Категорирование объектов КИИ в здравоохранении: особенности, примеры и типичные объекты

Здравоохранение --- одна из 14 сфер, прямо перечисленных в 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Это означает, что каждая медицинская организация --- от крупного федерального центра до частной клиники --- обязана провести категорирование принадлежащих ей информационных систем. На практике медицинские учреждения сталкиваются с рядом отраслевых особенностей: специфика объектов КИИ (МИС, ЛИС, ПАКС), приоритет доступности систем над конфиденциальностью, пересечение с требованиями 152-ФЗ по защите персональных данных пациентов. В этой статье разбираем нормативные основания, типичные объекты КИИ в медицине, критерии значимости и конкретные примеры категорирования.

Здравоохранение как сфера КИИ: нормативные основания

Категорирование объектов КИИ в здравоохранении опирается на три ключевых документа: 187-ФЗ, постановление Правительства No 127 (ПП-127) и приказы ФСТЭК No 235 и No 239. Прежде чем переходить к отраслевой специфике, необходимо разобраться, кто именно в медицине является субъектом КИИ и какие обязанности на него возложены.

187-ФЗ: здравоохранение в перечне сфер КИИ

Статья 2 187-ФЗ определяет перечень сфер, в которых функционирует критическая информационная инфраструктура. Здравоохранение включено в этот перечень наряду с энергетикой, транспортом, связью, финансами и другими отраслями. Для медицинских организаций это означает:

• Любая ИС, ИТКС или АСУ, функционирующая в сфере здравоохранения, потенциально является объектом КИИ.
• Организация, владеющая такой системой, является субъектом КИИ и обязана провести категорирование.
• За нарушение порядка категорирования предусмотрена административная ответственность, за неправомерное воздействие на КИИ --- уголовная (ст. 274.1 УК РФ).

Ключевой момент: принадлежность к сфере здравоохранения определяется не по коду ОКВЭД, а по фактическому виду деятельности. Если организация оказывает медицинскую помощь или обеспечивает её оказание --- она в периметре 187-ФЗ.

Какие организации являются субъектами КИИ в медицине

Субъектами КИИ в здравоохранении являются:

• Стационары --- многопрофильные больницы, клинические центры, госпитали, родильные дома
• Амбулаторные учреждения --- поликлиники, женские консультации, врачебные амбулатории
• Диагностические учреждения --- лаборатории, диагностические центры, центры МРТ/КТ
• Станции скорой помощи --- включая центры медицины катастроф
• Аптечные организации --- при наличии информационных систем учёта лекарственных средств
• Органы управления --- региональные министерства и департаменты здравоохранения
• Частные клиники --- независимо от масштаба, если используют медицинские ИС

Форма собственности не имеет значения. Государственная городская больница и частная стоматологическая клиника с МИС --- оба субъекта КИИ. Различие --- в масштабе последствий и, как следствие, в присваиваемой категории значимости.

Позиция ФСТЭК по категорированию в здравоохранении

ФСТЭК неоднократно подчёркивала, что здравоохранение --- одна из приоритетных сфер для категорирования. Это связано с тем, что нарушение работы медицинских информационных систем может напрямую повлечь угрозу жизни и здоровью людей --- самый тяжёлый вид последствий с точки зрения критериев значимости.

На практике ФСТЭК при проверках обращает внимание на:

1. Полноту перечня объектов КИИ --- все ли медицинские ИС учтены
2. Обоснованность оценки критериев значимости --- корректно ли определено количество пациентов, которым может быть причинён вред
3. Соответствие принятых мер защиты присвоенной категории --- выполняются ли требования приказа ФСТЭК No 239

Типичные объекты КИИ в медицинских организациях

Определение перечня объектов КИИ --- первый практический шаг категорирования. В здравоохранении типичный набор объектов отличается от других отраслей. Для систематической инвентаризации ИТ-активов в медицинской организации целесообразно использовать автоматизированные инструменты.

МИС --- медицинская информационная система

МИС --- центральный объект КИИ в любой медицинской организации. Система обеспечивает:

• Ведение электронных медицинских карт (ЭМК)
• Управление расписанием приёма
• Учёт пациентов и движение по отделениям (для стационаров)
• Формирование статистической отчётности
• Интеграцию с региональными системами (ЕМИАС, РИСЗ)
• Ведение листов назначений и учёт медикаментов

МИС обрабатывает специальные категории персональных данных (сведения о состоянии здоровья), что создаёт пересечение с требованиями 152-ФЗ. Нарушение работы МИС в крупном стационаре может привести к невозможности оказания медицинской помощи сотням пациентов.

ЛИС --- лабораторная информационная система

ЛИС управляет полным циклом лабораторных исследований:

• Регистрация заявок на исследования
• Управление аналитическим оборудованием
• Приём результатов от анализаторов
• Валидация и верификация результатов
• Передача результатов в МИС

Нарушение работы ЛИС в диагностической лаборатории, выполняющей экстренные анализы (коагулограмма, газы крови, тропонин), может повлечь задержку в оказании неотложной помощи.

ПАКС/RIS --- система медицинских изображений

PACS (Picture Archiving and Communication System) и RIS (Radiology Information System) обеспечивают:

• Хранение диагностических изображений (рентген, КТ, МРТ, УЗИ)
• Передачу изображений между рабочими станциями и отделениями
• Архивирование данных в соответствии с требованиями хранения медицинской документации
• Интеграцию с МИС для привязки исследований к пациенту

Потеря архива ПАКС --- это потеря диагностической истории пациентов. Недоступность системы в момент экстренного исследования --- прямая угроза качеству медицинской помощи.

Система управления аптекой

Для стационаров с собственной аптекой:

• Учёт лекарственных средств и расходных материалов
• Контроль сроков годности
• Управление наркотическими и психотропными препаратами (особый контроль)
• Формирование заявок на закупку

АСУ инженерными системами стационара

В крупных стационарах функционируют АСУ ТП, управляющие:

• Системой вентиляции и кондиционирования (критично для операционных, реанимации)
• Электроснабжением (включая резервное)
• Системой медицинских газов (кислород, закись азота)
• Системой обеззараживания воды

Эти системы --- объекты КИИ, отказ которых может непосредственно угрожать жизни пациентов.

Региональные системы (ЕМИАС, РИСЗ)

ЕМИАС и аналогичные региональные информационные системы здравоохранения (РИСЗ) категорируются их владельцами --- региональными органами управления здравоохранением. Медицинская организация, подключённая к ЕМИАС, не категорирует саму ЕМИАС, но должна учитывать интеграцию при оценке критериев значимости собственных систем.

Критерии значимости для объектов КИИ в здравоохранении

ПП-127 устанавливает 14 показателей критериев значимости, сгруппированных в 5 категорий. Для здравоохранения ключевыми являются социальные критерии --- именно они определяют категорию в подавляющем большинстве случаев.

Социальная значимость: вред жизни и здоровью пациентов

Основной критерий для медицинских организаций --- показатель «причинение вреда жизни и здоровью людей». Оценивается количество пациентов, которым может быть причинён вред при нарушении или прекращении функционирования объекта КИИ.

Пороговые значения для присвоения категорий:

• 1-я категория --- вред жизни и здоровью более 500 человек
• 2-я категория --- вред жизни и здоровью от 101 до 500 человек
• 3-я категория --- вред жизни и здоровью от 1 до 100 человек

Для здравоохранения «вред жизни и здоровью» --- не абстракция. Если МИС стационара с отделением реанимации выходит из строя, врачи теряют доступ к листам назначений, результатам анализов, аллергологическому анамнезу --- это прямая угроза.

Прекращение оказания медицинской помощи

Второй ключевой показатель --- прекращение или нарушение функционирования объекта, обеспечивающего оказание медицинской помощи. Здесь оценивается:

• Длительность возможного перерыва в оказании помощи
• Возможность перехода на «бумажный» режим работы
• Наличие резервных механизмов
• Количество пациентов, которые не получат помощь в период простоя

Нарушение работы системы скорой помощи

Для станций скорой помощи и центров медицины катастроф дополнительно релевантен критерий нарушения функционирования транспортной инфраструктуры --- система диспетчеризации вызовов обеспечивает логистику бригад. Её отказ может привести к задержке выезда бригад и, как следствие, к гибели пациентов.

Экономическая значимость (для крупных учреждений)

Экономические критерии для здравоохранения обычно вторичны, но могут быть значимы для крупных федеральных центров:

• Прямой экономический ущерб от простоя (стоимость отменённых операций, исследований)
• Штрафы по программе ОМС за невыполнение плановых объёмов
• Затраты на восстановление системы и данных

Практика оценки: как считать потенциальный ущерб

Алгоритм оценки для медицинской организации:

1. Определить зону поражения. Какие подразделения зависят от объекта КИИ? Например, МИС: все клинические подразделения. ЛИС: лаборатория и все подразделения, назначающие исследования.

2. Оценить количество пациентов. Среднесуточный поток пациентов, зависящих от системы. Для стационара --- количество коек, заполняемость. Для поликлиники --- среднедневное количество посещений.

3. Определить критичность. Есть ли среди зависимых подразделений отделения реанимации, хирургии, родовспоможения? Если да --- тяжесть последствий максимальна.

4. Учесть время восстановления. Сколько времени потребуется на восстановление системы? Чем дольше простой --- тем больше пациентов пострадает.

5. Оценить возможность «бумажного» режима. Может ли организация продолжить оказание помощи без ИС? Для некоторых процессов (диспетчеризация скорой) --- нет.

Примеры категорирования в медицинских организациях

Рассмотрим четыре типовых сценария, демонстрирующих различный подход к оценке критериев значимости.

Пример 1: МИС крупного многопрофильного стационара (категория 2)

Характеристики:

• 800 коек, 12 клинических отделений
• Отделения реанимации (60 коек), хирургии, кардиологии
• МИС обеспечивает: ЭМК, листы назначений, интеграцию с ЛИС и ПАКС
• Среднесуточный поток: 750 стационарных + 200 амбулаторных пациентов

Оценка:

• Нарушение работы МИС затрагивает всех 750 стационарных пациентов
• Для 60 пациентов реанимации --- угроза жизни (потеря доступа к назначениям, аллергологическому анамнезу)
• Для 200+ хирургических пациентов --- невозможность провести плановые операции
• Общее количество лиц, которым может быть причинён вред: 200--400 человек

Результат: 2-я категория значимости (вред жизни и здоровью от 101 до 500 человек).

Пример 2: ЛИС диагностической лаборатории (категория 3)

Характеристики:

• Централизованная лаборатория, обслуживающая 5 поликлиник
• Выполняет 1500 исследований в сутки
• Экстренные анализы: 50--80 в сутки

Оценка:

• Плановые исследования могут быть отложены --- вред ограничен
• Экстренные исследования (коагулограмма, тропонин, газы крови) --- задержка результатов угрожает пациентам с острыми состояниями
• Количество пациентов с угрозой жизни и здоровью: 10--30 человек в сутки

Результат: 3-я категория значимости (вред жизни и здоровью от 1 до 100 человек).

Пример 3: МИС небольшой поликлиники (без категории)

Характеристики:

• Поликлиника на 150 посещений в день
• Амбулаторный приём, без экстренной помощи
• МИС: ведение ЭМК, расписание, рецепты

Оценка:

• Нарушение работы МИС приводит к задержкам в приёме, но не к угрозе жизни
• Поликлиника может перейти на «бумажный» режим
• Экстренные пациенты направляются в стационар

Результат: объект КИИ без категории значимости. Тем не менее, объект фиксируется в перечне и направляется сведения во ФСТЭК.

Пример 4: ПАКС областной больницы (категория 3)

Характеристики:

• Областная больница, 600 коек
• ПАКС хранит 2 млн+ изображений, 300 новых исследований в сутки
• Интеграция с МИС, используется при постановке диагноза

Оценка:

• Недоступность ПАКС не останавливает оказание помощи полностью
• Однако для пациентов, поступающих экстренно (травмы, инсульты), недоступность снимков может привести к ошибкам диагностики
• Количество пациентов с потенциальным вредом: 10--50 человек в сутки

Результат: 3-я категория значимости.

КиберОснова учитывает отраслевую специфику здравоохранения при расчёте критериев значимости --- система автоматически предлагает релевантные показатели для медицинских организаций. Подробнее о процессе --- на странице категорирования КИИ.

Особенности создания комиссии по категорированию в медицине

Комиссия по категорированию --- обязательный элемент процедуры, определённый ПП-127. В медицинских организациях её состав имеет отраслевую специфику.

Кто должен войти в комиссию: медицинский и ИТ-персонал

Рекомендуемый состав комиссии для медицинской организации:

• Председатель --- заместитель главного врача по АХЧ или по ИТ (если такая должность есть)
• Заместитель главного врача по медицинской части --- понимает критичность систем для лечебного процесса
• Начальник ИТ-отдела --- знает архитектуру и взаимосвязи систем
• Специалист по ИБ --- если есть в штате; если нет --- привлечённый эксперт
• Заведующие ключевыми отделениями --- реанимация, хирургия, лаборатория (владельцы процессов)
• Юрист --- контроль соответствия документации

Типичная ошибка в медицинских учреждениях: комиссия формируется только из ИТ-специалистов. Без участия врачей-клиницистов невозможно корректно оценить тяжесть последствий нарушения работы систем для пациентов.

Привлечение главных специалистов по направлениям

Для корректной оценки критериев значимости необходимо привлечь:

• Заведующего реанимацией --- оценка последствий потери доступа к данным пациентов в критическом состоянии
• Заведующего хирургическим отделением --- оценка влияния простоя МИС на плановые и экстренные операции
• Заведующего лабораторией --- оценка последствий недоступности ЛИС для экстренных исследований

Их участие не обязательно на всех заседаниях --- достаточно привлечения на этапе оценки критериев значимости конкретных объектов КИИ.

Координация с учредителем (для бюджетных учреждений)

Бюджетные медицинские учреждения (городские больницы, районные поликлиники) должны координировать категорирование с учредителем --- региональным министерством или департаментом здравоохранения. Учредитель:

• Может установить единый порядок категорирования для подведомственных организаций
• Координирует категорирование региональных систем (РИСЗ), с которыми интегрированы локальные МИС
• Обеспечивает методическую поддержку
• Контролирует сроки направления сведений во ФСТЭК

Обеспечение безопасности объектов КИИ в здравоохранении

После присвоения категории значимости субъект КИИ обязан обеспечить безопасность объекта в соответствии с приказом ФСТЭК No 239. Для здравоохранения этот этап имеет свою специфику.

Требования к защите по категориям (Приказ ФСТЭК No 239)

Приказ No 239 устанавливает базовые наборы мер защиты для каждой категории:

Специфика: доступность vs конфиденциальность в медицине

В большинстве отраслей приоритет информационной безопасности --- конфиденциальность. В здравоохранении --- доступность. Это принципиальное отличие:

• Врач должен получить доступ к данным пациента немедленно, даже в нештатной ситуации
• Блокировка доступа к МИС из-за сбоя системы аутентификации может быть опаснее, чем утечка данных
• Резервные механизмы доступа (экстренный вход, бумажные копии критических назначений) --- обязательный элемент системы безопасности

При разработке модели угроз для медицинской ИС необходимо учитывать этот приоритет: меры защиты не должны создавать препятствий для оказания медицинской помощи.

Интеграция ИБ с требованиями по защите ПДн пациентов

Медицинские данные --- специальная категория персональных данных по 152-ФЗ. Это означает двойные требования:

• По 187-ФЗ --- обеспечение безопасности объекта КИИ (приказ ФСТЭК No 239)
• По 152-ФЗ --- защита ИСПДн (приказ ФСТЭК No 21)

На практике требования во многом пересекаются. Оптимальный подход --- проектировать систему защиты одновременно под оба набора требований. Модуль защиты персональных данных в КиберОснова позволяет одновременно отслеживать выполнение требований 152-ФЗ и 187-ФЗ для медицинских организаций.

Автоматизация категорирования КИИ в медицинских организациях

Категорирование в здравоохранении осложняется количеством объектов, отраслевой спецификой критериев и необходимостью координации между медицинским и ИТ-персоналом. Автоматизация через SGRC-систему существенно сокращает трудозатраты.

Инвентаризация медицинских ИС

Первый шаг --- формирование полного перечня информационных систем. В медицинской организации это:

• МИС (включая модули: регистратура, стационар, приёмный покой, аптека)
• ЛИС (с перечнем подключённых анализаторов)
• ПАКС/RIS (с указанием объёма архива и интеграций)
• Системы управления медицинским оборудованием
• АСУ инженерными системами
• Системы телемедицины (если используются)

КиберОснова обеспечивает централизованную инвентаризацию всех систем с фиксацией технических характеристик, владельцев, интеграций и зависимостей.

Расчёт критериев значимости

Для каждого объекта КИИ необходимо оценить все 14 показателей из ПП-127. В здравоохранении ключевые показатели:

1. Причинение вреда жизни и здоровью --- рассчитывается по количеству пациентов и тяжести возможных последствий
2. Прекращение или нарушение функционирования --- оценивается время простоя и возможность «бумажного» режима
3. Нарушение государственного управления --- для систем, интегрированных с региональной инфраструктурой здравоохранения

Формирование документации в КиберОснова

Результатом категорирования является пакет документов:

• Перечень объектов КИИ с присвоенными категориями
• Акт категорирования по каждому объекту
• Сведения о результатах категорирования для направления во ФСТЭК
• Протоколы заседаний комиссии

КиберОснова автоматически формирует все документы на основе введённых данных, контролирует полноту заполнения и соответствие формам, утверждённым ФСТЭК. Для контроля выполнения рекомендаций комиссии используется модуль аудита ИБ.

Итоги

Категорирование объектов КИИ в здравоохранении --- задача, которая требует одновременного понимания нормативной базы (187-ФЗ, ПП-127, приказы ФСТЭК) и отраслевой специфики медицины. Три ключевых вывода:

1. Все медицинские организации --- субъекты КИИ, включая частные клиники и лаборатории. Основные объекты: МИС, ЛИС, ПАКС, АСУ инженерных систем.

2. Ключевой критерий --- социальная значимость. Для здравоохранения определяющим является количество пациентов, которым может быть причинён вред при нарушении работы системы. Крупные стационары с реанимацией --- 2-я категория, поликлиники --- 3-я или без категории.

3. Специфика отрасли --- приоритет доступности. Меры защиты не должны препятствовать оказанию медицинской помощи. Пересечение с 152-ФЗ (специальная категория ПДн) требует комплексного подхода к выполнению обоих наборов требований.

Если ваша медицинская организация готовится к категорированию или пересмотру категорий --- запросите демо КиберОснова. Покажем, как платформа учитывает отраслевую специфику здравоохранения и автоматизирует формирование документации для ФСТЭК.