CC BY
23
Профессиональное сообщество
www.idmz.ru
гол □, № Л
ЗАКОН «О ПЕРСОНАЛЬНЫХ ДАННЫХ»: ТИПОВЫЕ УГРОЗЫ ДЛЯ ЛПУ 2010 ГОДА
39-е заседание, 3 декабря 2009 г., Президиум РАМН, Москва Заседание было посвящено рассмотрению вопросов, связанных с порядком приведения в соответствие с положениями закона «О персональных данных» от 27 июля 2006 г. № 152-ФЗ действующих и вновь разрабатываемых медицинских систем, и мерах, предпринимаемых в связи с этим Минздравсоцразвития России.
Первые ответы на эти вопросы были даны в докладе Рылова Сергея Павловича, заместителя начальника отдела развития информационно-коммуникационной технологической инфраструктуры системы здравоохранения, социального развития и трудовых отношений Минздравсоцразвития России. Он сформулировал основные требования к корпоративным медицинским информационным системам по обеспечению защиты и конфиден-
циальности персональных данных в учреждениях и организациях здравоохранения.
Докладчик напомнил, что, согласно Постановлению Правительства Российской Федерации от 17 ноября 2007 г. № 781, информационные системы классифицируются государственными органами, муниципальными органами, юридическими или физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных (далее — оператор), в зависимости от объема обрабатываемых ими персональных данных и угроз безопасности жизненно важным инте-
ресам личности, общества и государства.
Согласно Порядку проведения классификации информационных систем персональных данных, утвержденному приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20, информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных, должны быть отнесены к специальным информационным системам.
По результатам анализа исходных данных, класс специальной информационной системы определяется на основе модели угроз безопасности персональных дан-
Информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных, должны быть отнесены к специальным информационным системам.
>
■ ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ 67 ■
технологии
Профессиональное сообщество
Класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных.
ных в соответствии с методическими документами, разрабатываемыми в соответствии с пунктом 2 Постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».
При создании типовой модели угроз учитывается, что
«МИС является специальной информационной системой, так как в ней обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;
• в МИС одновременно обрабатываются данные от 1 000 до 1 0 0000 субъектов персональных данных;
• в МИС не предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных (юридически значимым документом является «бумажная» история болезни, по которой принимаются решения).
В модели угроз должны рассматриваться 2 типа нарушителей:
• внешние нарушители — физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование МИС;
• внутренние нарушители — физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование МИС.
При разработке требований к корпоративным медицинским информационным системам по обеспечению защиты и конфиденциальности персональных данных в учреждениях и организациях здравоохранения исходили из того, что для МИС ЛПУ основную угрозу представляют внутренние нарушители. В разработанной модели угроз рассматриваются 8 типов нарушителей:
• администраторы МИС (категория I);
• администраторы конкретных подсистем или баз данных МИС (категория II);
• пользователи МИС (категория III);
• пользователи, являющиеся внешними по отношению к конкретной АС (категория IV);
• лица, обладающие возможностью доступа к системе передачи данных (категория V);
• сотрудники ЛПУ, имеющие санкционированный доступ в служебных целях в помещения, в которых размещаются ресурсы МИС, но не имеющие права доступа к ресурсам (категория VI);
• обслуживающий персонал ЛПУ (охрана, работники инженерно-технических служб и т.д.) (категория VII);
• уполномоченный персонал разработчиков МИС, который на договорной основе имеет право на техничес-
кое обслуживание и модификацию компонентов МИС (категория VIII).
Считается, что в число лиц категорий I и II будут включаться только доверенные лица и поэтому указанные лица исключаются из числа вероятных нарушителей. Наибольшую опасность представляют лица категорий III-VIII при допущении, что возможность сговора внутренних нарушителей маловероятна ввиду принятых организационных и контролирующих мер.
Учитывая особенности функционирования, небольшое количество актуальных угроз и незначительность опасности их реализации, МИС определяется как специальная информационная система персональ-
Для МИС ЛПУ основную угрозу представляют внутренние нарушители.
68 ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ ■
Профессиональное сообщество
www.idmz.ru
гол □, № Л
МИС определяется как специальная информационная система персональных данных с требованиями по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, в основном соответствующими 3-му классу.
ных данных с требованиями по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, в основном соответствующими 3-му классу.
Такой взгляд на построение угроз для типовых МИС типовых ЛПУ утвержден надзорными органами и согласован с ФСТЭК.
По оценкам директора Департамента информатизации Минздравсоцразвития России О.А. Симакова, на
перевод медицинских систем в соответствие с требованиями 152-ФЗ потребуется не менее 15 млрд. рублей.
По словам О. Симакова, достигнута договоренность с ФОМС о делегировании ТФОМС прав на сбор, обработку и передачу персональных данных на региональном и федеральном уровнях. ФОМС и ТФОМС прошли соответствующие процедуры
лицензирования и обладают необходимым сертифицированным программным обеспечением. Нормативное закрепление указанной процедуры предусмотрено при принятии закона «Об обязательном медицинском страховании».
До указанного момента в соответствии с требованиями закона 152-ФЗ необходимо получать у пациентов согласие на обработку персонифицированных данных согласно со статьей 9.4.
Также ЛПУ необходимо привести в соответствие с положениями закона используемые ими бухгалтерские, кадровые информационные системы и системы электронного документооборота, ко-
торые не являются специальными. Крупнейшие разработчики указанных систем уже сертифицировали дополнительные модули и планируют установить их в процессе плановых обновлений.
Отвечая на вопрос, планируется ли создание инфраструктуры (центров компетенций), которая будет помогать в решении вопросов, возникающих в ЛПУ, или каждое ЛПУ будет решать эти проблемы в одиночку, не имея квалифицированных специалистов, которые могли бы справиться с этими вопросами,
директор Департамента информатизации О. Симаков ответил: ««Мы всячески стараемся облегчить финансовую нагрузку, которая возникнет у ЛПУ в связи с 152-ФЗ, но сегодня нет ни одной МИС, полностью удовлетворяющей требования этого закона. Все финансовые затраты на это мероприятие ложатся на организацию. Ни средств, ни полномочий для создания новых специализи-
Сегодня нет ни одной МИС, полностью удовлетворяющей требования этого закона.
На перевод медицинских систем в соответствие с требованиями 152-ФЗ требуется не менее 15 млрд. рублей.
■ ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ 69 ■
технологии
Профессиональное сообщество
Все финансовые затраты на это мероприятие ложатся на организацию.
рующихся на обеспечении соответствия 152-ФЗ организаций нет.
«Сегодня мы имеем метод-указания, согласованные с ФСТЭК, которые будут проведены приказом МЗ СР РФ». Все территориальные фонды ОМС прошли сертификацию. Мы не хотим оставлять ЛПУ наедине с такими органами, как Россвязьнадзор и др. Вся работа будет выполняться на базе фондов».
В течение полугода будет работать горячая линия, оказывающая консультационную поддержку ЛПУ при подготовке комплекта документов.
По мнению О. Симакова, сложность надвигающейся на ЛПУ проблемы сильно преувеличена. В этом смысле корректна аналогия с проблемой 2000 года, которая была абсолютно надуманной и существовала только для
систем стратегического ракетного нападения, ориентированных на физическое время.
«Мы полагаем, что метод-указания и участие ТФОМС закроют в течение года все проблемы ЛПУ, связанные с
защитой персональных данных. Никакого рецепта для МИС, кроме сертификации, нет. Перед ЛПУ стоит дилемма: либо дорабатывать свои МИС до типовых требований, либо тратить деньги на новую систему», — полагает О. Симаков.
Директор Департамента также высказал точку зрения о целесообразности в большинстве случаев использования аутсорсинга для установ-
ки и обслуживания информационных систем медицинского учреждения. В качестве ключевых узлов аутсорсинга в регионах и муниципальных образованиях он предлагает использовать структуру медицинских информационно-аналитических центров (МИАЦ). В самом же ЛПУ целесообразно создать должность заме-
стителя директора по медицинскому оборудованию и информационным технологиям с минимальным штатом. Такая конфигурация позволит концентрироваться на основных функциях по оказанию медицинской помощи в условиях бесперебойной работы оборудования и систем его обслуживания.
Н.Куракова
«Мы полагаем, что методуказания и участие ТФОМС закроют в течение года все проблемы ЛПУ, связанные с защитой персональных данных».
гш
V
Работа над ошибками
В статье А.В. Гусева «Обзор рынка комплексных медицинских информационных систем», опубликованной в журнале «ВиИТ» (2009, №6, стр. 4-17), приведены неверные сведения о компании «АКСИМЕД», являющейся разработчиком и поставщиком медицинской информационной системы «АМУЛЕТ». Неправильно указано название компании (в таблице 1 на стр. 5 и рисунке 2 на стр. 13); приведен неверный адрес сайта компании (http://www.amulet-med.ru вместо http://www.aksimed.ru в таблице 1 на стр. 5 ); в тексте на стр. 11 МИС ошибочно названа «Аксимед».
Редакция приносит извинения компании в лице ее руководства и сотрудников.
70 ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ ■
