의료기기가 통합된 IT네트워크에 대한 위험 관리의 적용 — 제2-2부: 의료기기의 보안 요구사항, 위험, 통제에 대한 공개 및 통신을 위한 지침
医疗器械网络风险管理应用 - 第2-2部分:医疗器械安全需求披露与沟通的指导意见 风险与控制
发布日期:
2015-08-05
KS X IEC TR 80001的该部将公开管理连接医疗器械和IT网络所伴随的风险所需的安全相关功能,并为围绕KS X IEC 80001-1的风险管理制定安全检查框架。该安全报告提供了高级别的通用安全相关功能,这些功能有助于理解用户的需求、需要考虑的安全控制类型和控制中伴随的风险。如果恰当地利用该条款的目的,并利用局部因素,可以决定对风险进行检查(交换意见)的有用和切实的功能。该报告中描述的功能为以下机构在管理风险(RISK)和风险时,讨论它们的作用和责任提供了基础。a)医疗服务机构(HDO)b)医疗器械制造商(MDMs)c IT供应自风险合作伙伴(RISK Partners)之间的这种意见交换,如KS X IEC 80001-1中所述,作为对一个或多个责任议定书(RESPONSIBILITY AGREEMENT)的根基。
该报告提供了安全相关功能的广泛说明,说明了任何特定设备或设备的使用必须遵守一个或多个附加详细规定。这通常是特定场合或特定用途,有时需要应用风险和安全控制标准。在KS X IEC 80001-1标准化介绍过程中,该报告中的安全功能特别为与医疗IT网络集成的设备提供了安全控制的通用和简单分类。该列表不是为了配置或支持可以在其他ISO标准中确认的基于IT安全标准的控制和认证和保证相关的程序(例如,KS X ISO/IEC15408)。该报告没有包含提案或产品安全公开书要求的准确、充分的细节。但是,在医疗器械或IT设备组件的购买和集成过程中,可以用于分类和结构,以系统化足够的细节要求,以便进行沟通。
换句话说,该报告应该作为充分讨论和协商风险管理初期集成项目的基础。另外,保安只存在于机关的保安政策脉络中。a)医疗服务机构(HDO)的安全政策和b)医疗器械制造者的商品和服务的安全政策不在该报告的范围之内。此外,该技术报告不涉及需要选择性保护个人信息或健康信息公开的临床案例。
KS X IEC TR 80001의 이 부는 의료기기와 IT네트워크를 연결하는 데 수반되는 위험을 관리하기 위해 필요한 보안관련 기능의 공개 및 네트워크 연결을 위한 KS X IEC 80001-1의 위험관리를 둘러싼 보안 점검을 위한 프레임워크를 조성한다. 이 보안 보고서는 사용자의 요구, 고려하여야 할 보안 통제유형들, 통제에 수반되는 위험사항들을 이해하는 데 유용한 높은 수준의 일반적인 보안관련 역량들을 제시한다. 이 조항의 목적에 합당하게 이용하고 국부적인 요인들을 활용하면, 위험에 관한 점검(의견 교환)을 하는 데 유용하고 확실한 기능을 결정할 수 있다.이 보고서에 기술된 기능들은 아래 기관들에게 위험(RISK)과 위험을 관리할 때, 그들의 역할과 책임을 논의할 기초를 제공한다.a) 의료 서비스 기관(HDO)b) 의료기기 제조업체(MDMs)c) IT 공급자위험 파트너들(RISK partners) 간에 이런 의견 교환은 KS X IEC 80001-1에서 명시된 것과 같이 하나 또는 다수의 책임약정서(RESPONSIBILITY AGREEMENT)에 대한 근간으로 이용된다.이 보고서는 어떤 특정 기기 혹은 기기의 사용이 하나 이상의 추가적인 상세한 규정을 지켜야 하는 보안관련 기능에 대한 폭넓은 설명을 제공한다. 이것은 흔히 특정 장소용 또는 특정 용도이며, 위험 및 보안 통제 표준을 적용할 필요가 있는 경우도 있다.KS X IEC 80001-1 표준화 소개 과정에서, 이 보고서의 보안 역량들은 특별히 의료 IT네트워크와 통합된 기기들에 적합한 보안 통제의 공통적이고 간단한 분류를 제공한다. 이 목록은 다른 ISO 표준들에서 확인될 수 있는 IT 보안 표준기반 통제 및 인증과 보증에 관련된 프로그램을 구성하거나 지원하기 위한 것은 아니다(예: 정보기술 보안 평가에 대한 공통평가기준을 가진 KS X ISO/IEC 15408). 이 보고서는 제안서나 제품의 보안 공개서 요구사항의 정확하고 충분한 세부사항들을 포함하고 있지 않다. 그러나 의료기기 또는 IT 장비 구성요소에 대한 구매와 통합과정에서 의사소통을 위해 충분한 세부 요구사항을 체계화하기 위한 분류와 구조에는 사용될 수 있다. 다시 말해서, 이 보고서는 위험관리 초기통합 프로젝트에 충분한 논의와 합의를 위한 기초로서 사용되어야 한다. 또한 보안은 오직 기관의 보안 정책 맥락 속에서 존재한다.a) 의료 서비스 기관(HDO)의 보안정책들과b) 의료기기제조자의 상품과 서비스의 보안정책들은이 보고서의 범위 안에 포함되지 않는다. 추가적으로 이 기술보고서는 개인정보 혹은 건강정보에 대한 공개를 선택적인 보호할 필요가 있는 임상적 사례들을 다루지 않는다.