Разборы требований регуляторов, инструкции по лицензированию и сертификации, правовые риски автоматизации в медицине.
За пятнадцать лет работы с криптографией я вывел для себя простое правило: СКЗИ ломаются не тогда, когда на них перестают выделять бюджет, а когда в компании появляется иллюзия, что они «как-нибудь сами». Однажды на моей практике крупная медицинская сеть потеряла доступ к полугодовому архиву предрейсовых осмотров просто потому, что системный администратор не отследил дату окончания […]
Когда медицинское учреждение впервые задумывается о защите персональных данных, многие представляют это как установку очередного антивируса. На практике внедрение системы защиты персональных данных (СЗПДн) — это многоэтапный проект, который начинается с аудита инфраструктуры и заканчивается обязательной аттестацией информационной системы. Без этого клиника не имеет права обрабатывать данные пациентов. Российские клиники работают в жёстких рамках: ФЗ-152, приказ […]
Когда компания впервые заходит на рынок закрытых государственных систем — военных госпиталей, объектов Минобороны или ФСИН — её почти сразу ожидает столкновение с базовым требованием: программное обеспечение, обрабатывающее сведения, составляющие государственную тайну, обязано быть лицензированным. Причём лицензирована должна быть как деятельность разработчика, так и сам продукт. Без этого юридического фундамента не просто невозможно участвовать в тендерах — любое […]
Когда мы говорим об интеграции телемедицинских систем (ТМС) с медицинскими информационными системами (МИС), речь идёт не просто о «подружить два софта». Это создание единого информационного контура, в котором данные о пациентах, назначениях, результатах консультаций и записях на приём циркулируют автоматически, без ручного вмешательства оператора. Причём циркулируют так, чтобы каждый байт имел юридическую силу и соответствовал […]
Когда компания планирует разрабатывать или внедрять средства криптографической защиты информации (СКЗИ), первый вопрос регулятора — есть ли в штате аттестованные специалисты. Без действующих сертификатов ФСБ сотрудники не имеют права даже настраивать криптомодули, не говоря уже о проектировании защищённых систем. Это не рекомендация, а жёсткое лицензионное требование, закреплённое в постановлениях Правительства и приказах ФСБ. Для IT-компаний и […]
Когда ко мне приходит очередной запрос на аудит инфраструктуры перед подключением к СМЭВ или аттестацией объекта КИИ, я первым делом смотрю не на железо и не на топологию сети — а на перечень используемых СКЗИ и сроки действия их сертификатов. Потому что если с этим звеном проблемы, дальше можно не копать: систему завернут на первой же […]
Когда ко мне приходят с запросом «поставить шифрование», я обычно прошу рассказать, что именно защищаем и от кого. Потому что криптографическая защита каналов связи — это не выбор коробочного продукта, а инженерная задача с массой переменных. За годы внедрения я видел, как непродуманная схема с сертифицированным СКЗИ превращалась в точку отказа всей инфраструктуры, а правильно настроенный […]
Когда ко мне обращается компания с вопросом «нам нужно лицензировать СКЗИ», я всегда начинаю не с перечня документов, а с одного простого уточнения: «расскажите, что вы реально делаете с криптографией». Потому что за пять лет практики я убедился — десятки проектов спотыкаются не на сборе бумаг, а на том, что изначально неправильно определили саму потребность в […]
Когда в пять утра сорок водителей ждут допуска к рейсу, а мастер смены пытается по бумажкам доказать, что все прошли осмотр, каждая лишняя минута выливается в реальные убытки. Но финансовые потери — лишь верхушка айсберга. Отсутствие единой электронной фиксации результатов, разрозненные журналы «на коленке» и невнятная идентификация сотрудников создают юридический вакуум, который особенно остро ощущается при […]
На одном из объектов, где мы внедряли систему автоматизации предрейсовых медосмотров, заказчик искренне удивился, почему недостаточно просто поставить антивирус на сервер с врачебной тайной. Пришлось объяснять: медицинские данные, удалённый доступ для врачей, интеграция с государственными системами и юридически значимый электронный документооборот превращают защиту в многослойную конструкцию. Одним продуктом здесь не закрыться.
Сегодня информационная безопасность — это […]
