Приложение А (справочное). Пример шаблона документации

Приложение А
(справочное)

Пример шаблона документации

     А.1 Введение

     Стороны, совместно использующие информацию, должны общими  усилиями

 создать  единый   шаблон   документации,   охватывающий     все аспекты

 информационной   безопасности   взаимодействующих   систем     и других

 компонентов.

     Шаблон документации, представленный в настоящем приложении,  должен

 рассматриваться как пример построения шаблона документации.

     А.2 Описание информационных систем и информационного обмена

     В настоящем разделе должны быть объявлены  цели  и  способы  обмена

 информацией. Кроме того, все стороны должны описать  в  данном  разделе

 свои  информационные  системы  и  другие  компоненты,     участвующие в

 информационном обмене.

     А.3 Административный раздел шаблона документа

     Формат документа может изменяться в зависимости от среды, в которой

 он будет использоваться. В одних случаях он может  быть   представлен в

 форме html-документов, в других - в бумажной форме. Настоящий формат, в

 который вставлены комментарии и пояснения,  предназначен  исключительно

 для  того,  чтобы  проиллюстрировать  составляющие,     необходимые для

 создания эффективной документации, прилагаемой к соглашению.

     Версия шаблона документа N.........................................

     Дата:..............................................................

     Зона безопасности N 1

 -----------------------------------------------------------------------

     Лицо, ответственное за составление документа.......................

     Взаимодействующие системы:.........................................

                               .........................................

                               .........................................

     Взаимодействующие приложения:......................................

                                  ......................................

                                  ......................................

     Рамки совместного доступа и ограничения доступа к информации:

     ...................................................................

     ...................................................................

     Зона безопасности N 2

 -----------------------------------------------------------------------

     Лицо, ответственное за составление документа.......................

     Взаимодействующие системы:.........................................

                               .........................................

                               .........................................

     Взаимодействующие приложения:......................................

                                  ......................................

                                  ......................................

     Рамки совместного доступа и ограничения доступа к информации:

     ...................................................................

     ...................................................................

 -----------------------------------------------------------------------

     А.4 Оценочный раздел шаблона документа

     А.4.1 Схема классификации

     Примеры классификаций, которые помогут при документировании систем,

 участвующих в информационном обмене.

     Примеры  вопросов,  служащих  для  уточнения  конкретных   деталей,

 касающихся данного конкретного обмена информацией.

     Очень  важно,  чтобы   при   организации   обмена     информацией в

 соответствии с настоящим стандартом обе стороны использовали одинаковые

 классификации  и  один  и  тот  же  набор   вопросов.     Это облегчает

 согласование документации всеми сторонами.

     Также  важно  задокументировать  как  текущую       ситуацию, так и

 ожидаемый/необходимый уровень безопасности при передаче информации.

     Такой способ документирования позволит  выявить  слабые   стороны и

 другие проблемы с конфигурацией. Он также создает базис  для  взаимного

 соглашения сторон  о  том,  что  должно  быть  сделано  для  достижения

 надежной передачи информации, либо основу, на  которой  стороны  смогут

 начать совместное использование информации с учетом известных проблем.

     Каждая сторона заполняет вопросник.  В  шаблоне  предусмотрены  два

 столбца с ответами на каждый вопрос. Первый столбец озаглавлен "Текущее

 состояние", второй - "Согласовано". В  первом  столбце  стороны  должны

 ответить  "да"  или  "нет"  на  вопрос  о  том,  имеет  ли   их система

 определенные качества, или выбрать один из нескольких вариантов ответа,

 указанных в вопросе, соответствующий  их  системе.  Во  втором  столбце

 стороны ставят отметку, если их система удовлетворяет политикам  защиты

 обмена информацией, согласованным как для зоны 1, так и для зоны 2.

     Категории защиты:

     0 - не присвоена;

     1 - несекретная;

     2 - для служебного пользования;

     3 - конфиденциальная;

     4 - секретная;

     5 - совершенно секретная.

     А.4.2 Классификация подлежащей обмену информации по уровню защиты

А.4.2.1 Способ идентификации пациента	Текущее состояние	Согласовано
1 Фамилия, имя, отчество пациента
2 Идентификационный номер пациента
3 Фамилия, имя, отчество и идентификационный номер
4 Иное (опишите):

А.4.2.2 Способ идентификации медицинского работника	Текущее состояние	Согласовано
1 Фамилия, имя, отчество пациента
2 Идентификационный номер пациента
3 Фамилия, имя, отчество и идентификационный номер
4 Иное (опишите):

А.4.2.3 Способ получения информированного согласия пациента	Текущее состояние	Согласовано
1 Информированное согласие пациента не используется
2 Информированное согласие пациента запрашивается
3 Информированное согласие пациента запрашивается и проверяется пациентом
4 Иное (опишите):

А.4.2.4 Защита персональных данных пациента	Текущее состояние	Согласовано
1 Пациент не информирован об обмене данными
2 Пациент информируется об обмене данными в устной форме
3 Пациент получает письменную информацию об обмене данными
4 Иное (опишите):

А.4.2.5 Идентификация информации	Текущее состояние	Согласовано
1 Установлен ли метод обмена информацией?

А.4.2.6 Локализация информации	Текущее состояние	Согласовано
1 Установлена ли процедура локализации, подлежащей обмену?

А.4.2.7 Целостность информации

Идентификация передачи	Текущее состояние	Согласовано
1 Включен ли в сообщение идентификатор ответственного отправителя?
2 Имеет ли каждое сообщение уникальный идентификатор?
3 Шифруются ли данные при передаче?
4 Регистрируется ли идентификатор ответственного получателя?

А.4.2.8 Защита информации от искажения и/или изменения

Группы, предложенные ниже, представляют собой некоторые примеры анализа проблемы и могут быть изменены в зависимости от обстоятельств подготовки документации. Могут также группироваться различные сочетания для отражения местной ситуации.

Верификация передачи	Текущее состояние	Согласовано
1 Ведется ли журнал регистрации идентификаторов отправителя?
2 Используется ли обратная передача данных для сравнения?
3 Используется ли проверка контрольной суммы?
4 Ведется ли регистрационный журнал идентификаторов лиц, подтверждающих получение сообщения?
5 Ведется ли регистрационный журнал идентификаторов лиц, подтверждающих получение сообщения, и посылается уведомляющее сообщение отправителю?

Класс прослеживаемости	Текущее состояние	Согласовано
1 Журнал передачи данных отсутствует
2 Ведется журнал, подтверждающий, что передача данных имела место, без возможности восстановления переданных данных в случае потери
3 Ведется журнал, подтверждающий, что передача данных имела место, с возможностью восстановления переданных данных в случае потери
4 Верификация идентичности системы-отправителя
5 Верификация идентичности системы-получателя

А.4.3 Контрольные таблицы по безопасности

А.4.3.1 Примеры вопросов к отделу информационной безопасности	Текущее состояние	Согласовано
1 Имеются ли документированные требования к обеспечению безопасности и секретности данного обмена данными?
2 Имеются ли документированные требования к правам доступа для данного типа обмена данными?

А.4.3.2 Примеры вопросов к отделу эксплуатации системы	Текущее состояние	Согласовано
1 Имеется ли графическое представление системы и взаимодействующих компонентов для данного обмена информацией?
2 Имеется ли защита от несанкционированного доступа к информации?
3 Имеются ли антивирусные средства?
4 Имеются ли соглашения, четко описывающие ответственность каждой стороны, обеспечивающей сопровождение системы?
5 Имеются ли документированные регламенты отчетов о нарушениях и других проблемах при обмене информацией?
6 Имеются ли документированные правила ужесточения ответственности, если после отчета о нарушении никакие меры не были приняты?
7 Имеются ли документированные регламенты управления инновациями и изменениями системы и ее процессов?
8 Имеются ли документированные регламенты резервного копирования, восстановления и архивирования?
9 Имеются ли документированные средства и процедуры по регистрации происшествий?
10 Имеются ли документированные правила установки исправлений и перехода на новые версии программного обеспечения?
11 Имеются ли документированные альтернативные регламенты на случай неисправностей, продолжающихся длительное время?

А.4.3.3 Примеры вопросов к владельцу системы	Текущее состояние	Согласовано
1 Имеется ли документация по функциям системы, используемым пользователем?
2 Имеются ли четкое описание потоков данных между различными процессами и описание форматов транзакций обмена данными с другими системами?
3 Имеется ли руководство пользователя системы?
4 Имеются ли документированные регламенты оценки эффективности системы и получения предложений по ее улучшению?
5 Имеются ли протоколы, правила принятия и документированные регламенты перехода на новую систему или на новую версию системы?
6 Существуют ли специальные правила обращения с особо важной информацией?

А.4.4 Административные контрольные таблицы

А.4.4.1 Авторизация	Текущее состояние	Согласовано
1 Используют ли обе стороны аналогичную структуру авторизации?
2 Если нет, то существует ли схема полного отображения одной структуры на другую?

А.4.4.2 Структура ролей	Текущее состояние	Согласовано
1 Используют ли обе стороны аналогичную структуру ролей?
2 Если нет, то существует ли схема полного отображения одной структуры на другую?

А.4.4.3 Делегирование прав	Текущее состояние	Согласовано
1 Имеют ли организации одинаковое делегирование прав?
2 Если нет, то имеют ли организации полную схему отображения для делегирования прав?

А.4.4.4 Период достоверности	Текущее состояние	Согласовано
1 Имеют ли организации одинаковую структуру периода достоверности?
2 Синхронизируют ли организации периоды достоверности?

А.4.4.5 Аутентификация пользователей/ролей	Текущее состояние	Согласовано
1 Применяют ли обе организации аутентификацию пользователей/ролей?
2 Если да, идентичны ли системы аутентификации?
3 Если нет, существует ли схема отображения аутентификаций, применяемых в системах?

А.4.4.6 Доступ	Текущее состояние	Согласовано
1 Используются ли в обеих системах одинаковые роли для прав доступа?
2 Если нет, то существует ли схема полного отображения между ролями для прав доступа, используемыми в системах?

А.4.4.7 Срок действия соглашения (см. В.3.14)

А.4.4.8 Этические правила	Текущее состояние	Согласовано
1 Одинаковы ли в обеих организациях этические правила?
2 Если нет, то существует ли схема отображения этических правил организаций?

А.4.4.9 Защищенный регистрационный журнал	Текущее состояние	Согласовано
1 Используются ли в обеих организациях одинаковые правила ведения регистрационных журналов?

А.4.4.10 Аудиторская проверка	Текущее состояние	Согласовано
1 Используют ли обе организации одинаковые правила относительно того, когда, кем и как анализируются записи регистрационных журналов?

А.4.4.11 Анализ рисков	Текущее состояние	Согласовано
1 Используют ли обе организации одинаковые системы обнаружения рисков и управления ими?
2 Если нет, то существует ли соглашение между организациями относительно того, как должны осуществляться обнаружение рисков и управление ими?

А.4.4.12 Непрерывность и управление чрезвычайными ситуациями	Текущее состояние	Согласовано
1 Выработаны ли и согласованы обеими организациями общие правила и регламенты действий в случае сбоев?

А.4.4.13 Развитие систем	Текущее состояние	Согласовано
1 Существует ли соглашение о развитии действующих систем?