ГОСТ Р МЭК 80001-1-2015

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

НАЦИОНАЛЬНЫЙ ГОСТР МЭК
СТАНДАРТ 80001-1—

РОССИЙСКОЙ
ФЕДЕРАЦИИ 2015

Информатизация здоровья

МЕНЕДЖМЕНТ РИСКОВ В ИНФОРМАЦИОННО-
ВЫЧИСЛИТЕЛЬНЫХ СЕТЯХ С МЕДИЦИНСКИМИ
ПРИБОРАМИ

Часть 1

Роли, ответственности и действия

IEC 80001-1:2010
Application of risk management for IT-networks incorporating medical

devices — Part 1: Roles, responsibilities and activities
(IDT)

Издание официальное

Москва
Стандартинформ
‚=. 2016

ГОСТР МЭК 80001-1—2015

Предисловие

1 ПОДГОТОВЛЕН Федеральным государственным бюджетным учреждением «Центральный на-
учно-исследовательский институт организации и информатизации здравоохранения Министерства
здравоохранения Российской Федерации» (ЦНИИОИЗ Минздрава} и Федеральным бюджетным учреж-
‘дением «Консультационно-внедренческая фирма в области международной стандартизации и серти-
фикации «Фирма «ИНТЕРСТАНДАРТ» на основе собственного аутентичного перевода на русский язык
международного стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 468 «Информатизация здоровья» при
ЦНИИОИЗ Минздрава — постоянным представителем ISO ТС 215

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре-
гулированию и метрологии России от 28 декабря 2015 г. № 2222-ст

4 Настоящий стандарт идентичен международному стандарту МЭК 80001-1:2010 «Менеджмент
рисков в информационно-вычислительных сетях с медицинскими приборами. Часть 1. Роли, ответ-
ственности и действия» (IEC 80001-1:2010 «Application of risk management for IT-networks incorporating
medical devices — Part 1: Roles, responsibilities and activities»).

Наименование настоящего стандарта изменено относительно наименования указанного между-
народного стандарта для приведения в соответствие с ГОСТ Р 1.5 (подраздел 3.5}

5 ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0—2012 (раздел 8).
Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на
1 января текущего года) информационном указателе «Национальные стандарты», а официальный
текст изменений и поправок — в ежемесячном информационном указателе «Национальные стан-
Зарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее
‘уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя’
«Национальные стандарты». Соответствующая информация. уведомление и тексты размещают-
ся также в информационной системе общего пользования — на официальном сайте Федерального.
агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

© Стандартинформ. 2016

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас-
пространен в качестве официального издания без разрешения Федерального агентства по техническо-
му регулированию и метрологии

ГОСТР МЭК 80001-1—2015

Содержание

1 Область применения ..
2 Термины и определения.
3 Роли и ответственности...
3.1 Общие положения
3.2 ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ ..
3.3 Ответственность ВЫСШЕГО РУКОВОДСТВА.
3.4 СПЕЦИАЛИСТ ПО УПРАВЛЕНИЮ РИСКАМИ в МЕДИЦИНСКОЙ ИТ-СЕТИ
3.5 Производители МЕДИЦИНСКИХ ПРИБОРОВ
3.6 Поставщики прочих информационных технологи:
4 МЕНЕДЖМЕНТ РИСКОВ в жизненном цикле МЕДИЦИНСКИХ ИТ-СЕТЕЙ .
4.1 Обзор .....
4.2 МЕНЕДЖМЕНТ РИСКОВ. осуществляемый ОТВЕТСТВЕННОЙ ОРГАНИЗАЦИЕЙ
4.3 Планирование и документальное оформление МЕНЕДЖМЕНТА РИСКОВ в
МЕДИЦИНСКОЙ ИТ-СЕТИ ......
4.4 МЕНЕДЖМЕНТ РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ
4.5 УПРАВЛЕНИЕ ИЗМЕНЕНИЯМИ И ВЕРСИЯМИ и УПРАВЛЕНИЕ КОНФИГУРАЦИЕЙ.
4.6 МЕНЕДЖМЕНТ РИСКОВ в действующей сети
5 Управление документацией ....
5.1 Процедура управления документацией
5.2 ФАЙЛ МЕНЕДЖМЕНТА РИСКОВ в МЕДИЦИНСКОЙ ИТ-СЕТИ
Приложение А (справочное) Обоснование .....
Приложение В (справочное) Обзор отношений при реализации МЕНЕДЖМЕНТА РИСКОВ
Приложение С (справочное} Об области применения настоящего стандарта.
Приложение О (справочное) Связь с [10]
Библиография ..

фочимлиию +

ГОСТР МЭК 80001-1—2015

Введение

Все большее число МЕДИЦИНСКИХ ПРИБОРОВ проектируется для электронного обмена дан-
ными с другим оборудованием пользователя, включая также и различные МЕДИЦИНСКИЕ ПРИБОРЫ.
Обмен подобной информацией осуществляется через информационную сеть (ИТ-СЕТЬ), предназна-
ченной для передачи данных более общего характера.

В то же время ИТ-СЕТИ становятся все более востребованными для формирования информаци-
онной среды клиники и используются для передачи разнообразной информации: от жизненно-важных
‘данных о пациенте, требующих немедленной передачи и ответа, до информации об общей деятель-
ности компании и электронной почты с возможно вредоносным содержанием (например. вирусами).

Во многих юрисдикциях проектирование и производство МЕДИЦИНСКИХ ПРИБОРОВ подчиня-
‘ется техническим регламентам и стандартам, признаваемым регулирующими государственными орга-
нами, которые традиционно уделяют особое внимание производителям МЕДИЦИНСКИХ ПРИБОРОВ
и требуют. чтобы МЕДИЦИНСКИЕ ПРИБОРЫ соответствовали их конструктивным характеристикам. а
ПРОЦЕСС проектирования и изготовления МЕДИЦИНСКИХ ПРИБОРОВ был документально оформ-
лен. МЕДИЦИНСКИЕ ПРИБОРЫ не могут быть выпущены в продажу в этих юрисдикциях без подтверж-
‘дения соответствия данным требованиям.

Использование МЕДИЦИНСКИХ ПРИБОРОВ персоналом медицинского учреждения также под-
чиняется техническим регламентам. Лица из персонала медицинского учреждения. использующие МЕ-
ДИЦИНСКИЕ ПРИБОРЫ, должны быть соответственно подготовлены и квалифицированы, а также они
должны уделять наибольшее внимание выполнению определенных ПРОЦЕССОВ, специально разра-
‘ботанных для защиты пациентов от недопустимого РИСКА.

В то же время, включение МЕДИЦИНСКИХ ПРИБОРОВ в ИТ-СЕТИ клиники является наименее
регулируемой областью деятельности. В соответствии с [1] если предполагается подключение МЕДИ-
ЦИНСКОГО ПРИБОРА к ИТ-СЕТИ, то производители МЕДИЦИНСКИХ ПРИБОРОВ должны включать в
'СОПРОВОДИТЕЛЬНЫЕ ДОКУМЕНТЫ всю необходимую информацию. Существуют также общие стан-
‘дарты по информационным технологиям, включающие планирование, проектирование и обслуживание
ИТ-СЕТЕЙ, например [9]. Тем не менее до публикации настоящего стандарта ни один из стандартов не
затрагивал вопрос о том. как МЕДИЦИНСКИЕ ПРИБОРЫ могут быть подключены к ИТ-СЕТЯМ, вклю-
чая ИТ-СЕТИ общего назначения, для достижения ИНТЕРОПЕРАБЕЛЬНОСТИ без ущерба для орга-
низации и предоставления медицинских услуг. осуществляющихся с обеспечением БЕЗОПАСНОСТИ,
ЭФФЕКТИВНОСТИ, а также ЗАЩИЩЕННОСТИ ДАННЫХ И СИСТЕМЫ.

Существует ряд возможных проблем, связанных с подключением МЕДИЦИНСКИХ ПРИБОРОВ
в ИТ-СЕТИ:

- не рассматривается РИСК от применения ИТ-СЕТЕЙ при оценке уровня РИСКА клиники;

- отсутствует поддержка производителями МЕДИЦИНСКОГО ПРИБОРА процесса подключения их
‘изделия к ИТ-СЕТИ (например, недоступны или недостаточно надежны данные, предоставляемые про-
изводителем ОПЕРАТОРУ ИТ-СЕТИ);

- МЕДИЦИНСКИЕ ПРИБОРЫ работают неправильно или частично выполняют свои функции
(например, из-за несовместимости или ненадлежащей конфигурации) в результате их объединения с
другим оборудованием в одной ИТ-СЕТИ;

- МЕДИЦИНСКИЕ ПРИБОРЫ работают неправильно вследствие объединения ПРОГРАММНОГО
ОБЕСПЕЧЕНИЯ МЕДИЦИНСКИХ ПРИБОРОВ и других приложений (например, открытых систем обме-
на электронной почтой или компьютерных игр) в одной ИТ-СЕТИ;

- отсутствие у многих МЕДИЦИНСКИХ ПРИБОРОВ управления безопасностью;

- противоречие между необходимостью строгого управления изменениями в МЕДИЦИНСКИХ
ПРИБОРАХ и необходимостью быстрой реакции на угрозу кибератаки.

Если эти проблемы появляются, то они вызывают непредвиденные последствия. Настоящий стан-
‘дарт предназначен для ОТВЕТСТВЕННЫХ ОРГАНИЗАЦИЙ, производителей МЕДИЦИНСКИХ ПРИБО-
РОВ и поставщиков других информационных технологий.

Положения нормативных и справочных разделов настоящего стандарта основаны на следующих
принципах:

- Подключение или отключение МЕДИЦИНСКОГО ПРИБОРА или других компонентов к ИТ-СЕТИ
‘должно выполняться в соответствии с предварительно выполненным проектом; проектирование может
быть выполнено без участия производителя МЕДИЦИНСКОГО ПРИБОРА.

№