• Новости
• Блоги
• Аналитика
• Новости компаний
• В СНГ и в мире
• Анонсы

Мечты об инфобезопасности в здравоохранении

Нормативной базы, регламентирующей порядок защиты и обеспечения безопасности сведений, составляющих врачебную и медицинскую тайну, в России вообще не существует. Сам факт наличия в законодательстве этих двух видов тайн говорит о непроработанности проблемы.

Это одно и то же или нет? Если нет, то чем эти сведения отличаются друг от друга? Стремление отнести абсолютно все сведения о состоянии здоровья к персональным данным и защищать их именно по требованиям, установленным для персональных данных, мне представляется не совсем правомерным. А отдельных документов, аналогичных, например, американскому HIPAA (Health Insurance Portability and Accountability Act), принятому еще в 1996 г., в России нет.

Минздрав в 2009 г. разработал «Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости», однако они устарели и не соответствуют текущему состоянию нормативного регулирования. Сейчас ведется работа по их актуализации, но почему-то исключительно силами общественников-добровольцев. Для этого в Экспертном совете Минздрава создана рабочая группа по информационной безопасности. Но опять-таки, при этом предполагается, что вся информация о состоянии здоровья относится к персональным данным, хотя законодательство выделяет эти сведения в отдельную группу – персональные данные специальных категорий, обработка которых обставляется дополнительными условиями и требует принятия повышенных мер безопасности.

К примеру, на обработку таких сведений лицами, которые не являются медицинскими работниками и не обязаны хранить врачебную тайну, требуется согласие пациента в письменной форме. Но ни одна МИС не сможет функционировать без администрирования, а администраторы (системные, баз данных, приложений и т.д.) медицинскими работниками не являются, хотя доступ к информации фактически имеют. Вот и ломают голову главврачи, что в этих условиях делать. Где-то от пациента перед приемом у врача требуют подписать согласие на обработку персональных данных, которое он резонно подписывать не хочет, а отказать ему в медицинском обслуживании нельзя. Где-то пишут о запрете доступа администраторов к информации в МИС и обеспечении этого запрета «организационными методами».

Для МИС надо обеспечить минимум третий уровень защищенности персональных данных, а это, в соответствии с приказом ФСТЭК, требует выполнения порядка 40 базовых мер безопасности на основании актуализированной частной модели угроз. О том, кто конкретно и на какие средства должен это делать в районной или городской больнице, частной стоматологической клинике или диспансере, наши законодатели и регуляторы скромно умалчивают. Учреждениям здравоохранения средства на информатизацию при общем немалом бюджете этой программы выделяются крайне скудно, и последние проблемы, которые в этих условиях будут решаться, – это проблемы безопасности.

В идеале МИС должны сразу разрабатываться с учетом требований российского законодательства и регуляторов к обеспечению информационной безопасности. Например, архитектура МИС, позволяющая обезличивать сведения о состоянии здоровья, могла бы существенно снизить затраты на защиту. Заменить в системе ФИО пациента каким-либо идентификатором, например, номером полиса обязательного медицинского страхования, технически совсем не сложно. Пришел пациент на прием, предъявил номер полиса – и вся информация о нем доступна врачу, однако использовать ее во вред пациенту нельзя, так как связь между номером полиса и конкретным субъектом устанавливается совсем в другой системе. В такие системы могли бы сразу встраиваться подсистемы, обеспечивающие реализацию базовых мер безопасности: антивирусной защиты, управления идентификацией и доступом, контроля целостности и т.д. При нормальном взаимодействии разработчиков МИС с российскими вендорами средств ИБ такие решения не сильно бы увеличили стоимость систем.

Упростить задачу могла бы локализация МИС и отсутствие у нее подключений к интернету, но взятый Минздравом курс на облачные технологии эту возможность закрывает. Облегчила бы жизнь медикам и разработка МИС с помощью методов защищенного программирования, что повысило бы защищенность таких систем от взлома с использованием недекларированных возможностей. Но пока все это только мечты.