وبلاگ
رازداری در ISO 17025؛ الزامات بند 4.2 و نکات ممیزی
رازداری در ISO 17025؛ الزامات بند 4.2 و نکات مهم ممیزی آزمایشگاه
رازداری در ISO 17025 یکی از الزامات اساسی برای آزمایشگاه‌های آزمون و کالیبراسیون است. مشتری زمانی می‌تواند اطلاعات فنی، نتایج آزمون، مشخصات محصول و سایر داده‌های حساس خود را با آزمایشگاه به اشتراک بگذارد که اطمینان داشته باشد این اطلاعات بدون مجوز افشا نمی‌شوند.
در استاندارد ISO/IEC 17025:2017، بند 4.2 با عنوان Confidentiality به مسئولیت آزمایشگاه در مدیریت اطلاعات، شرایط افشای اطلاعات محرمانه، حفاظت از هویت منابع اطلاعاتی و تعهد کارکنان و سایر افراد مرتبط می‌پردازد.
نکته مهم این است که رازداری فقط به امضای یک تعهدنامه محدود نمی‌شود. آزمایشگاه باید مسئولیت خود را در قبال اطلاعات به‌دست‌آمده یا ایجادشده در فعالیت‌های آزمایشگاهی مدیریت کند و بتواند نشان دهد که این مسئولیت در عمل رعایت می‌شود.
رازداری در ISO 17025 چیست؟
رازداری به معنای مدیریت مسئولانه اطلاعاتی است که آزمایشگاه در جریان فعالیت‌های خود دریافت می‌کند یا به وجود می‌آورد. این اطلاعات ممکن است شامل داده‌های مشتری، نتایج آزمون و کالیبراسیون، مشخصات نمونه، نقشه‌ها، فرمول‌ها، روش‌های اختصاصی، گزارش‌ها و مکاتبات فنی باشد.
بند 4.2 استاندارد، چهار موضوع اصلی را پوشش می‌دهد:
- مسئولیت آزمایشگاه برای مدیریت اطلاعات و تعهدات الزام‌آور مربوط به رازداری؛
- اطلاع‌رسانی و رعایت الزامات هنگام انتشار یا افشای اطلاعات؛
- حفاظت از اطلاعات مشتری که از منابعی غیر از خود مشتری دریافت شده است؛
- تعهد کارکنان، پیمانکاران و سایر افراد مرتبط به رعایت رازداری.
بنابراین، رازداری در ISO 17025 تنها یک موضوع اداری یا حقوقی نیست؛ بلکه بخشی از اعتماد مشتری به صلاحیت و عملکرد حرفه‌ای آزمایشگاه است.
بند 4.2.1؛ مسئولیت آزمایشگاه در قبال رازداری
بر اساس بند 4.2.1، آزمایشگاه باید از طریق تعهدات دارای قابلیت الزام قانونی، مسئولیت مدیریت همه اطلاعاتی را که در جریان فعالیت‌های آزمایشگاهی دریافت یا ایجاد می‌کند بر عهده داشته باشد.
همچنین آزمایشگاه باید مشتری را از قبل درباره اطلاعاتی که قصد دارد در دسترس عموم قرار دهد، مطلع کند. اطلاعاتی که مشتری خودش عمومی کرده یا انتشار آن با مشتری توافق شده است، از این قاعده مستثنا هستند؛ سایر اطلاعات، اصولاً اطلاعات اختصاصی محسوب می‌شوند و باید محرمانه تلقی شوند.
این الزام در عمل چه معنایی دارد؟
- مشخص باشد چه اطلاعاتی محرمانه‌اند و چه کسانی مجاز به دسترسی هستند.
- تعهدات رازداری در قراردادها، شرایط استخدام یا اسناد الزام‌آور مناسب پوشش داده شوند.
- گزارش‌ها و سوابق آزمایشگاهی در برابر دسترسی یا افشای غیرمجاز محافظت شوند.
- انتشار نام مشتری، نتیجه آزمون یا اطلاعات فنی او بدون بررسی مجوز و الزامات مربوط انجام نشود.
- مسئولیت آزمایشگاه حتی در صورت استفاده از پیمانکار یا خدمات فناوری اطلاعات بیرونی نادیده گرفته نشود.
برای مثال، اگر آزمایشگاه بخواهد نتیجه آزمون یک محصول را در وب‌سایت خود منتشر کند، نباید صرفاً به این دلیل که نتیجه از نظر فنی جالب است آن را عمومی کند. ابتدا باید مشخص شود آیا انتشار با مشتری توافق شده است یا اطلاعات قبلاً از سوی مشتری عمومی شده‌اند و آیا تعهدات قانونی یا قراردادی دیگری وجود دارد.
بند 4.2.2؛ چه زمانی افشای اطلاعات مجاز است؟
بند 4.2.2 شرایطی را پوشش می‌دهد که آزمایشگاه بر اساس قانون یا ترتیبات قراردادی مجاز یا ملزم به افشای اطلاعات محرمانه باشد. در این وضعیت، مشتری یا فرد مربوط باید از اطلاعات افشاشده مطلع شود، مگر آنکه قانون اطلاع‌رسانی را ممنوع کرده باشد.
بنابراین، رازداری به معنای خودداری مطلق از هرگونه افشا نیست. آزمایشگاه باید میان حفظ محرمانگی و تعهدات قانونی یا قراردادی خود تمایز قائل شود.
اقدامات پیشنهادی برای مدیریت افشا
- درخواست افشا و هویت درخواست‌کننده را ثبت کنید.
- مبنای قانونی یا قراردادی درخواست را بررسی کنید.
- مشخص کنید دقیقاً کدام اطلاعات باید ارائه شود.
- دسترسی یا افشا را به محدوده مجاز محدود کنید.
- اطلاع‌رسانی به مشتری یا فرد مربوط را انجام دهید، مگر آنکه قانون منع کرده باشد.
- مدارک بررسی، تأیید و اقدام انجام‌شده را نگهداری کنید.
برای نمونه، اگر مرجع قانونی صلاحیت‌دار طبق الزامات قابل اعمال اطلاعاتی را درخواست کند، آزمایشگاه نباید بدون بررسی درخواست را رد کند یا همه سوابق مشتری را بدون محدودیت ارسال کند. لازم است مبنا، دامنه و نحوه افشا مشخص و مستند باشد.
بند 4.2.3؛ اطلاعات مشتری که از منابع دیگر دریافت می‌شود
گاهی اطلاعات مربوط به مشتری از شخص یا نهادی غیر از خود مشتری دریافت می‌شود؛ برای مثال، از فردی که شکایت کرده یا از نهاد ناظر. طبق بند 4.2.3، اطلاعات مربوط به مشتری که از این منابع به دست آمده است باید بین آزمایشگاه و مشتری محرمانه بماند. هویت ارائه‌دهنده اطلاعات نیز باید نزد آزمایشگاه محرمانه باشد و نباید بدون توافق منبع به مشتری اعلام شود.
این الزام به‌ویژه در بررسی شکایت‌ها، گزارش‌های نظارتی و رسیدگی به اطلاعات حساس اهمیت دارد. آزمایشگاه باید هم اطلاعات مربوط به مشتری و هم هویت منبع اطلاعات را متناسب با این الزام مدیریت کند.
مثال کاربردی
فرض کنید شخصی اطلاعاتی درباره احتمال وجود اشکال در یک نمونه یا نتیجه آزمون به آزمایشگاه ارائه می‌کند. آزمایشگاه باید موضوع را مطابق فرآیندهای خود بررسی کند، اما نباید هویت منبع را بدون توافق او در اختیار مشتری قرار دهد؛ مگر آنکه الزامات قانونی قابل اعمال، وضعیت متفاوتی ایجاد کنند.
بند 4.2.4؛ رازداری کارکنان و سایر افراد مرتبط
بند 4.2.4 دامنه تعهد رازداری را به کارکنان آزمایشگاه محدود نمی‌کند. اعضای کمیته‌ها، پیمانکاران، کارکنان نهادهای بیرونی و اشخاصی که از طرف آزمایشگاه فعالیت می‌کنند نیز باید اطلاعاتی را که در جریان فعالیت‌های آزمایشگاهی دریافت یا ایجاد می‌کنند محرمانه نگه دارند؛ به‌جز مواردی که قانون اقتضا می‌کند.
در نتیجه، آموزش کارکنان به‌تنهایی کافی نیست. آزمایشگاه باید ترتیبات مناسبی داشته باشد تا افراد مرتبط از مسئولیت خود آگاه باشند و اطلاعات در طول انجام فعالیت‌ها و استفاده از سامانه‌ها حفاظت شود.
نمونه اقدام‌های کنترلی
- تعریف تعهد رازداری در قرارداد استخدام یا اسناد الزام‌آور مناسب؛
- آموزش کارکنان درباره اطلاعات محرمانه و روش‌های مجاز تبادل آن؛
- محدود کردن دسترسی به گزارش‌ها بر اساس نقش و نیاز کاری؛
- مدیریت دسترسی پیمانکاران و اشخاص بیرونی؛
- جلوگیری از ارسال گزارش‌های مشتری به ایمیل یا کانال‌های شخصی غیرمجاز؛
- حفاظت از نسخه‌های چاپی، فایل‌های الکترونیکی و نسخه‌های پشتیبان؛
- تعریف روش گزارش و رسیدگی به رخدادهای افشای اطلاعات.
مثال‌های کاربردی از نقض رازداری در آزمایشگاه
| موقعیت | ریسک رازداری | کنترل پیشنهادی |
|---|---|---|
| ارسال گزارش آزمون به گیرنده اشتباه | افشای نتیجه برای شخص غیرمجاز | کنترل گیرنده و تأیید هویت پیش از ارسال |
| انتشار نتیجه آزمون در شبکه اجتماعی | انتشار اطلاعات مشتری بدون مجوز یا توافق مناسب | بررسی مجوز، قرارداد و الزامات انتشار پیش از اقدام |
| دسترسی گسترده به پوشه نتایج | مشاهده اطلاعات توسط افراد فاقد نیاز کاری | سطح‌بندی دسترسی و بازبینی دوره‌ای مجوزها |
| واگذاری بخشی از فعالیت به پیمانکار | افشای اطلاعات به طرف بیرونی | تعیین تعهدات و کنترل دسترسی پیمانکار |
| افشای هویت شاکی یا منبع اطلاعات | نقض محرمانگی منبع | محدود کردن دسترسی و کنترل نحوه گزارش‌دهی |
وجود هر یک از این موقعیت‌ها به‌تنهایی لزوماً اثبات‌کننده عدم انطباق نیست؛ ممیز باید الزام قابل اعمال، شواهد عینی، نحوه کنترل آزمایشگاه و وضعیت واقعی را بررسی کند. با این حال، این مثال‌ها نقاط مناسبی برای ارزیابی اثربخشی کنترل‌های رازداری هستند.
چگونه رازداری در ISO 17025 را در آزمایشگاه اجرا کنیم؟
برای اجرای اثربخش الزامات بند 4.2، آزمایشگاه می‌تواند مجموعه اقدام‌های زیر را متناسب با نوع فعالیت، ریسک اطلاعاتی و الزامات قانونی و قراردادی خود طراحی کند.
۱. تعیین اطلاعات محرمانه و مسئولیت‌ها
مشخص کنید چه اطلاعاتی در آزمایشگاه دریافت یا ایجاد می‌شوند، چه افرادی به آن‌ها نیاز دارند و چه محدودیت‌هایی برای استفاده یا انتشار آن‌ها وجود دارد.
۲. تدوین ترتیبات اجرایی رازداری
روش اجرایی یا سیاست رازداری می‌تواند نحوه دریافت، دسترسی، استفاده، ارسال، انتشار، نگهداری و رسیدگی به رخدادهای افشای اطلاعات را روشن کند. نام و شکل سند به‌تنهایی تعیین‌کننده انطباق نیست؛ مهم این است که الزامات استاندارد در عمل رعایت و قابل اثبات باشند.
۳. مدیریت تعهدات کارکنان و پیمانکاران
تعهدات لازم را در اسناد مناسب بگنجانید و اطمینان حاصل کنید کارکنان و سایر افراد مرتبط، مسئولیت‌های خود را می‌شناسند. امضای تعهدنامه می‌تواند یکی از شواهد باشد، اما به‌تنهایی جایگزین کنترل‌های اجرایی نیست.
۴. کنترل دسترسی فیزیکی و دیجیتال
برای فایل‌ها، گزارش‌ها، سامانه‌های آزمایشگاهی، نسخه‌های پشتیبان و اسناد چاپی، دسترسی متناسب با مسئولیت افراد تعریف کنید. در محیط دیجیتال، مدیریت حساب‌های کاربری، حذف دسترسی افراد جداشده و ثبت رویدادهای مهم می‌تواند بخشی از کنترل‌ها باشد.
۵. تعیین روش افشا و اطلاع‌رسانی
فرآیند مشخصی برای درخواست‌های قانونی یا قراردادی افشای اطلاعات داشته باشید. این فرآیند باید بررسی مبنا، تعیین دامنه اطلاعات، تأیید مسئول مجاز، ثبت اقدام و اطلاع‌رسانی در موارد لازم را پوشش دهد.
۶. آموزش، پایش و بهبود
کارکنان را با مثال‌های واقعی و متناسب با فعالیت آزمایشگاه آموزش دهید. رخدادها، خطاهای ارسال، دسترسی‌های نامناسب و شکایت‌های مرتبط را تحلیل کنید و در صورت نیاز، کنترل‌ها را بهبود دهید.
ممیزی رازداری در ISO 17025؛ ممیز چه شواهدی را بررسی کند؟
ممیزی رازداری نباید فقط به پرسش «آیا کارکنان تعهدنامه را امضا کرده‌اند؟» محدود شود. ممیز باید بررسی کند آزمایشگاه چگونه الزامات بند 4.2 را در فعالیت‌های واقعی مدیریت می‌کند.
شواهدی که می‌توانند با توجه به دامنه ممیزی بررسی شوند عبارت‌اند از:
- تعهدات قانونی و قراردادی مرتبط با رازداری؛
- روش‌ها یا ترتیبات اجرایی مربوط به حفاظت و افشای اطلاعات؛
- سوابق آموزش و آگاهی کارکنان؛
- نمونه‌ای از مجوزهای دسترسی به سوابق و گزارش‌ها؛
- نحوه کنترل دسترسی پیمانکاران و افراد بیرونی؛
- سوابق درخواست‌های افشا و اطلاع‌رسانی‌های لازم؛
- نحوه حفاظت از اطلاعات دریافت‌شده از منابع غیر از مشتری؛
- سوابق رخدادها، شکایت‌ها و اقدام‌های انجام‌شده در صورت وجود.
برای جمع‌آوری شواهد، ممیز می‌تواند مصاحبه، مشاهده، بررسی مستندات و نمونه‌برداری از سوابق را به کار گیرد. بررسی باید متناسب با ریسک و فعالیت آزمایشگاه باشد و از دسترسی غیرضروری ممیز به اطلاعات محرمانه مشتریان نیز جلوگیری شود.
چک‌لیست ارزیابی رازداری در ISO 17025
- آیا مسئولیت آزمایشگاه برای مدیریت اطلاعات روشن و قابل اثبات است؟
- آیا تعهدات دارای قابلیت الزام قانونی متناسب با فعالیت‌ها وجود دارد؟
- آیا مشتری درباره اطلاعاتی که قرار است عمومی شوند، از قبل مطلع می‌شود؟
- آیا افشای اطلاعات بر اساس قانون یا قرارداد بررسی و مستند می‌شود؟
- آیا اطلاع‌رسانی به مشتری یا فرد مربوط، در موارد لازم انجام می‌شود؟
- آیا اطلاعات مشتری دریافت‌شده از منابع دیگر محرمانه نگه داشته می‌شود؟
- آیا هویت منبع اطلاعات بدون توافق او افشا نمی‌شود، مگر در صورت اقتضای قانون؟
- آیا کارکنان، پیمانکاران و سایر افراد مرتبط از تعهد رازداری آگاه‌اند؟
- آیا کنترل‌های دسترسی و تبادل اطلاعات در عمل اجرا می‌شوند؟
- آیا شواهد کافی برای اثبات اجرای این ترتیبات وجود دارد؟
این چک‌لیست ابزار کمکی برای ممیزی است و جایگزین متن کامل استاندارد، الزامات قانونی یا ارزیابی شواهد واقعی نمی‌شود.
جمع‌بندی: رازداری، پایه اعتماد به آزمایشگاه
رازداری در ISO 17025 به معنای ایجاد تعهدی واقعی برای مدیریت مسئولانه اطلاعات است. بند 4.2 مسئولیت آزمایشگاه، نحوه برخورد با افشا، حفاظت از اطلاعات دریافت‌شده از منابع دیگر و تعهد کارکنان و افراد مرتبط را پوشش می‌دهد.
برای اجرای اثربخش این الزام، آزمایشگاه باید از سطح تعهدنامه و مستندات فراتر برود و کنترل‌های مناسب را در فرآیندهای روزمره، سامانه‌های اطلاعاتی، ارتباط با مشتریان و همکاری با پیمانکاران جاری کند.
رازداری زمانی اثربخش است که آزمایشگاه نه‌تنها درباره حفظ اطلاعات تعهد بدهد، بلکه بتواند با شواهد روشن نشان دهد اطلاعات در عمل چگونه محافظت می‌شوند.
برای مطالعه بیشتر، به صفحه رسمی استاندارد ISO/IEC 17025:2017 مراجعه کنید. همچنین راهنمای کاربردی UNIDO درباره اجرای ISO/IEC 17025:2017 می‌تواند برای درک بهتر الزامات مفید باشد.
برای مطالعه موضوعات مرتبط با سیستم‌های مدیریتی و ممیزی، از وب‌سایت امیر مالیان بازدید کنید و لینک مقاله مرتبط با ممیزی یا سیستم‌های مدیریت آزمایشگاه را در این بخش قرار دهید.
سؤالات متداول درباره رازداری در ISO 17025
رازداری در ISO 17025 در کدام بند آمده است؟
الزامات رازداری در بند 4.2 استاندارد ISO/IEC 17025:2017 قرار دارد و شامل مسئولیت مدیریت اطلاعات، افشای مجاز، اطلاعات دریافتی از منابع دیگر و تعهد کارکنان و افراد مرتبط است.
آیا امضای تعهدنامه محرمانگی برای انطباق کافی است؟
خیر. تعهدنامه می‌تواند بخشی از شواهد باشد، اما آزمایشگاه باید مسئولیت مدیریت اطلاعات را به‌طور مؤثر اجرا کند و بتواند شواهد مناسب از کنترل دسترسی، نحوه افشا، آموزش و سایر ترتیبات مرتبط ارائه دهد.
آیا آزمایشگاه در هیچ شرایطی اجازه افشای اطلاعات مشتری را ندارد؟
خیر. در شرایطی که قانون یا ترتیبات قراردادی افشای اطلاعات را ایجاب یا مجاز کند، آزمایشگاه باید الزامات مربوط را رعایت کند و در موارد مقرر مشتری یا فرد مربوط را مطلع سازد، مگر آنکه قانون اطلاع‌رسانی را ممنوع کرده باشد.
آیا رازداری فقط شامل کارکنان رسمی آزمایشگاه است؟
خیر. بند 4.2.4 کارکنان، اعضای کمیته‌ها، پیمانکاران، کارکنان نهادهای بیرونی و اشخاصی را که از طرف آزمایشگاه فعالیت می‌کنند نیز در بر می‌گیرد.
ممیز برای ارزیابی رازداری باید چه چیزی را بررسی کند؟
ممیز باید شواهدی متناسب با بند 4.2 بررسی کند؛ از جمله تعهدات مربوط، کنترل‌های اجرایی، آگاهی کارکنان، مدیریت دسترسی‌ها، نحوه برخورد با افشا و حفاظت از اطلاعات دریافتی از منابع دیگر. نتیجه ممیزی باید بر شواهد عینی استوار باشد.
سؤال برای شما: در آزمایشگاه شما، کدام بخش از رازداری چالش‌برانگیزتر است؛ تعهد کارکنان، کنترل دسترسی به گزارش‌ها، تبادل اطلاعات با مشتری یا مدیریت درخواست‌های قانونی برای افشا؟ دیدگاه خود را در بخش نظرات بنویسید.
