Раздел 3. Требования к информационной безопасности медицинских лабораторий

I. Условия окружающей среды

  1. Должны быть разработаны процедурные документы для обслуживания информационных систем, используемых для сбора, обработки, регистрации, представления отчетов, хранения или извлечения данных и информации об исследованиях, чтобы обеспечить их нормальную работу и создать необходимые экологические и эксплуатационные условия. Должна обеспечиваться и фиксироваться целостность данных и информации; компьютерные средства и оборудование должны содержаться в чистоте, а места их размещения и окружающая среда должны соответствовать соответствующим положениям (например, по вентиляции, статическому электричеству, температуре и влажности).

  2. Размещение компьютеров должно соответствовать требованиям пожарной безопасности.

  3. Должны быть предусмотрены защитные меры для электрических проводов и компьютерных кабелей, расположенных в зонах передвижения людей.

  4. Для серверов лабораторной информационной системы (ЛИС) и компьютеров, участвующих в обработке данных, должны быть предусмотрены источники бесперебойного питания (ИБП), чтобы предотвратить повреждение или потерю данных в ЛИС из-за внезапного отключения электроэнергии.

  5. Должны быть установлены положения и меры по предотвращению доступа неуполномоченных лиц к информационным средствам.

II. Руководства по процедурам

  1. Должны быть разработаны руководства по процедурам и рабочие инструкции для операционных систем компьютеров; они могут быть в электронной форме для удобства использования всеми уполномоченными пользователями компьютеров и должны быть доступны в месте выполнения работ.

  2. Должны быть четко описаны назначение компьютерных программ, режим их работы и взаимодействие с другими компьютерными программами. Уровень детализации должен быть достаточным для того, чтобы администраторы компьютерных информационных систем могли выполнять связанные работы по устранению неисправностей, вносить изменения в систему или, при необходимости, санкционированные модификации программ.

  3. Руководства по процедурам и рабочие инструкции для компьютерных систем должны периодически пересматриваться и утверждаться руководителем лаборатории или уполномоченным персоналом; используемые руководства по процедурам и рабочие инструкции для компьютерных систем должны быть актуальными и действующими.

  4. Должны быть установлены процедуры, обеспечивающие наличие мер по защите данных, информации и компьютерного оборудования в случае пожара, а также повреждения программного или аппаратного обеспечения.

III. Безопасность системы

  1. Пользователи ЛИС должны быть уполномочены. Авторизация в ЛИС должна быть детализированной, разрешения должны предоставляться персоналу, который получает доступ к данным пациентов, вводит результаты пациентов, изменяет результаты, изменяет счета или вносит изменения в компьютерные программы.

  2. Все лица, уполномоченные на доступ к лабораторной ЛИС, должны обеспечивать конфиденциальность информации о пациентах во всех компьютерах и информационных системах. Лаборатория и центр сетевого управления должны гарантировать, что: (1) разработаны и внедрены процедуры для постоянной защиты целостности данных во всех компьютерах и информационных системах; (2) компьютерные программы и другие методы достаточны для защиты процессов сбора, обработки, регистрации, представления отчетов, хранения или извлечения данных и информации об исследованиях, предотвращая случайный или неуполномоченный доступ, модификацию или уничтожение.

  3. Запрещается незаконная установка программного обеспечения на компьютерах лаборатории, а также использование USB-накопителей и других устройств для переноса данных.

  4. Если через компьютерную систему лаборатории можно получить доступ к информации из других компьютерных систем (например, систем аптеки или медицинских карт), должны быть предусмотрены соответствующие меры компьютерной безопасности для предотвращения неуполномоченного доступа к такой информации.

  5. Должны быть предусмотрены соответствующие меры компьютерной безопасности для предотвращения неуполномоченного доступа к любой лабораторной информации пациентов и ее неуполномоченного изменения через другие компьютерные системы (например, системы аптеки или медицинских карт).

  6. Данные, передаваемые по сетям как внутри учреждения, так и за его пределами, должны быть защищены от незаконного перехвата или приема.

IV. Ввод данных и представление отчетов

  1. Периодически следует проверять соответствие результатов итоговых отчетов об исследованиях в лабораторной информационной системе (ЛИС) исходным введенным данным, а также вести процедурные документы и записи для предотвращения ошибок при передаче данных. Периодически необходимо проверять данные на наличие ошибок, возникающих в процессе их обработки и хранения. Например: (1) периодически проверяется соответствие данных в системах запроса результатов исследований, таких как рабочие места врачей и медицинских сестер, исходным данным. (2) При подключении нового лабораторного прибора к ЛИС проводится определенное количество сопоставлений данных прибора и данных ЛИС.

  2. Периодически следует проверять несколько копий таблиц, хранящихся в разных системах (например, таблицы биологических референсных интервалов в ЛИС и госпитальной информационной системе (ГИС)), чтобы обеспечить соответствие всех копий в процессе их использования. Должны быть предусмотрены соответствующие процедуры репликации или сопоставления, а также проводиться периодические проверки.

  3. Лаборатория должна периодически проводить аудит и фиксировать процесс и результаты компьютерной обработки данных пациентов. Примечание: процесс и результаты обработки данных пациентов означают любые изменения, вносимые в записи пациентов на основе введенных данных, включая числовые расчеты, логические функции, автоматическую верификацию результатов и добавление примечаний.

  4. При вводе данных в компьютер или другую информационную систему ручным или автоматизированным способом правильность введенных данных проверяется и подтверждается до окончательного компьютерного рассмотрения и выпуска отчета. По возможности ввод результатов следует проверять на соответствие числовому диапазону, заранее определенному для конкретного вида исследования, чтобы выявить необоснованные или невозможные результаты до окончательного рассмотрения и выпуска отчета.

  5. Руководитель лаборатории должен рассматривать и утверждать содержание и формат лабораторных отчетов в ЛИС, а также запрашивать мнение клинического персонала.

  6. В ЛИС в штатном режиме должна действовать процедура рассмотрения отчетов. Руководство лаборатории или назначенные сотрудники несут ответственность за точную и оперативную передачу результатов исследований уполномоченным получателям, а также утверждают изменения в любой информационной системе, которые могут повлиять на оказание медицинской помощи пациентам.

  7. В ЛИС должна быть предусмотрена процедура, позволяющая выявлять необоснованные или невозможные результаты до выпуска отчета компьютером; после изменения данных пациентов исходные данные должны оставаться доступными для отображения. ЛИС должна обеспечивать возможность отображения исторических данных пациентов, чтобы персонал, проводящий исследования, мог сопоставлять данные тестов при рассмотрении отчетов.

  8. Формат отчетов в ЛИС должен предусматривать функцию добавления примечаний, таких как оценка качества образца и интерпретация результатов.

  9. ЛИС должна обеспечивать возможность идентификации и фиксации информации о персонале, который получал доступ к данным пациентов, контрольным документам или компьютерным программам или вносил в них изменения.

  10. В ЛИС должна быть предусмотрена процедура, позволяющая выявлять результаты с критическими значениями и выдавать раннее предупреждение до выпуска отчета компьютером, а также своевременно уведомлять клиническую службу по соответствующим регламентам (например, мигание экрана на рабочих местах врачей и медицинских сестер) и вести записи (включая дату и время получения клинической службой результата с критическим значением, само критическое значение, получателя результата с критическим значением, сотрудника, направившего уведомление, а также дату и время уведомления).

  11. В ЛИС должны быть реализованы функции выбора методик внутреннего контроля качества, анализа данных, построения диаграмм, запуска предупреждений и оповещения о состоянии выхода из-под контроля, а также функции хранения данных после выхода из-под контроля и исходных данных, ретроспективного анализа и статистической обработки.

  12. ЛИС должна обеспечивать функции отражения записей о времени, рабочем статусе, внештатных ситуациях и других сведений на всех этапах: от сбора, транспортировки и доставки образцов в лабораторию до проведения исследования и выпуска отчета.

  13. ЛИС должна иметь функции, отражающие складское хранение, выдачу, использование и инвентаризацию лабораторных расходных материалов, а также выдавать предупреждающие сигналы при нехватке расходных материалов.

V. Извлечение и хранение данных

  1. Данные о результатах пациентов и архивная информация, хранящиеся в информационных системах, должны быть легко доступны для запросов. Лаборатория должна определить срок хранения данных о результатах пациентов и архивной информации в своих информационных системах. Срок хранения должен соответствовать национальным требованиям к срокам хранения электронных медицинских карт. Метод извлечения и запроса данных должен быть согласован с клиническим персоналом.

  2. ЛИС должна иметь возможность полностью воспроизводить архивированные результаты исследований и другую необходимую дополнительную информацию, включая неопределенность измерений, биологические референсные интервалы, а также предупреждения, сноски или пояснительные замечания, прилагаемые к результатам исследований.

  3. При отсутствии других средств данные пациентов и лабораторные данные должны быть доступны для извлечения в «онлайн-режиме» в установленный срок.

  4. Должны быть разработаны процедурные документы для правильной маркировки и надлежащего хранения носителей данных, а также для предотвращения их использования неуполномоченными лицами.

  5. ЛИС должна выполнять резервное копирование данных о результатах пациентов.

VI. Аппаратное и программное обеспечение

  1. Должна быть установлена процедура проведения профилактического обслуживания всего компьютерного аппаратного обеспечения с ведением записей, доступных для ознакомления в любое время.

  2. После каждого резервного копирования или восстановления файлов данных система должна проверяться на наличие непреднамеренных изменений, а результаты проверки должны фиксироваться.

  3. Изменения, вносимые в аппаратное и программное обеспечение системы, должны быть точно идентифицированы и зафиксированы. Изменения аппаратного и программного обеспечения системы должны быть проверены для подтверждения их приемлемости.

  4. Все изменения в ЛИС, которые могут повлиять на медицинское обслуживание пациентов, например повторное рассмотрение отчетов, должны проходить проверку и утверждение с ведением соответствующих записей.

  5. При первой установке программы, а также после ее изменения или модификации должно проверяться и фиксироваться ее нормальное функционирование.

  6. Должны быть разработаны процедурные документы, позволяющие уполномоченному персоналу всех уровней выполнять устранение неисправностей, модификацию системы или программирование.

  7. Пользователи компьютеров должны проходить обучение, чтобы освоить работу с новыми системами и модифицированными существующими системами.

  8. Должен быть назначен ответственный сотрудник, который будет своевременно сообщать вышестоящим инстанциям о явных неисправностях компьютера и вести соответствующие записи.

VII. Обслуживание системы

  1. Лаборатория должна разработать процедуру периодической проверки всего компьютерного аппаратного обеспечения. Должен быть составлен график периодического технического обслуживания.

  2. Лаборатория должна внедрить эффективные меры резервного копирования для предотвращения потери данных пациентов из-за сбоев аппаратного или программного обеспечения. Эффективность резервных копий должна периодически проверяться.

  3. Лаборатория должна установить периодичность резервного копирования и срок хранения копий.

  4. Ошибки, обнаруженные при резервном копировании системы, и принятые корректирующие меры должны фиксироваться и сообщаться ответственному за работу лаборатории лицу.

  5. Система компьютерной сигнализации (обычно это главная компьютерная консоль, контролирующая работу аппаратного и программного обеспечения) должна периодически контролироваться и проверяться для обеспечения нормального функционирования.

  6. Должны быть разработаны процедурные документы, определяющие требования к выключению и перезапуску всей системы или ее части, чтобы обеспечить целостность данных, минимизировать влияние на услуги, предоставляемые лабораторией, и гарантировать нормальную работу системы после перезапуска.

  7. Должны храниться записи о периодическом техническом обслуживании, сервисных работах и ремонте, чтобы операторы могли отследить все работы, выполненные с любым компьютером.

  8. Должна быть составлена документация по принятию корректирующих мер при неисправностях компьютеров и их причинах, а также вестись соответствующие записи.

  9. Должен быть разработан письменный план реагирования на чрезвычайные ситуации в работе компьютерной системы.

VIII. Валидация информационных систем

  1. При использовании компьютеров для сбора, обработки, регистрации, формирования отчетности, хранения или извлечения данных лабораторных исследований лаборатория должна гарантировать, что компьютерное программное обеспечение, в том числе ПО общего назначения, применяемое в составе приборов или систем (например, приложения для обработки текстов или работы с электронными таблицами), прошло валидацию.

  2. При первичной установке, а также после плановых изменений или модификаций программы должны пройти валидацию до ввода в нормальную эксплуатацию.

  3. Любые изменения аппаратного или программного обеспечения системы подлежат валидации на пригодность для подтверждения осуществимости всех корректировок, при этом должны храниться соответствующие записи. Информация обо всех сотрудниках, которые добавляют или модифицируют программное обеспечение, подлежит обязательной регистрации.

IX. Восстановление данных

  1. Должны быть разработаны процедуры реагирования на простои других систем (например, больничной информационной системы) для обеспечения целостности данных пациентов. Также подлежат утверждению процедуры проверки восстановления работоспособности других систем, а также замены или обновления файлов данных.

  2. Все внеплановые остановки работы, периоды деградации функционирования системы (например, замедление времени отклика) и другие неисправности компьютерного оборудования, включая причины сбоев и принятые корректирующие меры, подлежат регистрации. Лаборатория должна оперативно сообщать обо всех серьезных компьютерных сбоях назначенным ответственным сотрудникам.

  3. Должен быть разработан письменный план действий в чрезвычайных ситуациях для реагирования на определенные инциденты и обеспечения возможности быстрого и эффективного выпуска отчетов о результатах исследований пациентов при выходе из строя компьютеров или других информационных систем.

X. Классифицированная защита безопасности информационных систем

1. Предпосылки разработки

По мере непрерывного развития информатизации медицинских организаций все виды рабочих процессов в больницах в той или иной степени переведены на сетевые информационные системы, а роль информационных систем в деятельности больниц становится все более значимой. Развитие и модернизация современных больниц неразрывно связаны с информатизацией; в случае атаки или нарушения защиты больничной информационной системы, из-за чего медицинская организация не может нормально осуществлять профильные медицинские мероприятия, высок риск возникновения социальных массовых инцидентов: например, утечки личной конфиденциальной информации пациентов (в том числе сведений о тяжелых заболеваниях), либо недовольства пациентов и организации беспорядков на территории больницы из-за приостановки работы системы регистрации. Поэтому вопрос обеспечения безопасности больничной информационной системы стал одной из ключевых задач в процессе информатизации медицинских организаций.

Для дальнейшего совершенствования системы защиты информационной безопасности больниц Министерство здравоохранения Китая, учитывая текущее состояние медицинской отрасли на современном этапе, издало «Руководящие указания по организации работ по классифицированной защите информационной безопасности в сфере здравоохранения» (№ 85 [2011]), в которых разъяснена взаимосвязь между институтом классифицированной защиты информационной безопасности и мерами по обеспечению информационной безопасности в медицинской отрасли. В соответствии с руководящими положениями этого документа основные бизнес-системы больниц третьего уровня класса А должны проектироваться и эксплуатироваться с соблюдением требований уровня 3 классифицированной защиты информационной безопасности.

2. Процесс организации работ по построению защиты

Работы по построению системы классифицированной защиты информационной безопасности больниц в основном разделяются на следующие этапы:

2.1 Классификационная экспертиза больничных информационных систем

В соответствии с профильными положениями о классифицированной защите информационной безопасности, при атаке или повреждении информационной системы степень последствий определяется по уровню вреда, причиненного национальной безопасности, общественному порядку и публичным интересам, а также законным правам и интересам граждан и физических лиц.

2.2 Постановка больничных информационных систем на учет

После прохождения классификационной проверки информационной системы больницы медицинская организация должна подать в местный компетентный орган здравоохранения «Форму постановки на учет в рамках классифицированной защиты безопасности информационных систем», «Отчет о классификации в рамках классифицированной защиты безопасности информационных систем» и сопутствующие документы. Орган здравоохранения направляет эти материалы в органы общественной безопасности уровня города и выше для прохождения процедуры постановки на учет и регистрации. Классификация информационной системы считается завершенной после получения расписки о принятии документов на учет.

2.3 Тестирование и оценка классифицированной защиты информационных систем больницы

После завершения классификации и постановки информационной системы на учет для проведения комплексной оценки ее состояния выбирают профессиональную организацию по тестированию и оценке, аккредитованную местным органом общественной безопасности и имеющую право на выполнение работ по тестированию и оценке в рамках классифицированной защиты информационной безопасности. Цель оценки — дать объективную характеристику возможностям информационной системы больницы по обеспечению защиты информации. В рамках работ проводятся проверки по направлениям физической безопасности, сетевой безопасности, безопасности приложений, безопасности данных, безопасности хостов и управления безопасностью. За базовый уровень безопасности принимаются базовые требования национальной системы классифицированной защиты информационной безопасности. По итогам проверок выносится объективное заключение о соответствии установленным требованиям, что позволяет дополнительно оценить текущие возможности системы по защите информации, а также угрозы и риски, с которыми она сталкивается. Результаты оценки служат надежной основой для устранения недостатков в сфере безопасности и дальнейшего построения системы защиты информации.

2.3.1 Показатели и методы оценки

Основные бизнес-системы больницы относятся к системам классифицированной защиты 3-го уровня. Показатели оценки безопасности включают в себя класс общих показателей 3-го уровня (G3), класс показателей безопасности бизнес-информации 3-го уровня (S3) и класс обеспечения доступности бизнес-сервисов 3-го уровня (A3), перечисленные в разделе 7.1 «Технические требования» документа «Базовые требования к классифицированной защите безопасности информационных систем».

При проведении выездной оценки применяются три вида методов: интервью, инспекции и тестирование. Интервью — это метод, при котором специалисты по оценке собирают доказательства в ходе обмена мнениями и дискуссий с персоналом, имеющим отношение к работе информационной системы. Инспекция представляет собой метод сбора доказательств специалистами по оценке путем наблюдения, изучения и анализа объектов оценки. Тестирование — это комплекс мероприятий, в рамках которых специалисты по оценке воздействуют на объекты оценки по заранее утвержденным методикам/с помощью специализированных инструментов для получения от них определенных реакций, после чего собирают доказательства путем изучения и анализа полученных выходных данных реакции. Основным инструментом проведения интервью является список вопросов для интервью. Специалисты по оценке последовательно отрабатывают вопросы из этого списка путем обмена мнениями и проведения обсуждений с персоналом, связанным с информационной системой, а на основе ответов опрашиваемых изучают и подтверждают состояние защиты информационной системы. Основным инструментом проверок является проверочный список. Специалисты по оценке последовательно отрабатывают вопросы из проверочного списка в ходе таких мероприятий, как наблюдение, экспертиза и анализ. В зависимости от объекта проверки проверки дополнительно подразделяются на экспертизу документации, наблюдение на месте и проверку конфигурации. В зависимости от используемых инструментов и порядка проведения тестирование дополнительно подразделяется на сбор информации, сканирование уязвимостей, тестирование на проникновение и криптографический анализ. Сбор информации подразумевает получение таких сведений, как имена функционирующих хостов/устройств, IP-адреса, данные об операционных системах, открытые порты служб и конкретные пакеты данных; сканирование уязвимостей — это автоматическое зондирование целевых устройств с помощью оборудования для сканирования уязвимостей с целью выявления ошибок конфигурации и известных уязвимостей безопасности на каждом открытом сетевом порту этих хостов/устройств; тестирование на проникновение имитирует методы атак, которые могут использовать хакеры, и предполагает попытки несанкционированного проникновения в информационную систему или получения доступа к дополнительным ресурсам в ней для прямой оценки состояния ее безопасности. Проведение сканирования уязвимостей и тестирования на проникновение информационной системы из разных точек доступа позволяет отразить состояние ее безопасности с разных ракурсов и точек зрения.

2.3.2 Поэлементная оценка

Объединение оценочных показателей и методов оценки с конкретными объектами оценки информационной системы формирует рабочие единицы, в отношении которых может проводиться отдельная оценка. Оценочная организация проводит отдельную поэлементную оценку по следующим направлениям: физическая безопасность, сетевая безопасность, безопасность хостовых систем, безопасность приложений, безопасность данных и резервное копирование/восстановление, организация управления безопасностью, системы управления безопасностью, управление безопасностью персонала, управление построением системы, управление эксплуатацией и техническим обслуживанием системы.

2.3.3 Общая оценка

После интеграции мер безопасности информационной системы в её состав возникают взаимосвязи типа соединения, взаимодействия, зависимости и координации как внутри отдельных уровней, так и между уровнями и между зонами безопасности. Благодаря этому общая функция безопасности информационной системы тесно связана с её структурой и носит интегральный характер в целом. Эти интегральные особенности не в полной мере отражаются в рабочих блоках отдельных мер безопасности. Поэтому на основе оценки мер безопасности необходимо проводить комплексную оценку интегрированной системы и среды её функционирования.

При оценке безопасности во взаимосвязи между отдельными мерами безопасности основное внимание уделяется эффектам взаимного влияния — таким как усиление, дополнение или ослабление функций, — которые возникают между различными мерами безопасности одного уровня. Например, аутентификация и управление доступом на уровне хостов тесно связаны между собой, поэтому необходимо учитывать эффекты их взаимного влияния и взаимодополнения.

Оценка безопасности между уровнями в основном учитывает эффекты взаимного влияния (усиление, дополнение и ослабление функций), возникающие между различными уровнями в пределах одной зоны. Например, сетевой уровень, уровень хост-систем и аспект управления эксплуатацией и техническим обслуживанием системы в рамках управления безопасностью тесно связаны между собой, поэтому необходимо учитывать эффекты их взаимного влияния и взаимодополнения.

Оценка безопасности между зонами в основном рассматривает эффекты взаимного влияния (усиление, дополнение и ослабление функций безопасности), которые возникают между различными взаимосвязанными и взаимодействующими зонами (включая физическое и логическое соединение), в особенности между двумя зонами, между которыми осуществляется обмен данными.

Оценка безопасности структуры системы в основном решает задачи проверки безопасности общей структуры информационной системы и обоснованности всего комплекса мер по её защите. Оценка безопасности общей структуры проводится на основе анализа физической компоновки, сетевой топологии, бизнес-логики (потока бизнес-данных), способов реализации и интеграции информационной системы. С учётом угроз, которые могут возникать на различных участках системы, и уязвимостей, которые могут быть выявлены, комплексно определяется обоснованность общей компоновки информационной системы, а также её безопасность и эффективность в целом. После изучения конкретных методов реализации и схемы развертывания мер защиты информационной системы, а также анализа (проводимого с учётом потока бизнес-данных) взаимосвязей между различными зонами, границами системы и мерами защиты, а также взаимосвязей между важными бизнес-процессами, ключевой информацией и мерами защиты, проводится сопоставление с требованиями эшелонированной обороны. Это позволяет определить, выделяются ли в системе мер безопасности информационной системы приоритетные направления и обеспечивается ли послойное усиление защиты, и на этой основе комплексно оценить обоснованность и адекватность всего комплекса мер защиты информационной системы.

2.4 Представление отчетности о результатах испытаний и устранение выявленных недостатков

После завершения оценки информационной системы медицинского учреждения оценочная организация выдает «Отчет о классифицированной оценке информационной системы». Медицинское учреждение должно направить указанный отчет в территориальный орган общественной безопасности для постановки на учет. В соответствии с результатами оценки, приведенными в отчете, с учетом таких стандартов, как «Основные требования к классифицированной защите безопасности информационных систем», и реалий практической работы медицинского учреждения, оно организует и проводит работы по построению системы безопасности и устранению недостатков в рамках классифицированной защиты, закрепляет корректирующие мероприятия за конкретными ответственными лицами и обеспечивает их полное завершение в запланированные сроки.

2.5 Формулирование системы управления классифицированной защитой больничной информации

Больница будет, опираясь на требования к управлению классифицированной защитой информационной безопасности и учитывая собственную реальную ситуацию, формировать свою систему управления классифицированной защитой информационной безопасности по следующим аспектам: организация управления информационной безопасностью, системы регламентов управления информационной безопасностью, безопасность информационного персонала, управление построением систем, а также управление эксплуатацией и техническим обслуживанием систем.

В целом система работ по построению классифицированной защиты информационной безопасности должна исходить из реальных потребностей и периодически проходить проверку на нормативное соответствие и рациональность построения. Нормативное соответствие подразумевает построение целостной системы информационной безопасности больницы под руководством требований политики: внедрение национальных стандартов классифицированной защиты; следование руководящим идеям Министерства здравоохранения по продвижению работ по построению классифицированной защиты; прохождение национальной оценки по классифицированной защите; а также выполнение роли пилотной и демонстрационной площадки для построения системы информационной безопасности и работ по организации классифицированной защиты в медицинской отрасли. Реальные потребности подразумевают проведение системного построения с учетом собственных требований больницы к развитию бизнеса и реальное повышение собственного уровня защиты информационной безопасности: обеспечение активной обороны от угроз внешних вторжений и предотвращение вредных последствий, вызванных нерегламентированными внутренними операциями; снижение сложности повседневной работы по управлению информацией и повышение эффективности эксплуатации и управления сложными гетерогенными информационными системами для достижения состояния, при котором «имеются нормы для соблюдения и доступные технологии для применения»; а также рациональное планирование и стандартизация построения уже построенных, вновь строящихся и планируемых к построению информационных систем.