ИСПДн + КИИв одном реестре активов
Инвентаризация активов
Единый реестр МИС, ЛИС, ПАКС, медоборудования с IP-интерфейсами
Каждый актив связан с уровнем защищённости ИСПДн и мерами по Приказу №21
SGRC для здравоохранения
SGRC-платформа для медицинских организаций: категорирование КИИ, документы по ПДн пациентов и учёт СКЗИ по 152-ФЗ, 187-ФЗ и приказам ФСТЭК
Как это выглядит сегодня
- Реестр активов МИС и ЛИС — разрозненные Excel-файлы по каждому подразделению, версия годовой давности
- Учёт СКЗИ — бумажный журнал или shared-документ без версионирования и напоминаний
- Связь между активом, ПО и средством защиты не прослеживается ни в одной системе
- Подготовка к проверке ФСТЭК — 2–3 недели ручного сбора данных из 5–15 подразделений
КиберОснова решает это
- Рабочие станции и серверы добавляет агент, МИС, ЛИС и ПАКС вносятся карточкой вручную
- Электронный журнал учёта СКЗИ по Инструкции ФАПСИ №152 с актами
- Каждый актив связан с ПО, СЗИ и документами — одна карточка
Боли отрасли
МИС, ЛИС, ПАКС и медоборудование — в разных системах без единого ИБ-контура
Типичная картина медицинской организации до внедрения единой системы управления ИБ
МИС и ЛИС есть, а в реестре безопасности их нет
ИТ ведёт инвентарь оборудования, ИБ не знает что из этого обрабатывает персональные данные пациентов.
МИС, ЛИС, телемедицина, мобильное приложение — и ни одной карты ПДн пациентов
Данные разбросаны по 5–7 системам. Никто не знает полную картину обработки персональных данных.
Распределённые сетиУровень защищённости ИСПДн рассчитывается вручную — и часто оказывается неверным
Ошибка в расчёте УЗ = либо лишние затраты на меры, либо нарушение требований при проверке.
Частная клиника с МИС — субъект КИИ. Но категорирование не проводилось
Форма собственности не освобождает от 187-ФЗ. Риск предписания ФСТЭК нарастает с каждым годом без статуса.
Каждый врач управляет своим токеном сам — никаких журналов, никаких актов
Ключи электронных подписей не учтены централизованно. Где чей токен, когда истекает срок — никто не знает.
Распределённые сетиМРТ, инфузоматы, УЗИ-аппараты — в сети, но вне ИБ-контура
Медоборудование с сетевым интерфейсом существует вне периметра безопасности. Никто не отвечает за его защиту.
Крупные организацииУзнайте, как КиберОснова закрывает эти задачи — покажем на вашем профиле за 30 минут
Нормативные требования для здравоохранения
Медицинские организации обязаны соответствовать комплексу требований по ИБ
152-ФЗ
ПДнДанные пациентов — специальная категория по ст. 10 152-ФЗ. Без согласия пациента их обрабатывают в медицинских целях медработники, обязанные хранить врачебную тайну (п. 4 ч. 2 ст. 10 152-ФЗ). УЗ-3 для большинства медорганизаций; УЗ-2 при угрозах 2-го типа или расширенном составе субъектов.
187-ФЗ
КИИЗдравоохранение — одна из 14 сфер КИИ. МИС, ЛИС, ПАКС/RIS подлежат категорированию. Форма собственности не влияет на обязанность категорировать.
Приказ ФСТЭК №239
ЗОКИИМеры обеспечения безопасности значимых объектов КИИ. Применяется ко всем значимым объектам КИИ. В КиберОснове — задачи ИБ по мерам с ответственным и сроком.
Приказ ФСТЭК №21
ИСПДнОпределяет меры защиты ИСПДн с данными пациентов (УЗ-1/2/3). В КиберОснове — настраиваемый чек-лист мер; уровень защищённости определяет организация.
Приказ ФСБ №378
СКЗИТребования к классу СКЗИ при защите ПДн пациентов. Определяет класс криптосредств для МИС и систем электронного документооборота медицинских организаций.
Ваша задача — модуль КиберОснова
МИС, ЛИС, ПАКС и медоборудование не в едином реестре ИБ
Данные пациентов в разных системах без единой карты ПДн
Категорирование МИС по 187-ФЗ не проведено
Ключи ЭП врачей и СКЗИ не учтены централизованно
Угрозы МИС и медоборудованию не отражены в модели угроз
до 500 млн ₽
штраф за утечку
ПДн пациентов по 420-ФЗ (повторное нарушение)
УЗ-3 / УЗ-2
уровни защищённости
по ПП РФ №1119, меры — по Приказу ФСТЭК №21
Результаты для медицинской организации
1карта ПДн для всей организации
Защита ПДн пациентов
Карта ПДн: все системы с данными пациентов, меры защиты, статус 152-ФЗ
При новом сервисе — сразу видно какие меры нужно добавить
Доказательная база выполненных мер для проверок РКН.
1журнал СКЗИ и ЭП врачей на всю организацию
Учёт СКЗИ
Централизованный учёт ЭП врачей и шифрования МИС-каналов
Ответственный за СКЗИ знает где каждое криптосредство и когда истекает ключ
Сроки ключей ЭП и СКЗИ видны заранее, поэтому замену планируют, а не делают в последний день.
1 кликотчёт для регулятора
Документы ИБ
Акты классификации ИСПДн, модели угроз, техпаспорта — из шаблонов
В разделе «Актуальность документации» видно статус и срок действия документов по ГИС, КИИ и ПДн
Документы для проверки ФСТЭК — по шаблонам, с версиями.
ПП №127шаблоны актов категорирования
Управление КИИ
Категорирование МИС: объекты, задачи комиссии и акты в одной системе
Шаблоны актов категорирования с привязкой к реестру активов
N клиникв одной системе
Сеть клиник
Централизованное управление ИБ-статусом по всем площадкам
Каждая клиника в своём контуре, сводный дашборд — у директора ИБ
Управление сетью клиник как единым организмом без потери контроля.
Подготовьтесь к проверке ФСТЭК: чек-листы, документы и задачи в одной системе
Как КиберОснова помогает медицинским организациям
Задачи ИБ — от инвентаризации активов до документов по шаблонам для проверки
Категорирование МИС, ЛИС, ПАКС по 187-ФЗ
Медицинские системы в карточках объектов КИИ: шаблоны актов, состав комиссии, перечень объектов.
Защита ПДн пациентов
Реестр ИСПДн, меры по Приказу №21, модель угроз. Готовая доказательная база для проверок Роскомнадзора.
Учёт СКЗИ в медорганизации
Электронный журнал по Инструкции ФАПСИ №152: поэкземплярный учёт, акты установки и уничтожения, сроки ключей в журнале.
Инвентаризация ИТ-активов
Единый реестр: медицинские рабочие станции, серверы МИС/ЛИС, медоборудование с сетевыми интерфейсами, ПО и лицензии.
Документы ИБ по шаблонам
Политики ИБ, акт определения уровня защищённости ИСПДн, технический паспорт, модель угроз — по шаблонам под специфику медицины.
Модель угроз
Отбор угроз из БДУ ФСТЭК для МИС и медоборудования с IP-подключением.
Риски при несоответствии требованиям
Штрафы, предписания и уголовная ответственность для руководства медицинской организации
420-ФЗ: оборотные штрафы
Медицинские данные — специальная категория: за их утечку — до 15 млн ₽, за повторную — до 3% выручки, но не более 500 млн ₽ (ч. 16 и 18 ст. 13.11 КоАП).
Роскомнадзор: проверки и предписания
Проверки операторов ПДн и предписания. Штраф по ст. 13.11 КоАП зависит от нарушения: за неопубликованную политику — до 60 000 ₽ (ч. 3), за обработку без письменного согласия — до 700 000 ₽ (ч. 2). По решению суда сайт включают в реестр нарушителей.
ФСТЭК: предписания по КИИ
При проверке объектов КИИ — предписание с конкретными сроками. Административная ответственность по ст. 13.12 КоАП.
Ст. 274.1 УК РФ
До 10 лет лишения свободы, если нарушение правил эксплуатации КИИ повлекло тяжкие последствия (ч. 5). Без тяжких последствий — до 6 лет (ч. 3).
Проверка ФСТЭК или РКН может прийти без предупреждения — подготовьтесь заранее
КиберОснова ведёт реестр активов, объекты КИИ и документы по 152-ФЗ
Запросите демо для медицинской организации
Покажем, как в КиберОснове вести объекты КИИ, реестр ИСПДн, учёт СКЗИ и документы по шаблонам для проверок.