Кейс: внедрение системы защиты персональных данных в медицинском учреждении

Когда медицинское учреждение впервые задумывается о защите персональных данных, многие представляют это как установку очередного антивируса. На практике внедрение системы защиты персональных данных (СЗПДн) — это многоэтапный проект, который начинается с аудита инфраструктуры и заканчивается обязательной аттестацией информационной системы. Без этого клиника не имеет права обрабатывать данные пациентов. Российские клиники работают в жёстких рамках: ФЗ-152, приказ ФСТЭК №17, приказ Минздрава №911н — и каждое из этих требований накладывает свой отпечаток. Первый шаг, который мы всегда рекомендуем, — полная инвентаризация всех баз данных пациентов и определение требуемого уровня защищённости. Это не просто формальность: ошибка на старте может привести к штрафам Роскомнадзора или даже приостановке деятельности.

Ниже — пошаговый разбор реального внедрения СЗПДн в медицинском центре, основанный на нашем опыте. Мы пройдём путь от предпроектного обследования до аттестации, разберём типовые ошибки, дадим чек-листы документов и конкретные технические решения, применимые в РФ.

Почему медицинским учреждениям нужна отдельная система защиты данных

Медицинские организации обрабатывают особые категории персональных данных: информацию о состоянии здоровья, диагнозах, результатах анализов и генетических данных. Согласно статье 10 ФЗ-152, такие данные относятся к специальным категориям, а зачастую и к биометрическим, что автоматически повышает требования к их защите.

В отличие от коммерческих компаний, медучреждения подпадают под действие дополнительных регуляторных актов:

• Приказ ФСТЭК России №17: Устанавливает базовые требования к защите информации в информационных системах персональных данных (ИСПДн).
• Приказ Минздрава РФ №911н: Специфические требования к защите информации в медицинских информационных системах (МИС).
• ФЗ-187 «О безопасности критической информационной инфраструктуры» (КИИ): Если клиника имеет значительный объем данных или работает в сфере телемедицины, она может быть признана объектом КИИ, что влечет дополнительные обязательства по мониторингу и реагированию на инциденты.

На практике мы часто видим, что клиники упускают из виду приказ Минздрава №911н, сосредотачиваясь только на требованиях ФСТЭК, а потом получают замечания при проверках.

Типовая ошибка: Руководство клиники считает, что наличие лицензионного Windows и антивируса достаточно для защиты. Это заблуждение. Роскомнадзор и ФСТЭК проверяют не только наличие ПО, но и наличие полной организационно-распорядительной документации (ОРД), модели угроз и сертификатов на используемые средства защиты. Без бумаг система считается несостоятельной.

Без правильно выстроенной СЗПДн учреждение рискует получить:

1. Штрафы по ст. 13.11 КоАП РФ (до 500 000 руб. для организаций, в случае повторного нарушения — до 1 млн руб.).
2. Приостановку деятельности на срок до 90 дней.
3. Уголовную ответственность для должностных лиц при утечке данных, повлекшей тяжкие последствия.

Этап 1: Предпроектное обследование и аудит информационной системы

Первый и самый важный этап — сбор данных о текущей инфраструктуре. Без этого невозможно спроектировать адекватную систему защиты.

Что включает аудит (инвентаризация)

На этом этапе мы проводим тотальную инвентаризацию ИСПДн. Важно не упустить ни одного устройства, где могут оказаться данные пациентов. Я не раз видел, как в аудит не включали планшеты врачей или общие компьютеры на посту медсестры, а потом именно там находили незашифрованные файлы. Необходимо зафиксировать:

• Где обрабатываются данные: Список всех рабочих станций, серверов, мобильных устройств (смартфоны врачей, планшеты), на которых хранятся или обрабатываются данные пациентов.
• Категории данных: Какие именно данные собираются (ФИО, паспорт, диагноз, история болезни, биометрия).
• Бизнес-процессы: Кто имеет доступ к данным (врачи, администраторы, лаборанты, IT-специалисты), как данные передаются (через интернет, локальную сеть, по почте) и где они хранятся.
• Состояние защиты: Наличие антивирусов, межсетевых экранов, систем контроля доступа, их версии и настройки.

Практический пример из кейса:
В одном из региональных медцентров, с которым мы работали, в ходе аудита выяснилось, что база пациентов лежит не только на сервере МИС, но и на локальных дисках 15 рабочих станций терапевтов, а также в незашифрованных Excel-файлах на общем компьютере администратора. Это была бомба замедленного действия: любой сотрудник мог скопировать всю базу на флешку.

Определение уровня защищенности (УЗ)

После сбора данных определяется уровень защищенности ИСПДн. Для медицинских учреждений он зависит от:

1. Категории персональных данных (особые, биометрические).
2. Уровня значимости объекта КИИ (если клиника относится к КИИ).
3. Количества субъектов ПДн (пациентов).

В соответствии с Приказом ФСТЭК №17, уровни защищенности (УЗ-1, УЗ-2, УЗ-3, УЗ-4) определяют набор необходимых мер защиты. Для медучреждений, обрабатывающих особые категории данных, почти всегда требуется УЗ-1 или УЗ-2, что подразумевает применение средств криптографической защиты информации (СКЗИ) и строгую систему контроля доступа. Попытки снизить уровень до УЗ-3, чтобы сэкономить на криптографии, обычно заканчиваются провалом аттестации — регулятор обоснованно требует более высокий уровень.

Таблица составлена на основе требований Приказа ФСТЭК №17 и практики лицензирования.

Этап 2: Моделирование угроз и разработка технического задания

На основе данных аудита строится модель угроз безопасности персональных данных. Это документ, в котором перечислены все возможные способы нарушения безопасности: от кражи ноутбука с базой до хакерской атаки через уязвимости в МИС.

Типовые угрозы для медучреждений

1. Несанкционированный доступ (НСД): Внутренние сотрудники (врачи, администраторы) копируют базы данных для продажи или передачи третьим лицам. Классика: медсестра или администратор, имеющий доступ к системе, сливает базу конкурентам или просто «на всякий случай». Мы не раз участвовали в расследованиях таких инцидентов.
2. Внедрение вредоносного ПО: Заражение рабочих станций через email-рассылки или незащищенные каналы передачи данных (например, при передаче результатов анализов).
3. Физическая кража носителей: Угон серверов, кража ноутбуков, потеря мобильных устройств врачей.
4. Утечка через каналы передачи: Перехват данных при передаче по незащищенным сетям (например, при использовании телемедицины без шифрования).
5. Отказ в обслуживании: Блокировка МИС вирусом-шифровальщиком, что критично для работы клиники в режиме приема пациентов.

Важный нюанс: Модель угроз должна быть уникальной для каждой клиники. Нельзя просто скачать готовый документ из интернета. Роскомнадзор проверяет соответствие модели реальной архитектуре системы. Если в модели угроз указано «кража сервера», а сервер находится в охраняемом помещении с видеонаблюдением, это будет признано несоответствием. Мы всегда настаиваем на индивидуальной проработке модели, иначе аттестация под угрозой.

Разработка технического задания (ТЗ)

На основе модели угроз и требуемого уровня защищенности формируется Техническое задание на создание СЗПДн. В ТЗ детально описываются:

• Необходимые технические мероприятия (межсетевые экраны, СКЗИ, антивирусы, DLP-системы).
• Организационные меры (инструкции, обучение, режим доступа).
• Требования к интеграции с существующими системами (МИС, лабораторные комплексы, 1С).

Типовая ошибка: В ТЗ часто указывают покупные «коробочные» решения без учета специфики интеграции с МИС. Это приводит к тому, что после установки система защиты блокирует работу МИС, и врачи не могут открыть карту пациента. Решение: в ТЗ обязательно включать пункт об тестировании интеграции и настройке исключений для легитимных процессов МИС. Мы всегда закладываем этап нагрузочного тестирования с включёнными средствами защиты, чтобы избежать коллапса в первый рабочий день.

Этап 3: Организационно-распорядительная документация (ОРД)

Без пакета документов система защиты не пройдет аттестацию. Роскомнадзор и ФСТЭК проверяют документацию в первую очередь.

Обязательный пакет документов

Согласно требованиям регуляторов, медучреждение должно иметь следующий набор документов:

1. Приказ о назначении ответственного за организацию обработки ПДн. Закрепляет должностное лицо, которое отвечает за все процессы работы с данными. Это не просто формальность: ответственный должен реально понимать процессы, иначе при проверке он не сможет ответить на вопросы инспектора. Мы рекомендуем выбирать сотрудника с техническим бэкграундом.
2. Политика обработки персональных данных. Базовый документ, описывающий принципы работы с данными. Обязательно должен быть опубликован на сайте клиники и на информационном стенде в учреждении.
3. Положение по организации и проведению работ по обеспечению безопасности ПДн в ИСПДн. Описывает всю систему защиты, включая технические и организационные меры.
4. Модель угроз безопасности персональных данных. Документированный перечень угроз с учетом архитектуры ИСПДн.
5. Акт определения уровня защищенности ПДн в ИСПДн. Итоговый документ комиссии, подтверждающий выбранный уровень.
6. Порядок хранения, использования и передачи ПДн сотрудников. Отдельная инструкция для работы с данными персонала.
7. Инструкции для пользователей и администраторов. Пошаговые руководства по работе с системой защиты.
8. Приказ о мерах по защите информации с использованием СКЗИ. Если применяются криптографические средства.
9. Рекомендации по выполнению требований безопасности ПДн при использовании криптосредств.

Чек-лист для проверки готовности ОРД:

• Все документы подписаны руководителем и датированы.
• В документах указаны реальные названия систем и серверов клиники.
• Политика обработки ПДн опубликована на сайте (в разделе «Политика конфиденциальности»).
• Документация хранится в электронном и печатном виде.
• Инструкции для пользователей распечатаны и доступны на рабочих станциях.

Уведомление в Роскомнадзор

До начала обработки персональных данных медицинская организация обязана уведомить уполномоченный орган (Роскомнадзор) об осуществлении обработки. Это требование ст. 22 ФЗ-152.

• Срок: Уведомление направляется до начала обработки данных.
• Содержание: В уведомлении указываются цели обработки, категории данных, перечень субъектов, способы обработки, срок действия договора.
• Актуальность: Если в процессе деятельности меняются цели обработки или вводятся новые системы, уведомление необходимо обновить.

Важно: Отсутствие уведомления или неактуальные данные в нем — частая причина штрафов при проверках. На практике многие забывают обновить уведомление при смене МИС или добавлении новых категорий данных. Мы всегда советуем перепроверять уведомление после любых изменений в инфраструктуре.

Этап 4: Выбор и установка средств защиты информации (СЗИ)

На этом этапе происходит поставка, установка и настройка сертифицированных средств защиты. Для медицинских учреждений критически важно использовать только сертифицированные средства, внесенные в реестр ФСТЭК и ФСБ. Выбор средств защиты — это не просто закупка по каталогу. Важно, чтобы все продукты были из реестров, иначе аттестацию не пройти. Ниже — минимальный набор для УЗ-1/УЗ-2, который мы обычно рекомендуем.

Ключевые компоненты СЗПДн

Особенности внедрения СКЗИ в медицине

Криптографическая защита в медицине применяется для:

1. Шифрования баз данных МИС: Защита данных пациентов на уровне файловой системы или СУБД.
2. Шифрования каналов передачи: При передаче результатов анализов, телемедицинских консультаций, данных в ЕГИСЗ (Единая государственная информационная система в сфере здравоохранения).
3. Электронной подписи (ЭП): Подписание медицинских документов (назначений, выписок, рецептов) врачом. Это обязательное требование для легитимности электронных меддокументов.

Практический кейс:
В крупной городской клинике мы столкнулись с тем, что программное шифрование базы данных МИС «съедало» 40% ресурсов процессора, и врачи ждали открытия карты по 10–15 секунд. Решили проблему установкой аппаратных криптографических шлюзов (например, на базе ViPNet или КриптоПро) вместо шифрования на уровне ОС. Это перенесло нагрузку на выделенное устройство и полностью устранило задержки. Типичный сценарий, о котором часто забывают на этапе проектирования.

Типовая ошибка: Использование нелицензионных или несертифицированных средств шифрования (например, стандартных средств Windows). Это делает систему неаттестуемой и нарушает требования ФЗ-152 и Приказа ФСТЭК №17.

Интеграция с МИС и 1С

Одна из самых сложных задач — интеграция СЗИ с медицинским программным обеспечением.

• 1С: Многие медучреждения используют 1С для учета. Встроенных механизмов защиты 1С часто недостаточно для УЗ-1/УЗ-2. Приходится настраивать внешний контроль доступа и шифрование баз 1С через СКЗИ. Это требует аккуратного тестирования, чтобы не нарушить работу бухгалтерии.
• МИС: При установке СЗИ от НСД (например, Secret Net Studio) необходимо создать исключения для процессов МИС, чтобы система не блокировала работу врачей. Это требует тщательного тестирования и обычно занимает не менее недели при активном участии вендора МИС.

Этап 5: Обучение персонала и настройка политик безопасности

Технические средства защиты не работают без грамотного персонала. Самый частый источник утечек — человеческий фактор. Сколько бы мы ни ставили технических средств, главная уязвимость — человек. Я не раз видел, как после внедрения дорогой DLP-системы сотрудница регистратуры просто фотографировала экран с данными пациента на телефон. Поэтому обучение — не галочка, а непрерывный процесс.

Что нужно обучить сотрудников

1. Работа с паролями: Правила создания сложных паролей, запрет на передачу паролей, использование двухфакторной аутентификации (2FA).
2. Корректная работа с данными: Запрет на копирование баз данных на личные флешки, запрет на передачу данных через незащищенные каналы (например, WhatsApp, Telegram без шифрования).
3. Использование СКЗИ: Как создавать электронную подпись, как подписывать документы, как работать с зашифрованными архивами.
4. Реагирование на инциденты: Что делать, если компьютер «зашифровался» вирусом, или если сотрудник увидел подозрительное письмо. Важно, чтобы каждый знал, кому звонить. У нас был случай, когда медсестра вовремя сообщила о странном файле, и мы предотвратили заражение всей сети.

Методика обучения:

• Проведение вводных инструктажей для новых сотрудников.
• Регулярные тренинги (ежегодно).
• Разработка и распространение инструкций (п. 9 в чек-листе ОРД).
• Контроль выполнения требований (например, проверка наличия паролей на экранах).

Важный нюанс: Обучение должно быть задокументировано. Наличие журналов инструктажей и подписанных листов ознакомления с инструкциями — обязательное требование для аттестации. При проверке инспектор первым делом спросит эти документы.

Этап 6: Аттестация информационной системы

После настройки всех средств защиты и обучения персонала система подлежит аттестации. Это финальный этап, подтверждающий соответствие системы требованиям законодательства. Аттестация — это не просто формальное заключение. Это полноценный аудит, который проводят аккредитованные лаборатории. Они проверяют всё: от документации до реальных настроек межсетевых экранов. Мы всегда рекомендуем закладывать на аттестацию 1–2 месяца и быть готовыми к тому, что по итогам тестирования на проникновение выявятся уязвимости, которые нужно будет устранить.

Что включает аттестация

Аттестация проводится аккредитированной организацией (специализированной лабораторией или центром). Процесс включает:

1. Оценку соответствия: Проверка документации, настроек средств защиты, наличия сертификатов.
2. Тестирование безопасности: Проведение аудита безопасности, анализ уязвимостей, тесты на проникновение (pentest).
3. Оформление аттестата: Выдача Аттестата соответствия, который подтверждает, что система защиты соответствует всем установленным требованиям (ФЗ-152, Приказ ФСТЭК №17, Приказ Минздрава №911н).

Результат аттестации

• Аттестат соответствия: Документ, который предъявляется регуляторам (Роскомнадзор, ФСТЭК) при проверках.
• Отчет о проведении аудита: Документ, описывающий найденные уязвимости и рекомендации по их устранению.
• Подтверждение легитимности: Только после аттестации клиника может официально начать обработку данных пациентов в новой системе.

Типовая ошибка: Попытка начать работу с пациентами без аттестации. Это прямое нарушение ст. 22 ФЗ-152 и основание для штрафов. Аттестация должна быть проведена до начала обработки данных. Мы не раз видели, как клиники запускали МИС в опытную эксплуатацию с реальными данными до получения аттестата, надеясь, что «потом доделаем». Это рискованно: при проверке факт обработки данных без аттестации легко доказывается, и штраф неминуем.

Чек-лист: Пошаговый план внедрения СЗПДн в медучреждении

Для удобства реализации проекта составим итоговый чек-лист, который можно использовать как план работы:

1. Аудит и инвентаризация:
   • Составить список всех серверов, рабочих станций и мобильных устройств.
   • Определить категории данных и бизнес-процессы.
   • Оценить текущее состояние защиты.
2. Документация (ОРД):
   • Назначить ответственного за ПДн.
   • Разработать и подписать Политику, Положение, Модель угроз, Акт уровня защищенности.
   • Опубликовать Политику на сайте и на стенде.
   • Направить уведомление в Роскомнадзор.
3. Техническое проектирование:
   • Разработать Модель угроз (уникальную для клиники).
   • Определить уровень защищенности (УЗ-1/УЗ-2).
   • Сформировать Техническое задание (ТЗ) на СЗПДн.
4. Внедрение средств защиты:
   • Закупить сертифицированные СКЗИ, СЗИ от НСД, антивирусы, МЭ.
   • Установить и настроить средства защиты.
   • Интегрировать с МИС и 1С (создать исключения, настроить шифрование).
   • Настроить системы контроля доступа и DLP.
5. Обучение и контроль:
   • Провести инструктажи для всех сотрудников.
   • Разработать и распространить инструкции.
   • Задокументировать обучение (листы ознакомления).
6. Аттестация:
   • Заказать аудит безопасности и тестирование у аккредитованной организации.
   • Устранить выявленные уязвимости.
   • Получить Аттестат соответствия.
   • Начать официальную обработку данных пациентов.

Типовые ошибки и важные нюансы при внедрении

1. Использование несертифицированных средств

Многие клиники пытаются сэкономить, покупая дешевые антивирусы или средства шифрования без сертификатов ФСТЭК/ФСБ. Это критическая ошибка. Без сертификатов система не пройдет аттестацию, и клиника будет работать в режиме нарушения закона. Я видел, как клиника купила дешёвый антивирус без сертификата ФСТЭК, а потом не смогла пройти аттестацию и была вынуждена закупать всё заново, потеряв время и деньги.

2. Отсутствие модели угроз

Скачивание готовой модели угроз из интернета без учета архитектуры конкретной клиники. Регуляторы проверяют соответствие модели реальной системе. Если в модели указаны угрозы, которые физически невозможны в вашей клинике (например, кража сервера из охраняемого помещения), это будет признано несоответствием. Мы всегда проводим интервью с персоналом, чтобы выявить неочевидные пути передачи данных, и строим модель на основе реальных процессов.

3. Неправильная интеграция с МИС

Установка СЗИ от НСД без настройки исключений для процессов МИС приводит к блокировке работы врачей. Врачи не могут открыть карту пациента, что останавливает прием. Решение: тщательное тестирование интеграции и настройка исключений в ТЗ. Обязательно закладывайте в ТЗ этап нагрузочного тестирования с включёнными средствами защиты.

4. Пренебрежение обучением персонала

Технические средства не спасут, если сотрудник передаст пароль по телефону или скопирует базу на флешку. Обучение должно быть регулярным и задокументированным. Нужно не просто разослать инструкции, а провести живые тренинги с разбором реальных кейсов. Даже самая совершенная DLP не спасёт, если врач отправит историю болезни коллеге через личную почту, потому что «так быстрее».

5. Запуск работы без аттестации

Начало обработки данных пациентов до получения Аттестата соответствия — прямое нарушение ст. 22 ФЗ-152. Это основание для штрафов и приостановки деятельности. Мы всегда советуем планировать переход на новую систему так, чтобы аттестация была завершена до начала обработки данных.

FAQ: Ответы на частые вопросы

Вопрос: Обязательна ли аттестация для всех медицинских учреждений?

Ответ: Да, аттестация (или оценка эффективности) обязательна для ИСПДн, обрабатывающих особые и биометрические категории данных, что типично для всех медучреждений. Для клиник, признанных объектами КИИ, аттестация обязательна в соответствии с ФЗ-187. Исключений нет.

Вопрос: Можно ли использовать стандартные средства Windows для шифрования данных пациентов?

Ответ: Нет. Стандартные средства Windows (например, BitLocker) не имеют сертификатов ФСТЭК/ФСБ для защиты персональных данных в соответствии с требованиями Приказа ФСТЭК №17. Необходимо использовать сертифицированные СКЗИ (КриптоПро, ViPNet). Формально вы можете их использовать, но аттестацию не пройдёте.

Вопрос: Нужно ли уведомлять Роскомнадзор, если клиника обрабатывает только данные сотрудников?

Ответ: Уведомление в Роскомнадзор требуется для всех случаев обработки персональных данных, если они не подпадают под исключения (например, обработка только для исполнения трудовых договоров, но даже тогда часто требуется уведомление, если данные передаются третьим лицам). Для медицинских данных (пациентов) уведомление обязательное. Более того, его нужно актуализировать при любых изменениях.

Вопрос: Что делать, если клиника уже работает с пациентами, но системы защиты нет?

Ответ: Необходимо срочно провести аудит, разработать ОРД, установить сертифицированные средства защиты и пройти аттестацию. Работа без системы защиты — нарушение закона, ведущее к штрафам. Рекомендуется приостановить обработку данных до завершения аттестации, если это возможно, или минимизировать риски: ограничить доступ, включить шифрование там, где возможно, и ускорить аттестацию.

Вопрос: Сколько времени занимает внедрение СЗПДн?

Ответ: В среднем процесс занимает от 3 до 6 месяцев, в зависимости от сложности инфраструктуры, количества сотрудников и необходимости интеграции с МИС. Аттестация может занять от 1 до 2 месяцев после настройки системы. Мы обычно закладываем 4–5 месяцев на всё с запасом.

Вопрос: Какие штрафы предусмотрены за отсутствие системы защиты?

Ответ: Штрафы по ст. 13.11 КоАП РФ для организаций могут достигать 500 000 руб. за первое нарушение и до 1 млн руб. за повторное. Также возможна приостановка деятельности на срок до 90 дней. И это не считая репутационных потерь.

Заключение

Внедрение системы защиты персональных данных в медицинском учреждении — это сложный, но необходимый процесс, который требует системного подхода. За годы работы мы убедились: успех проекта на 80% зависит от тщательности предпроектного обследования и качества документации. Технику настроить можно, а вот переделывать модель угроз или ОРД после замечаний регулятора — долго и дорого. Ключевые шаги: аудит, разработка уникальной модели угроз, закупка сертифицированных средств (СКЗИ, СЗИ от НСД), обучение персонала и обязательная аттестация.

Игнорирование требований регуляторов (ФЗ-152, Приказ ФСТЭК №17, Приказ Минздрава №911н) ведет к серьезным финансовым и правовым рискам. Успешный кейс внедрения строится на точном соблюдении этапов, качественной документации и реальной интеграции защиты с бизнес-процессами клиники. Только комплексный подход гарантирует безопасность данных пациентов и легитимность работы медицинского учреждения.

Для медицинских организаций, внедряющих криптографические решения и автоматизирующих медосмотры, важно помнить, что регуляторная база постоянно меняется. Мы на meo.su постоянно отслеживаем изменения, ведём каталог лицензированных продуктов и реестр сертифицированных специалистов, чтобы вы могли опираться на актуальные данные. Все наши руководства проверены на реальных проектах.