Анализ коммуникаций — красная таблетка для офицера внутренней безопасности
Узнать большеОрганизации в медицинской сфере получают и обрабатывают большое количество сведений, которые являются конфиденциальными. При этом достаточно актуальна проблема утечки информации, последствия которой могут быть очень серьезными как для пациентов, так и самих учреждений. В этой статье мы подробно разберем вопросы защиты медицинских данных.
Виды данных в медицинских организациях
Медицинские организации – государственные учреждения в сфере здравоохранения, больницы, клиники, медицинские центры – собирают и обрабатывают следующие виды информации:
-
Персональные данные. Это личные сведения пациентов (ФИО, адрес, контакты, номер полиса, паспорта и т. д.). Чаще всего целью злоумышленников являются именно эти данные – они наиболее ликвидны с точки зрения монетизации и все еще пользуются спросом на «черных рынках» и в даркнете.
-
Статистическая информация. Это сведения, которые меняются не столь динамично, а также не позволяют напрямую идентифицировать личность человека. Например, некоторые данные из медицинских карт пациентов.
-
Врачебная тайна. Информация о состоянии здоровья пациентов, диагнозах, ходе лечения.
-
Коммерческая тайна. База данных клиентов клиники, планы развития, собственные методики диагностики и лечения.
Также есть служебная информация — внутренние сведения по результатам проверок, исполнению требований внутреннего распорядка.
Угрозы безопасности данных в медучреждениях
В последние годы ощутимо растет уровень цифровизации медучреждений. Обратная сторона — увеличение масштабов хакерских атак, уязвимость устройств и информационных систем.
Основные угрозы:
-
получение несанкционированного доступа к конфиденциальным данным;
-
изменение или уничтожение информации;
-
выведение из строя технических средств, обеспечивающих получение доступа;
-
изменение модулей и состава информационной системы.
Важно обеспечить всестороннюю защиту медицинских данных, в том числе с применением новейших технологий.
Особенности защиты данных в медицинских учреждениях
Защита данных в любой организации начинается с разработки и введения политики безопасности, что на практике означает, в частности, обеспечение охраны помещений, использование технических и информационно-аналитических средств работы, обеспечение правильной работы с документацией, контроль работы сотрудников с конфиденциальной информацией. Важны грамотный анализ угроз и рисков, их приоритизация, а также разработка технических и организационных мер противодействия.
Основные принципы обеспечения кибербезопасности для медицинских учреждений:
-
моделирование угроз и отработка мер, разработка технических заданий;
-
внедрение и своевременное обновление защитных систем;
-
обучение сотрудников компьютерной грамотности и основам противодействия киберугрозам;
-
разработка регламента по работе с медицинскими данными;
-
ведение учета носителей и разграничение доступа сотрудников медицинских учреждений к конфиденциальным данным.
Важна качественная защита медицинских данных, например, с помощью DLP-систем. Такие решения, наряду с MFA, DCAP, IdM, DAM, позволяют осуществлять непрерывный мониторинг движения и хранения защищаемых данных и своевременно обнаруживать инциденты безопасности. Также обеспечивается соответствие требованиям регуляторов.
Ответственность за утечку данных в медицинских организациях
В случае утечки данных предусмотрена ответственность виновных лиц согласно трудовому, административному или уголовному кодексу.
Дисциплинарная ответственность связана со случайными утечками, которые не угрожают репутации учреждения. Ее выносит руководитель в виде выговора, замечания, а в крайнем случае — увольнения.
Гражданско-правовая ответственность связана с ощутимыми последствиями. В этом случае виновнику придется заплатить штраф и компенсировать убытки.
Если дело рассматривают в суде, возможны административная (предупреждение или штраф) либо уголовная (крупные штрафы, принудительные работы или лишение свободы) ответственность.
Способы защиты медицинских данных с помощью DLP-систем в медицинских организациях
Преимущество таких решений в том, что они защищают конфиденциальные данные, независимо от местоположения хостов. DLP-системы работают даже при отсутствии подключения к интернету. Благодаря всестороннему контролю используемых каналов коммуникаций (таких как электронная почта, мессенджеры, облачные хранилища, съемные носители и т. д.), применению политик безопасности, а также использованию режима блокировки минимизируются риски хищения и вывода данных за периметр организации.
DLP- решения применяются для постоянного отслеживания коммуникаций, обработки и передачи конфиденциальных сведений, выявления фактов хранения в непредназначенных для этого местах хранения данных. Мониторинг позволяет выявить не только сотрудников из группы риска, но и тех, кто уже нарушает правила работы с данными.
Особенности защиты медицинских данных с помощью DLP-систем:
-
Профилактика, предотвращение инцидентов, а также проведение расследований;
-
Анализ поведения пользователей в рабочее время и особенностей их работы с конфиденциальными данными;
-
Генерирование отчетов по результатам мониторинга;
-
Возможность работы в геораспределенном режиме – актуально для медицинских организаций, котореы имеют разветвленную сеть филиалов.
-
Легкость интеграции со сторонними ИТ- и ИБ-системами для формирования более комплексной картины безопасности данных.
Для медицинских организаций подходит система Solar Dozor. Это программное средство защиты от несанкционированной передачи конфиденциальной информации. Соответствует 4 уровню доверия требований к безопасности согласно Приказу ФСТЭК России № 76 от 2 июня 2020 г. и сертификату соответствия ТУ 5014-003-17764670-2019.
Заключение
Медицинские организации — это «лакомый кусок» для злоумышленников, поскольку в их инфраструктуре содержится большое количество конфиденциальной информации, в том числе данных о пациентах и их платежных инструментах, персонале, самом учреждении, а также о системе здравоохранения.
В данной сфере крайне важно обеспечить безопасность данных на всех уровнях. Обеспечение конфиденциальности входит в зону ответственности самой организации, поэтому оптимальное решение — внедрить качественную систему безопасности.
