Статья: Как аптеки должны организовать кибербезопасность. Свое ПО ближе
Актуально на 08.11.2026.
Как цитировать: Статья: Как аптеки должны организовать кибербезопасность. Свое ПО ближе. https://bukva.ai/docs/statya-kak-apteki-dolzhny-organizovat
(Кубрина Т.)
(«Фармацевтический вестник», 2024, № 15)
Обратной стороной всеобщей цифровизации внутренних и внешних аптечных сервисов является возрастающая потребность в их киберзащите. Регуляторы разработали целый ряд мер, направленных на обеспечение информационной безопасности значимых для государства предприятий. В их число попал и фармбизнес. «ФВ» разобрал, какие обязанности есть у аптек как объектов критической информационной инфраструктуры.
Что такое КИИ
Вопросы информационной безопасности из личного дела организации стали делом государственным в 2018 году, когда вступил в силу Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (Закон о КИИ). Он устанавливает для организаций требования по обеспечению безопасности критической информационной инфраструктуры, к которой относятся информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления и сети электросвязи, обеспечивающие работу этих систем. Иными словами, это Закон о противодействии компьютерным атакам и инцидентам на внутренние и внешние ПО организаций.
К субъектам КИИ относятся не только государственные и муниципальные органы власти, а также госпредприятия и госкорпорации, но и представители частного бизнеса, которые работают в наиболее значимых отраслях экономики. Среди них сферы здравоохранения, науки, транспорта, связи, банковская и финансовая сферы, а также различные промышленные предприятия, например металлургия и химпром.
Относятся ли к КИИ аптеки и дистрибьюторы? На практике принадлежность организации к той или иной сфере деятельности определяется кодами ОКВЭД, и формально некоторые аптеки могут считать, что торговые коды освобождают их от дополнительных обязанностей.
Но здесь нужно вспомнить заложенную в ст. 29 ФЗ-323 структуру системы здравоохранения, которая представлена государственными, муниципальными и частными подсистемами, каждая из которых включает фармацевтические организации.
В 2021 году Минздрав России выпустил Методические рекомендации по категорированию объектов критической информационной инфраструктуры сферы здравоохранения. Они распространяют свое действие на все организации сферы здравоохранения. Перечень таких организаций установлен в приложении № 3, в п. V которого указаны фармацевтические организации, осуществляющие оптовую и розничную торговлю, перевозку, хранение и изготовление лекарств.
Масштаб бизнеса для его отнесения к субъектам КИИ роли не играет, поэтому под действие закона подпадают все аптеки и фармацевтические дистрибьюторы. По косвенным признакам к субъектам КИИ должны относиться производители лекарств.
Как проводить категорирование
Работа по КИИ в первую очередь начинается с категорирования информационных систем (ИС) организации и оценки риска возникновения ущерба здоровью и безопасности граждан в случае компьютерных атак. Правила категорирования и критерии значимости ИС установлены Постановлением Правительства РФ № 127 от 08.02.2018.
При категорировании в целом могут учитываться пять групп рисков: социальные, политические, экономические, экологические риски и риски, влияющие на безопасность страны. Внутри этих групп дополнительно выделяют показатели, по которым происходит оценка. Например, в социальных рисках оценивают возможность причинения вреда жизни и здоровью определенному числу людей, нарушение функционирования транспорта, систем связи и жизнеобеспечения и т.д.
Не все базовые категории риска реализованы у аптек и дистрибьюторов. Согласно Методическим рекомендациям организации должны оценить применимость тех или иных критериев к своей деятельности и для нерелевантных показателей указать обоснование. Минздрав рекомендует проводить оценку деятельности по показателям социальной, политической и экономической значимости. Но при наличии бизнес-процессов, влияющих на другие сферы, их также необходимо оценить.
Категорирование необходимо проводить для каждого объекта КИИ (ИС) в организации. Примеры ИС в сфере здравоохранения приведены в приложении 4 к Методическим рекомендациям. В основном в них представлены ИС медицинских организаций. Среди аптечных ИС можно выделить информационные системы фармацевтических организаций и защищенные сети передачи данных. Дополнительно Минздрав конкретизировал Перечень аптечных ИС в письме № 18-4/68 от 16.01.2024 «О направлении перечня типовых отраслевых объектов критической информационной инфраструктуры, функционирующих в сфере здравоохранения» (табл.).
Источник: письмо Минздрава России № 18-4/68 от 16.01.2024.
После определения релевантных показателей организация должна рассчитать их значимость для каждого возможного события (инцидента), если в результате одной целенаправленной компьютерной атаки реализуется наихудший сценарий.
Если ИС аптеки или склада не соответствует ни одному значению показателя критериев значимости, категория значимости объекту КИИ не присваивается.
В течение 10 дней после проведения категорирования объектов организация должна направить во ФСТЭК России информацию о ее результатах или уведомление об отсутствии присвоения категорий своим ИС.
Другие обязанности
Помимо категорирования объектов все субъекты КИИ должны принимать меры по обеспечению информационной безопасности своих организаций. Для значимых объектов КИИ такие требования установлены Приказом ФСЭК России № 239 от 25.12.2017.
Согласно ч. 2 ст. 9 Закона о КИИ они должны незамедлительно информировать ФСБ России о кибератаках, содействовать его сотрудникам в расследовании причин их возникновения.
Указом Президента РФ № 250 от 01.05.2022 также предусмотрен ряд обязанностей для субъектов КИИ: создать отдел кибербезопасности, назначить заместителя руководителя по информационной безопасности. Для обеспечения кибербезопасности организации могут привлекать только организации с лицензией по технической защите конфиденциальной информации. Также необходимо принимать меры по ликвидации кибератак, при необходимости привлекая аккредитованные центры государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.
Кроме того, новым Указом № 500 от 13.06.2024 установлены требования к аккредитованным центрам, которые будут привлекаться для реагирования на инциденты. До 1 января 2025 года субъекты КИИ должны заменить иностранное ПО из недружественных стран на отечественное, в том числе запрещается пользоваться сервисами (работами или услугами) по кибербезопасности от компаний из недружественных государств либо производителями которых являются организации, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними.
Штрафы за неинформирование о кибератаках и другие нарушения по КИИ могут достигать 500 тыс. руб. (ст. 13.12.1 и 19.7.15 КоАП РФ).
27.06.2024