Демьян Раменский: Медучреждения не могут своими силами обеспечить безопасность данных

О том, как обеспечить безопасность данных в медицинских информационных системах, рассказал CNews Демьян Раменский, директор направления «Хостинг ИСПДн» компании «Корп Софт».

CNews: Какие проблемы в области обеспечения безопасности данных вы видите в здравоохранении?

Демьян Раменский: В проблемах мы стараемся видеть прежде всего возможности и задачи для себя. Среди таких задач я бы выделил две: обеспечить реальную информационную безопасность МИС и соответствие требованиям законодательства.

Дело в том, что в медицине обрабатываются зачастую очень чувствительные персональные данные, требующие обеспечения первого уровня защищенности. Последствия утечки персональных данных, составляющих врачебную тайну, могут быть очень серьезными для оператора. Вплоть до уголовной ответственности.

Поэтому чисто формальный подход здесь недопустим. К проектированию системы защиты персональных данных нужно подходить серьезно и основательно. И лучше использовать уже апробированные, прошедшие аттестацию, решения. В то же время, не стоит забывать и о необходимости документального оформления всех организационных и технических мер, которые оператор персональных данных обязан принять в соответствии с действующим законодательством и нормативно-правовыми актами. Собственно, наше решение «Хостинг ИСПДн» как раз и призвано помочь заказчикам выполнить эти задачи.

Еще к задачам информационной безопасности в медицине я бы отнес необходимость интеграции МИС с государственными информационными системами, такими как ЕСИА, ЕГИСЗ и др. Эта задача также легко решается для информационных систем, размещенных в нашем облаке.

CNews: Какие сложности возникают в этой сфере?

Демьян Раменский: Основные сложности при обеспечении информационной безопасности во всех отраслях одинаковые. Это нехватка компетентных кадров, технических средств, времени и денег.

CNews: Как вы видите варианты их преодоления?

Демьян Раменский: В любом проекте, связанном с информационной безопасностью, есть три задачи. Первая – обеспечить конфиденциальность информации, ее доступность и неизменность. При этом надо решить задачу оптимизации бюджета, сроков и качества, в том числе обеспечить соответствие требованиям законодательства.

На наш взгляд, если заказчик не имеет собственный ЦОД уровня Tier-3, собственной защищенной инфраструктуры, средств, ресурсов, времени или просто желания такую инфраструктуру создавать и содержать, то самое верное решение будет воспользоваться услугами облачного провайдера, такого как «Корп Софт».

Очень важно очень тщательно подойти к выбору поставщика облачных услуг. На мой взгляд, основные критерии такого выбора – физическое размещение облака в России, наличие у провайдера необходимых лицензий (Роскомнадзора, ФСТЭК, ФСБ) и необходимых сертифицированных средств защиты информации. Обязательно должен быть заключен договор-поручение на обработку, хранение и передачу персональных данных. И самое главное – это наличие у провайдера компетентных инженеров техподдержки и специалистов по информационной безопасности, которые смогут полностью взять на себя аутсорсинг системы. Для того чтобы обеспечить реальную защищенность информационной системы не достаточно просто закупить и установить СЗИ. Приходится вникать в суть системы, анализировать исходный код, логи, проводить пентесты. Для этого нужны не только технические и программные средства, но, самое главное, компетенции и опыт.