ISO 27799 נותן הנחיות לניהול אבטחת מידע בבריאות. הוא מציב בקרות כלליות בהקשר שבו סודיות, דיוק הרשומות וזמינות השירות יכולים להשפיע גם על הטיפול.
מסתכלים מעבר להצפנה
בודקים מי יכול לעיין בתיק או לייצא אותו, איך נסקרות הרשאות, איך מתועדת פעילות ומה קורה כשהמערכת אינה זמינה או שמידע משתנה. הבקרות צריכות להתאים גם לצוות הקליני וגם ל־IT.
ממפים את המידע הרגיש
מזהים מערכות, ספקי ענן, גיבויים ובעלי גישה. קובעים כללים להעברת מידע רפואי לכלי AI או לאימייל אישי. למונח PHI משמעות מוגדרת במסגרת HIPAA בארה״ב; לא כל מידע רפואי בעולם כפוף אוטומטית לחוק הזה.
מתאימים לדרישת הלקוח
לקוח מחו״ל עשוי לדרוש הסמכה או דוח מסוימים. מבררים את ההיקף ואת הדרישה, בלי להניח שתקן אחד מחליף את האחרים.