ГОСТ Р ИСО 17090-1-2015

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                                 ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                            НАЦИОНАЛЬНЫЙ
                                                                              ГОСТ Р исо
                                               СТАНДАРТ
                                             РОССИЙСКОЙ                       17090 1     -   -


                                              ФЕДЕРАЦИИ                       2015




                                     Информатизация здоровья

                          ИНФРАСТРУКТУРА ОТКРЫТЫХ КЛЮЧЕЙ
                                                    Часть       1

                        Общие свойства служб электронных сертификатов

                                                  ISO 17090-1:2013
                               Health informatics — Public key infrastructure — Part 1:
                                        Overview of digital certificate services
                                                         (IDT)



                                                 Издание официальное




                                                            Москва
                                                        Стандартинформ
                                                             2016




строительные компании

ГОСТ Р ИСО 17090-1—2015

                                           Предисловие

     1 ПОДГОТОВЛЕН Федеральным государственным бюджетным учреждением «Центральный
научно-исследовательский институт организации и информатизации здравоохранения Министерства
здравоохранения Российской Федерации» (ЦНИИОИЗ Минздрава) и Федеральным бюджетным
учреждением «Консультационно-внедренческая фирма в области международной стандартизации и
сертификации «Фирма «ИНТЕРСТАНДАРТ» на основе собственного аутентичного перевода на русский
язык международного стандарта, указанного в пункте 4

     2 ВНЕСЕН Техническим комитетом по стандартизации ТК 468 «Информатизация здоровья»
при ЦНИИОИЗ Минздрава — постоянным представителем ISO ТС 215 (Росстандарт)

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому
регулированию и метрологии от 28 декабря 2015 г. № 2217-ст

       4 Настоящий стандарт идентичен международному стандарту И С 0 17090-1:2013 «Информатиза­
ция здоровья. Инфраструктура открытых ключей. Часть 1. Общие свойства служб электронных серти­
фикатов» (ISO 17090-1:2013 «Health informatics — Public key infrastructure — Part 1: Overview of digital
certificate services»).
       При применении настоящего стандарта рекомендуется использовать вместо ссылочных
международных стандартов соответствующие им национальные стандарты Российской Федерации,
сведения о которых приведены в справочном приложении ДА

     5 ВВЕДЕН ВЗАМЕН ГОСТ Р ИСО/ТС 17090-1—2009



     Правила применения настоящего стандарта установлены в ГОСТ Р 1.0—2012 (раздел 8).
Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на
1 января текущего года) информационном указателе «Националышв стандарты», а официальный
текст изменений и поправок — в ежемесячном информационном указателе «Национальные стан­
дарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уве­
домление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя
«Национальные стандарты». Соответствующая информация, уведомление и тексты размещают­
ся также в информационной системе общего пользования — на официальном сайте Федерального
агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)




                                                                             © Стандартинформ. 2016

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии

ГОСТ Р ИСО 17090-1—2015

                                                                      Содержание

1 Область применения.......................................................................................................................................... 1
2 Нормативные с с ы л к и ........................................................................................................................................1
3 Термины и определения.................................................................................................................................. 1
    3.1 Термины сферы здравоохранения......................................... .. . .......................................................1
    3.2 Термины служб информационной безопасности....................................................................................3
    3.3 Термины, относящиеся к инфраструктуре открытых кл ю ч е й .............................................................. 5
4 Сокращения........................................................................................................................................................6
5 Контекст сферы здравоохранения..................................................................................................................7
    5.1 Владельцы сертификатов и доверяющие стороны в сфере здравоохранения................................ 7
    5.2 Примеры участников.................................................................................................................................. 7
    5.3 Применимость электронных сертификатов в здравоохранении........................................................ 8
6 Тробования к службам безопасности в медицинских приложениях........................................................... 9
    6.1 Особенности сферы здравоохранения....................................................................................................9
    6.2 Технические требования к применению электронных сертификатов в сфере
    здравоохранения............................................................................................................................................. 10
    6.3 Потребности, специфичные для здравоохранения, и отделение аутентификации
    от ш иф рования................................................................................................................................................11
    6.4 Управление информационной безопасностью в сфере здравоохранения с помощью
    электронных сертификатов.............................................................................................................................11
    6.5 Требования к политикам издания электронных сертификатов и их применению в здраво­
    охранении........................................                                                                                                             12
7 Криптография с открытым к л ю ч о м ............................................................................................................... 12
    7.1 Симметричная и асимметричная криптограф ия................................................................................. 12
    7.2 Электронные сертиф икаты .................................................................................................................... 12
    7.3 Электронные п о д п и с и .............................................................................................................................13
    7.4 Защита закрытого ключа..........................................................................................................................13
8 Применение электронных сертиф икатов.................................................................................................... 14
    8.1 Необходимые компоненты....................................................................................................................... 14
    8.2 Установление идентичности с помощью квалифицированных сертификатов................................ 15
    8.3 Установление специальности и ролей с помощью сертификатов идентичности...........................15
    8.4 Использование сертификатов атрибутов для авторизации и контроля д о с т у п а ........................... 16
9 Требования к взаимной приемлемости..........................................................................................................17
    9.1 Общие положения.....................................................................................................................................17
    9.2 Возможные варианты применения электронных сертификатов в международном
    и межрегиональном масштабе....................................................................................................................... 17
    9.3 Практическое применение вариантов.................................................................................................... 19
Приложение А (справочное) Сценарии использования электронных сертификатов в здраво­
              охранении ..................................................................................................................................20
Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов
             национальным стандартам Российской Федерации........................................................... 28
Библиография......................................................................................................................................................29
                                                                                                                                                                   ill

ГОСТ Р ИСО 17090-1—2015

                                          Введение

      Перед сферой здравоохранения стоит задача сокращения расходов путем перехода от бумажной
документации к автоматизированному электронному учету. Новые модели предоставления услуг
в сфере здравоохранения особо подчеркивают необходимость обмена информацией о пациенте между
все расширяющимся кругом медицинских специалистов, выходящим за рамки традиционных органи­
зационных барьеров.
      Медицинская информация, касающаяся отдельных граждан, обычно передается с помощью
электронной почты, доступа к удаленной базе данных, обмена данными в электронном виде и других
приложений. Интернет является высокоэффективным и доступным средством обмена информацией,
однако это также небезопасная среда, требующая принятия дополнительных мер для соблюдения
секретности и конфиденциальности информации. Угроза разглашения медицинской информации
вследствие несанкционированного доступа (случайного или преднамеренного) возрастает. Системе
здравоохранения необходимо иметь надежные средства защиты информации, минимизирующие риск
такого доступа.
      Как же в сфере здравоохранения обеспечивается соответствующая надежная и эффективная
защита при передаче данных через Интернет? Технологии инфраструктуры открытых ключей (ИОК)
и электронных сертификатов позволяют найти подход к решению данной проблемы.
      Правильное внедрение электронных сертификатов требует сочетания технологических, мето­
дических и административных процессов, обеспечивающих обмен конфиденциальными данными
в незащищенной среде при использовании метода «шифрования с открытым ключом» для защиты
информации при передаче и «сертификатов» для подтверждения идентичности человека или подлин­
ности объекта. В сфере здравоохранения в данной технологии применяются аутентификация, шифро­
вание и электронные подписи для облегчения конфиденциального доступа и передачи индивидуальных
медицинских документов, что отвечает как клиническим, так и административным потребностям.
Службы, предоставляемые в случае внедрения электронных сертификатов (включая шифрование,
целостность информации и электронные подписи), удовлетворяют многим требованиям к системам
безопасности. Особенно эффективным является использование электронных сертификатов в сочета­
нии с официальным стандартом защиты информации. Многие организации во всем мире приступили к
использованию электронных сертификатов для этой цели.
      Функциональная совместимость технологии электронных сертификатов и поддерживающих ее
политик, процедур и практических приемов имеет принципиальное значение, если обмен информации
должен происходить между организациями и медицинскими учреждениями разной подведомственности
(например, между больницей и районным терапевтом, работающими с одним и тем же пациентом).
      Обеспечение функциональной совместимости между разными схемами электронных сертифика­
тов требует создания системы доверия, при которой стороны, ответственные за неприкосновенность
личной жизни, могут опереться на методики и практические приемы и. как дополнение, на подлинность
электронных сертификатов, выданных другими уполномоченными органами.
      Многие страны внедряют электронные сертификаты для поддержки безопасного обмена инфор­
мацией в пределах своих национальных границ. Несовместимость методик и практических приемов
между органами, издающими сертификаты, и регистрационными органами разных стран проявляется,
если деятельность по разработке стандартов ограничена пределами национальных границ.
      Технология электронных сертификатов находится в стадии активного развития по определенным
направлениям, которые не ограничиваются только здравоохранением. Непрерывно проводится
важнейшая работа по стандартизации и. в некоторых случаях, по правовому обеспечению. С другой
стороны, поставщики медицинских услуг во многих странах уже используют или планируют исполь­
зовать электронные сертификаты. Настоящий стандарт призван удовлетворить потребность в управ­
лении данным интенсивным международным процессом.
      Настоящий стандарт содержит общие технические, эксплуатационные и методические требова­
ния, которые должны быть удовлетворены при использовании электронных сертификатов для защиты
обмена медицинской информацией в пределах одной сети, между сетями и за пределами границ одной
юрисдикции. Его основной целью является создание основы для глобального взаимодействия. Он изна­
чально предназначен для поддержки трансграничного обмена данными на основе электронных серти­
фикатов. однако может также служить руководством для внедрения электронных сертификатов в сфере
здравоохранения на национальном или региональном уровне. Интернет все шире используется как сре­
дство передачи медицинских данных между организациями здравоохранения и является единственным
реальным вариантом для трансграничного обмена данными в этой области.
IV