Статья 1Статья. «Закон „О персональных данных“: типовые угрозы для ЛПУ 2010 года...»

Внести в Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации. — 2006. — № 31. — ст. 3451) следующие изменения:

1. в части 1 статьи 19 слова «, в том числе использовать шифровальные (криптографические) средства,» исключить;

2. часть 3 статьи 25 изложить в следующей редакции:

«3. Информационные системы персональных данных должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года».

По оценкам Департамента информатизации Минздравсоцразвития России, озвученных директором Департамента О. А. Симаковым на 39-м заседании Рабочей группы РАМН по вопросам создания и внедрения медицинских информационных технологий, состоявшемся 3 декабря 2009 года, на перевод медицинских систем в соответствие с требованиями 152-ФЗ требуется не менее 15 млрд. рублей.

По мнению А. П. Столбова, заместителя директора МИАЦ РАМН, расходы будут рассчитываться как произведение затрат на оборудование одного компьютеризированного рабочего места, на котором обрабатываются персональные данные, на количество таких компьютеров. С учетом затрат на покупку и установку сертифицированных программных средств защиты информации (они могут устанавливаться только организациями-лицензиатами ФСТЭК и ФСБ, лицензированными специалистами), стоимости консалтинговых услуг и обучения персонала понадобится порядка 20 тыс. рублей. Это не считая общих затрат по медучреждению, например, на межсетевые экраны, если локальная сеть подключена к Интернету. Стоимость такого экрана с установкой и техподдержкой в течение года составит около 200 тыс. рублей. Что касается консалтинговых услуг и стоимости проведения сертификационных испытаний локальной сети из 30-50 компьютеров, компактно размещенной в одном здании, то она составляет от 400 до 600 тыс. рублей. Надо также учесть затраты, например, на контрольные мероприятия и аудит безопасности информации.

Кроме того, в ходе подготовки к сертификации и аттестации системы надо разработать и издать около 40 организационно-распорядительных документов.

Именно поэтому, несмотря на перенос срока вступления в силу закона «О персональных данных», проблемы соответствия его требованиям вызывают у руководителей ЛПУ и других учреждений сферы здравоохранения много вопросов.

Первые ответы на эти вопросы были даны на уже упомянутом 39-м заседании Рабочей группы РАМН по вопросам создания и внедрения медицинских информационных технологий.

Сергей Павлович Рылов, заместитель начальника отдела развития информационно-коммуникационной технологической инфраструктуры системы здравоохранения, социального развития и трудовых отношений Минздравсоцразвития России, сформулировал основные требования к корпоративным медицинским информационным системам по обеспечению защиты и конфиденциальности персональных данных в учреждениях и организациях здравоохранения, согласно статье 25 Федерального закона «О персональных данных».

Он напомнил, что, согласно Постановлению Правительства Российской Федерации от 17 ноября 2007 г. № 781, информационные системы классифицируются государственными органами, муниципальными органами, юридическими или физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных (далее — оператор), в зависимости от объема обрабатываемых ими персональных данных и угроз безопасности жизненно важным интересам личности, общества и государства.

Согласно Порядку проведения классификации информационных систем персональных данных, утвержденному Приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20, информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных, должны быть отнесены к специальным информационным системам.

По результатам анализа исходных данных класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных в соответствии с методическими документами, разрабатываемыми в соответствии с пунктом 2 Постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».

Класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных.

В соответствии с п. 2 Положения безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии. Технические и программные средства должны удовлетворять устанавливаемые в соответствии с законодательством Российской Федерации требования, обеспечивающие защиту информации.

В соответствии с п. 12 Положения необходимым условием разработки системы защиты персональных данных является формирование модели угроз безопасности персональных данных (далее — модель угроз). Кроме этого, в соответствии с п. 16 Порядка модель угроз необходима для определения класса специальной информационной системы.

Модель угроз — это документ, использующийся для:

• анализа защищенности информационной системы защиты персональных данных (ИСПДн) от угроз безопасности персональных данных (ПДн) в ходе организации и выполнения работ по обеспечению безопасности ПДн;
• разработки системы защиты ПДн, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты ПДн, предусмотренных для соответствующего класса ИСПДн;
• проведения мероприятий, направленных на предотвращение несанкционированного доступа к ПДн и (или) передачи их лицам, не имеющим права доступа к такой информации;
• недопущения воздействия на технические средства ИСПДн, в результате которого может быть нарушено их функционирование;
• контроля обеспечения уровня защищенности персональных данных.

При создании типовой модели угроз учитывается, что

• МИС является специальной информационной системой, так как в ней обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;
• в МИС одновременно обрабатываются данные от 1000 до 100000 субъектов персональных данных;
• в МИС не предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных (юридически значимым документом является «бумажная» история болезни, по которой принимаются решения).

В модели угроз должны рассматриваться 2 типа нарушителей:

• внешние нарушители — физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование МИС;
• внутренние нарушители — физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование МИС.

При разработке требований к корпоративным медицинским информационным системам по обеспечению защиты и конфиденциальности персональных данных в учреждениях и организациях здравоохранения исходили из того, что для МИС ЛПУ основную угрозу представляют внутренние нарушители. В разработанной модели угроз рассматриваются 8 типов нарушителей:

• администраторы МИС (категория I);
• администраторы конкретных подсистем или баз данных МИС (категория II);
• пользователи МИС (категория III);
• пользователи, являющиеся внешними по отношению к конкретной АС (категория IV);
• лица, обладающие возможностью доступа к системе передачи данных (категория V);
• сотрудники ЛПУ, имеющие санкционированный доступ в служебных целях в помещения, в которых размещаются ресурсы МИС, но не имеющие права доступа к ресурсам (категория VI);
• обслуживающий персонал ЛПУ (охрана, работники инженерно-технических служб и т.д.) (категория VII);
• уполномоченный персонал разработчиков МИС, который на договорной основе имеет право на техническое обслуживание и модификацию компонентов МИС (категория VIII).

Считается, что в число лиц категорий I и II будут включаться только доверенные лица и поэтому указанные лица исключаются из числа вероятных нарушителей. Наибольшую опасность представляют лица категорий III-VIII при допущении, что возможность сговора внутренних нарушителей маловероятна ввиду принятых организационных и контролирующих мер.

Учитывая особенности функционирования, небольшое количество актуальных угроз и незначительность опасности их реализации, МИС определяется как специальная информационная система персональных данных с требованиями по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, в основном соответствующими 3-му классу.

Такой взгляд на построение угроз для типовых МИС утвержден надзорными органами и согласован с ФСТЭК.

Предполагаются следующие дальнейшие действия Минздравсоцразвития России: во-первых, в середине декабря утвердить в ФСТЭК «Методические рекомендации по классификации и основным мероприятиям по организации и техническому обеспечению безопасности персональных данных в специальных информационных системах, в которых обрабатываются данные о состоянии здоровья» с учетом специфики деятельности государственных и муниципальных учреждений и организаций здравоохранения и системы ОМС. В документе будут рассматриваться примерно 10 типовых МИС. На каждый тип МИС подготовлена типовая модель угроз. Документ сделан таким образом, что по гиперссылкам можно создать полный комплект документов для приведения системы в соответствие с 152-ФЗ.

Во-вторых, в течение полугода будет работать горячая линия, оказывающая консультационную поддержку ЛПУ при подготовке комплекта документов.

Отвечая на вопрос, планируется ли создание инфраструктуры (центров компетенций), которые будут помогать в решении вопросов, возникающих в ЛПУ, или каждое ЛПУ будет решать эти проблемы в одиночку, не имея квалифицированных специалистов, которые могли бы справиться с этими вопросами, директор Департамента информатизации О. А. Симаков ответил: «Мы всячески стараемся облегчить финансовую нагрузку, которая возникнет у ЛПУ в связи с 152-ФЗ, но сегодня нет ни одной МИС, полностью удовлетворяющей требования этого закона. Все финансовые затраты на это мероприятие ложатся на организацию. Ни средств, ни полномочий для создания новых специализирующих на обеспечении соответствия 152-ФЗ организаций нет.»

«Сегодня мы имеем методуказания, согласованные с ФСТЭК, которые будут проведены приказом МЗ СР РФ». Все территориальные фонды ОМС прошли сертификацию. Мы не хотим оставлять ЛПУ наедине с такими органами, как Россвязьнадзор и другие. Вся работа будет выполняться на базе фондов». По мнению О. А. Симакова, сложность надвигающейся на ЛПУ проблемы сильно преувеличена. В этом смысле корректна аналогия с проблемой 2000 года, которая была абсолютно надуманной и существовала только для систем стратегического ракетного нападения, ориентированных на физическое время.

«Мы полагаем, что методуказания и участие ТФОМС закроют в течение года все проблемы ЛПУ, связанные с защитой персональных данных. Никакого рецепта для МИС, кроме сертификации, нет. Перед ЛПУ стоит дилемма: либо дорабатывать свои МИС до типовых требований, либо тратить деньги на новую систему», — полагает О. А. Симаков.

С точки зрения директора Департамента, в ЛПУ должна появиться позиция «заместитель главного врача по новой технике и информационным технологиям», который стал бы квалифицированным заказчиком для ИТ-компаний, привлеченных в формате аутсорсинга для решения всего спектра проблем, связанных с информатизацией ЛПУ.

---