Готовое решение: Как обеспечить информационную безопасность медорганизации

Как обеспечить информационную безопасность медорганизации

Чтобы обеспечить информационную безопасность вашей медорганизации, примите организационные, правовые и технические меры, направленные на защиту информации, в том числе персональных данных, врачебной и коммерческой тайны.

Эти меры нужны, чтобы предотвратить несанкционированный доступ к информации и неправомерные действия с ней, например ее уничтожение или распространение.

В частности, назначьте ответственных лиц, примите локальные документы, которые устанавливают порядок обращения с информацией, обеспечьте контроль за соблюдением требований.

Если вы владеете объектами критической информационной инфраструктуры, выполните специальные требования к их защите.

Оглавление:

1. Что обеспечивает информационную безопасность медорганизации

2. Каковы требования к программно-техническим средствам медицинской информационной системы медорганизации

3. Какие меры нужно принять, если медорганизация — субъект критической информационной инфраструктуры

1. Что обеспечивает информационную безопасность медорганизации

Информационную безопасность вашей медорганизации обеспечивает система организационных, правовых и технических мер, направленных на защиту информации, в том числе конфиденциальной, от неправомерного или случайного доступа к ней, ее копирования, уничтожения, распространения или др. Защите подлежат персональные данные, врачебная и коммерческая тайна и другие сведения (п. п. 1, 4, 5 Перечня, утвержденного Указом Президента РФ от 06.03.1997 № 188, п. 1 ч. 1 ст. 16 Закона об информации, ч. 1 ст. 19 Закона о персональных данных, п. 4 ч. 1 ст. 79 Закона об охране здоровья).

Вы обязаны принять перечисленные меры как обладатель информации и (или) оператор информационной системы, например медицинской (МИС МО) (п. 2 ч. 4 ст. 6, ч. 4 ст. 16 Закона об информации, ч. 3 ст. 91 Закона об охране здоровья).

Система таких мер должна обеспечить, в частности, следующее (ч. 4 ст. 16 Закона об информации, ч. 5 ст. 18 Закона о персональных данных):

исключение несанкционированного доступа к информации и (или) ее передачи лицам, не имеющим права на доступ к ней;

постоянный контроль за уровнем защищенности информации;

размещение на территории РФ баз данных, с использованием которых происходят сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ;

своевременное обнаружение фактов несанкционированного доступа к информации;

возможность незамедлительно восстановить информацию, измененную или уничтоженную из-за несанкционированного доступа к ней.

1.1 Как защитить персональные данные

Вам нужно обеспечить защиту персональных данных всех субъектов, чьи данные вы обрабатываете: пациентов, их представителей, ваших работников, членов их семей и других лиц. Принимайте одинаковые меры в отношении персональных данных субъектов всех категорий.

Для защиты данных, в том числе в информационных системах персональных данных (ИСПДн), примите организационные и другие меры (ч. 1 ст. 18.1, ч. 1 ст. 19 Закона о персональных данных).

В частности, назначьте ответственных лиц, разработайте и введите в действие документы по обработке и защите персональных данных, установите контроль за их исполнением.

В ИСПДн реализуйте требования к защите данных в зависимости от необходимого уровня их защищенности (п. 2 ч. 2 ст. 19 Закона о персональных данных).

Конкретный состав и содержание мер по защите персональных данных в ИСПДн определите в соответствии с Приказами ФСТЭК России от 18.02.2013 № 21 и ФСБ России от 10.07.2014 № 378. Учтите также требования к защите информации в отдельных информационных системах, например ГИС (ч. 4 ст. 19 Закона о персональных данных, ч. 5 ст. 16 Закона об информации).

1.2 Как защитить врачебную тайну

Обеспечьте защиту врачебной тайны, в том числе при ведении персонифицированного учета, с помощью тех же мер, которыми обеспечивали защиту персональных данных и иных видов информации (п. 5 ст. 78, ч. 4 ст. 92 Закона об охране здоровья, п. 1 ч. 1, ч. 4 ст. 16 Закона об информации).

Основная цель таких мер — исключить доступ к врачебной тайне неуполномоченных лиц и любые неправомерные действия с такими сведениями, в том числе нарушение их конфиденциальности (ч. 2 ст. 13, п. 4 ч. 1 ст. 79 Закона об охране здоровья).

1.3 Как установить режим коммерческой тайны и обеспечить ее защиту

Чтобы установить режим коммерческой тайны, сделайте следующее (ч. 1 ст. 10 Закона о коммерческой тайне):

определите информацию, которая имеет для вас действительную или потенциальную коммерческую ценность в силу того, что она неизвестна третьим лицам. Это может быть план развития, методология обучения персонала и контроля качества услуг и т.п. Некоторые сведения нельзя включать в состав такой тайны;

установите локальным документом, например положением о коммерческой тайне, порядок обращения с данной информацией и контроль за его соблюдением, ограничив свободный доступ к ней;

введите учет лиц, имеющих доступ к такой информации, и (или) лиц, которым она предоставлена (передана);

урегулируйте отношения по использованию коммерческой тайны на основании трудовых договоров с работниками и гражданско-правовых договоров с контрагентами;

нанесите гриф «Коммерческая тайна» на материальные носители с такой информацией или включите этот гриф в состав реквизитов документов, содержащих ее.

Если вы не примете какую-либо из этих мер, режим коммерческой тайны не будет введен. Исключение в перечне мер установлено для ИП, не имеющих работников, с которыми заключены трудовые договоры (ч. 2, 3 ст. 10 Закона о коммерческой тайне).

С момента установления данного режима вы вправе, например (ч. 1, п. п. 3 — 5 ч. 2 ст. 6.1 Закона о коммерческой тайне):

разрешать или запрещать доступ к коммерческой тайне, определять порядок доступа и его условия;

требовать от лиц, получивших доступ к такой информации (в том числе в результате случайных действий или по ошибке), включая органы власти, соблюдать обязанности по охране ее конфиденциальности.

Для защиты коммерческой тайны проведите мероприятия с работниками, которые в силу трудовых обязанностей имеют к ней доступ. В частности, ознакомьте их под расписку с перечнем информации, которая составляет коммерческую тайну, режимом этой тайны и мерами ответственности за его нарушение. Создайте условия для соблюдения ими данного режима, например установите сейф для хранения документов и используйте программные средства защиты информации (ч. 4 ст. 10, ч. 1 ст. 11 Закона о коммерческой тайне).

2. Каковы требования к программно-техническим средствам медицинской информационной системы медорганизации

Программно-технические средства МИС МО должны отвечать, в частности, таким требованиям (пп. «а», «в», «г», «д», «ж», «з» п. 9 Требований, утвержденных Приказом Минздрава России от 24.12.2018 № 911н):

быть сертифицированными ФСБ России и (или) ФСТЭК России в отношении средств защиты информации в их составе, включая программно-аппаратные средства, средства антивирусной и криптографической защиты информации, а также средства защиты информации от несанкционированного доступа и неправомерных действий с ней;

обеспечивать хранение медицинской документации в форме электронных документов с резервным копированием документов и их метаданных, а также восстановление документов и метаданных из резервной копии;

обеспечивать в автоматизированном режиме протоколирование и хранение сведений о предоставлении доступа, операциях с документами и метаданными, фиксацию в электронных журналах точного времени и фактов, связанных с размещением, изменением и удалением информации, содержания вносимых изменений;

располагаться на территории РФ;

обеспечивать размещение информации в ЕГИСЗ и взаимодействие с информационными системами в сфере здравоохранения.

Защитите информацию в МИС МО в соответствии с законодательством РФ об информации, информационных технологиях и защите информации и законодательством РФ в области персональных данных (п. 7 Требований № 911н).

3. Какие меры нужно принять, если медорганизация — субъект критической информационной инфраструктуры

Если ваша медорганизация — субъект критической информационной инфраструктуры (КИИ), вы должны выполнять ряд обязанностей (ч. 2 ст. 9 Закона о безопасности КИИ).

Примите также, в частности, следующие меры(пп. «а», «б», «д», «е» п. 1, п. 6 Указа Президента РФ от 01.05.2022 № 250):

возложите на заместителя руководителя полномочия по обеспечению информационной безопасности, включая обнаружение, предупреждение и ликвидацию последствий компьютерных атак. Создайте структурное подразделение (например, отдел) по обеспечению информационной безопасности либо наделите такими функциями имеющееся подразделение.

Закрепите полномочия заместителя руководителя и функции структурного подразделения в положениях о них;

обеспечьте возможность должностным лицам ФСБ России проводить в установленном порядке мониторинг защищенности информационных ресурсов, принадлежащих вашей медорганизации либо используемых в вашей деятельности, а также исполняйте указания по результатам такого мониторинга;

реализуйте организационные и технические меры, решения о которых поступают от ФСБ России и ФСТЭК России с учетом актуальных информационных угроз;

исключите использование средств защиты информации из недружественных иностранных государств либо от организаций-производителей, которые находятся под их юрисдикцией, прямо или косвенно подконтрольны им или аффилированы с ними. Не используйте сервисы (работы, услуги) по обеспечению информационной безопасности, предлагаемые такими организациями.

Если среди объектов КИИ у вас есть значимые объекты, вы обязаны, в частности (п. п. 1, 5, 7 ч. 3 ст. 9 Закона о безопасности КИИ):

соблюдать Требования, установленные Приказами ФСТЭК России от 21.12.2017 № 235 и от 25.12.2017 № 239;

использовать на таких объектах ПО, отвечающее определенным требованиям;

непрерывно взаимодействовать с ГосСОПКА в предусмотренном Порядке.

Какие организационно-распорядительные документы по обеспечению безопасности значимых объектов КИИ должна принять медорганизация

Если ваша медорганизация — владелец значимых объектов КИИ организации сферы здравоохранения, для обеспечения их информационной безопасности рекомендовано принять или издать следующие документы (п. 4 ч. 1, п. 1 ч. 2, п. 3 ч. 3 ст. 9 Закона о безопасности КИИ, п. п. 8, 9, 22, 23 Требований № 235, п. п. 12.3, 13.5, 13.6 Требований № 239):

план проведения мероприятий по обеспечению безопасности значимых объектов КИИ;

план реагирования на компьютерные инциденты и ликвидации последствий компьютерных атак;

регламент реагирования на инциденты информационной безопасности (компьютерные инциденты);

приказ о назначении лиц и (или) определении подразделений, ответственных за обеспечение безопасности объектов КИИ;

должностные инструкции (регламенты работы) таких ответственных лиц (подразделений) при обеспечении безопасности значимых объектов КИИ;

инструкции для оператора (пользователя, системного администратора) по применению средств защиты информации;

положение, определяющее порядок и правила обеспечения безопасности значимых объектов КИИ;

правила (регламент) разграничения доступа субъектов доступа (например, пользователей) к объектам доступа (ПО, программно-аппаратным средствам, линиям связи и др.);

инструкцию по реагированию на компьютерные инциденты;

план мероприятий по обеспечению безопасности значимого объекта КИИ на случай нештатной ситуации.

---