YY/T 1843-2022 PDF en français (YYT1843-2022)

Livraison : 3 secondes. Télécharger le vrai PDF + Facture.
Obtenez un DEVIS en 1 minute : Cliquez sur YY/T 1843-2022
Versions historiques : YY/T 1843-2022
Aperçu True-PDF (Recharger/Défiler si vide)

YY/T 1843-2022 : Exigences de base en matière de cybersécurité pour les équipements électromédicaux
Année civile 1843-2022
Oui
NORME DE L'INDUSTRIE PHARMACEUTIQUE
DE LA RÉPUBLIQUE POPULAIRE DE CHINE
ICS 11.040.01
CCS C 30
Exigences de base en matière de cybersécurité pour les équipements électriques médicaux
équipement
PUBLIÉ LE : 18 MAI 2022
Mis en œuvre le : 01 juin 2023
Publié par : National Medical Products Administration
Table des matières
Avant-propos ... 3
Présentation ... 4
1 Portée ... 5
2 Références normatives ... 5
3 Termes et définitions ... 5
4 Exigences générales ... 10
5 Méthodes d'essai ... 22
Annexe A (normative) Exigences relatives au processus de test des capacités de sécurité ... 23
Annexe B (informative) Pertinence entre ce document et d’autres documents . 27
Annexe C (informative) Orientations et justifications pour des clauses spécifiques ... 28
Annexe D (informative) Considérations concernant les données personnelles sensibles dans ce
document ... 36
Références ... 38
Exigences de base en matière de cybersécurité pour les équipements électriques médicaux
équipement
1 Portée
Ce document spécifie les exigences de base en matière de cybersécurité des établissements médicaux.
équipements électriques, systèmes électriques médicaux et logiciels de dispositifs médicaux.
Ce document s'applique aux équipements électriques médicaux et aux systèmes électriques médicaux.
et logiciel de dispositif médical avec fonctions d'accès utilisateur, d'échange de données électroniques
ou télécommande.
2 Références normatives
Il n'y a pas de références normatives dans ce document.
3 Termes et définitions
Les termes et définitions suivants s’appliquent au présent document.
3.1 Sécurité
Ne présentez pas de risque inacceptable pour les personnes, les biens ou l’environnement.
[Source : ISO/IEC GUIDE 51:2014, 3.14, modifié]
3.2 Confidentialité
La caractéristique selon laquelle l'information n'est pas disponible ou divulguée à des personnes non autorisées
personnes, entités ou processus.
[Source : GB/T 29246-2017, 2.12]
3.3 Logiciels malveillants
Logiciel conçu pour perturber de manière malveillante le fonctionnement normal, collecter des données sensibles,
et/ou accéder à d’autres systèmes connectés.
3.4 Pare-feu
Un produit de sécurité réseau qui analyse le flux de données transmis et réalise l'accès
fonctions de contrôle et de protection de sécurité.
3.5 Risque
La combinaison de la probabilité d’occurrence d’une blessure et de la gravité de celle-ci
blessure.
[Source : YY/T 0316-2016, 2.16]
3.6 Analyse des risques
Le processus d'utilisation systématique des informations disponibles pour identifier les dangers (sources)
et estimer les risques.
[Source : YY/T 0316-2016, 2.17]
3.7 Contrôle des risques
Le processus de prise de décisions et de mise en œuvre de mesures visant à réduire les risques ou
maintenir le risque à un niveau spécifié.
[Source : YY/T 0316-2016, 2.19]
3.8 Gestion des risques
L'application systématique des politiques, procédures et pratiques de gestion des risques
analyse, évaluation, contrôle et suivi.
[Source : YY/T 0316-2016, 2.22]
3.9 Données personnelles sensibles
Les informations personnelles qui, une fois divulguées, fournies illégalement ou utilisées à mauvais escient, peuvent
mettre en danger les informations personnelles et la sécurité des biens et peut facilement entraîner des dommages ou
traitement discriminatoire à l’égard de la réputation personnelle, de la santé physique et mentale.
Remarque 1 : Les données personnelles sensibles peuvent inclure un numéro d’identification, des informations biographiques personnelles,
numéro de compte bancaire, enregistrements et contenu des communications, propriété
informations, informations de crédit, localisation, informations d'hébergement,
informations sur la santé et la physiologie, informations sur les transactions et informations personnelles
informations concernant les enfants de moins de 14 ans.
Remarque 2 : Dans la norme GB/T 35273-2020, il s'agit d'informations personnelles sensibles. Étant donné que cela
le document réglemente principalement les données, il est réécrit sous forme de données dans ce document.
Remarque 3 : Pour la méthode de détermination et le type de données personnelles sensibles, reportez-vous à
Annexe B de la norme GB/T 35273-2020.
[Source : GB/T 35273-2020, 3.2, modifié]
3.10 Accès d’urgence
Par le traitement technique des données personnelles sensibles, la personne concernée
les données sensibles ne peuvent être identifiées ou associées et les informations traitées
ne peut pas être restauré.
[Source : GB/T 35273-2020, 3.14, modifié]
3.17 Désidentification
Par le traitement technique des données personnelles sensibles, la personne concernée
les données sensibles ne peuvent être identifiées ou associées sans informations supplémentaires.
Remarque : la désidentification est basée sur les individus, en conservant la granularité individuelle,
et en utilisant des moyens techniques tels que les pseudonymes, le cryptage et le hachage
fonctions permettant de remplacer l’identification des données personnelles sensibles.
[Source : GB/T 35273-2020, 3.15, modifié]
3.18 Données sur l'équipement
Données décrivant l'état de fonctionnement de l'équipement, qui sont utilisées pour surveiller et
contrôler le fonctionnement de l'équipement ou assurer la maintenance de l'équipement, et
n'implique pas de données personnelles sensibles elles-mêmes.
3.19 Journalisation d'audit
Données sur les événements de sécurité de l'information, qui sont collectées à des fins d'examen et d'analyse,
ainsi qu'un suivi continu.
[Source : GB/T 25068.1-2020, 3.4]
3.20 Capacité de sécurité
Mesures techniques – basées sur la gestion des risques – permettant de disposer de données sur les produits et/ou
fonctions pour avoir des niveaux acceptables de confidentialité, d'intégrité, de disponibilité et d'autres
fonctionnalités de cybersécurité.
Remarque : Dans ce document, afin de distinguer les caractères chinois de sécurité et
la sécurité, la sécurité s'appelle cybersécurité, et la sécurité s'appelle sécurité.
[Source : IEC/TR 80001-2-2:2012, 3.27, modifié]
3.21 Description des capacités de sécurité
Le document – ​​clarifiant la capacité de sécurité du produit – dont le principal
le but est de servir de base au testeur pour tester le produit.
Remarque : La forme de la description des capacités de sécurité – qui n’est pas spécifiée dans ce document
document – ​​peut être un document, un ensemble de documents ou une partie d’un document.
3.22 Intégrité
L'attribut selon lequel les données ne doivent pas être modifiées de manière non autorisée car elles sont
créé, transmis ou stocké.
[Source : ISO/CEI 29167-19:2016, 3.40]
3.23 Réseau informatique
Un ou plusieurs systèmes constitués de nœuds de communication et de liaisons de transmission, pour
fournir une liaison physique ou une transmission sans fil entre deux ou plusieurs
nœuds de communication.
[Source : IEC/TR 80001-2-2:2012, 3.10]
3.24 Logiciel de dispositif médical
Un système logiciel développé inclus dans un dispositif médical, ou un système logiciel
développé pour être utilisé comme dispositif médical lui-même.
[Source : YY/T 0664-2020, 3.11]
3.25 Équipements électromédicaux
Équipement ME
Équipement électrique qui possède une partie appliquée ou qui transmet ou obtient de l'énergie à l'
patient ou détecte l'énergie transmise ou obtenue. Ces équipements électriques :
a) n'a pas plus d'une connexion à un réseau d'alimentation électrique spécifié ; et
b) son fabricant a l'intention de l'utiliser pour :
1) le diagnostic, le traitement ou le suivi des patients ; ou
2) éliminer ou réduire la maladie, les dommages ou le handicap.
[Source : GB 9706.1-2020, 3.63]
3.26 Système électrique médical
Système ME
Une combinaison de plusieurs appareils fonctionnellement connectés ou reliés à
entre eux par une prise multiposition selon les prescriptions du fabricant. Au moins
l'une des combinaisons est un équipement ME.
[Source : GB 9706.1-2020, 3.64]
3.27 Réseau informatique médical
4.1.1.3 La description de la capacité de sécurité doit clarifier la capacité de sécurité
selon l'application du produit, conformément aux exigences de
4.1.4 ~ 4.1.20.
4.1.1.4 Les caractéristiques de cybersécurité énoncées dans la description des capacités de sécurité
doit être testable ou vérifiable.
4.1.2 *Classification
4.1.2.1 Selon le type de réseau d'accès attendu, il peut être divisé en
produits censés accéder au réseau privé et au réseau public.
4.1.2....