трудностями (как для пациента, так и для других лиц) стандартизованной классификации катего­
рий конфиденциальности элементов медицинской карты;
      - трудностями определения, в какой мере и какому именно кругу лиц может понадобиться отдель­
но взятый элемент ЭМК при будущем оказании медицинской помощи;
      - логически преемственной природой ЭМК и необходимостью точного управления изменениями в
разрешениях доступа по мере изменения самих элементов ЭМК;
      - необходимостью очень быстрого принятия решения о доступе в реальном времени и потенци­
ально в распределенной вычислительной среде:
      - большой озабоченностью растущего числа пациентов тем. чтобы их согласие на доступ к дан­
ным регистрировалось и соблюдалось;
      - известным равнодушием большинства пациентов к этим вопросам, из-за чего данный процесс
ранее имел низкий приоритет и ограниченное финансирование.
       Термин «чувствительность» широко используется в документах по информационной безопасности для
большого числа предохранительных и управляющих средств, но в настоящем стандарте он относится только к
контролю доступа.
IV