Как защитить медицинские данные с помощью DLP-решений

Организации в медицинской сфере получают и обрабатывают большое количество сведений, которые являются конфиденциальными. При этом достаточно актуальна проблема утечки информации, последствия которой могут быть очень серьезными как для пациентов, так и самих учреждений. В этой статье мы подробно разберем вопросы защиты медицинских данных.

Виды данных в медицинских организациях

Медицинские организации – государственные учреждения в сфере здравоохранения, больницы, клиники, медицинские центры – собирают и обрабатывают следующие виды информации:

• Персональные данные. Это личные сведения пациентов (ФИО, адрес, контакты, номер полиса, паспорта и т. д.). Чаще всего целью злоумышленников являются именно эти данные – они наиболее ликвидны с точки зрения монетизации и все еще пользуются спросом на «черных рынках» и в даркнете.

• Статистическая информация. Это сведения, которые меняются не столь динамично, а также не позволяют напрямую идентифицировать личность человека. Например, некоторые данные из медицинских карт пациентов.

• Врачебная тайна. Информация о состоянии здоровья пациентов, диагнозах, ходе лечения.

• Коммерческая тайна. База данных клиентов клиники, планы развития, собственные методики диагностики и лечения.

Также есть служебная информация — внутренние сведения по результатам проверок, исполнению требований внутреннего распорядка.

Угрозы безопасности данных в медучреждениях

В последние годы ощутимо растет уровень цифровизации медучреждений. Обратная сторона — увеличение масштабов хакерских атак, уязвимость устройств и информационных систем.

Основные угрозы:

• получение несанкционированного доступа к конфиденциальным данным;

• изменение или уничтожение информации;

• выведение из строя технических средств, обеспечивающих получение доступа;

• изменение модулей и состава информационной системы.

Важно обеспечить всестороннюю защиту медицинских данных, в том числе с применением новейших технологий.

Особенности защиты данных в медицинских учреждениях

Защита данных в любой организации начинается с разработки и введения политики безопасности, что на практике означает, в частности, обеспечение охраны помещений, использование технических и информационно-аналитических средств работы, обеспечение правильной работы с документацией, контроль работы сотрудников с конфиденциальной информацией. Важны грамотный анализ угроз и рисков, их приоритизация, а также разработка технических и организационных мер противодействия.

Основные принципы обеспечения кибербезопасности для медицинских учреждений:

• моделирование угроз и отработка мер, разработка технических заданий;

• внедрение и своевременное обновление защитных систем;

• обучение сотрудников компьютерной грамотности и основам противодействия киберугрозам;

• разработка регламента по работе с медицинскими данными;

• ведение учета носителей и разграничение доступа сотрудников медицинских учреждений к конфиденциальным данным.

Важна качественная защита медицинских данных, например, с помощью DLP-систем. Такие решения, наряду с MFA, DCAP, IdM, DAM, позволяют осуществлять непрерывный мониторинг движения и хранения защищаемых данных и своевременно обнаруживать инциденты безопасности. Также обеспечивается соответствие требованиям регуляторов.

Ответственность за утечку данных в медицинских организациях

В случае утечки данных предусмотрена ответственность виновных лиц согласно трудовому, административному или уголовному кодексу.

Дисциплинарная ответственность связана со случайными утечками, которые не угрожают репутации учреждения. Ее выносит руководитель в виде выговора, замечания, а в крайнем случае — увольнения.

Гражданско-правовая ответственность связана с ощутимыми последствиями. В этом случае виновнику придется заплатить штраф и компенсировать убытки.

Если дело рассматривают в суде, возможны административная (предупреждение или штраф) либо уголовная (крупные штрафы, принудительные работы или лишение свободы) ответственность.

Способы защиты медицинских данных с помощью DLP-систем в медицинских организациях

Преимущество таких решений в том, что они защищают конфиденциальные данные, независимо от местоположения хостов. DLP-системы работают даже при отсутствии подключения к интернету. Благодаря всестороннему контролю используемых каналов коммуникаций (таких как электронная почта, мессенджеры, облачные хранилища, съемные носители и т. д.), применению политик безопасности, а также использованию режима блокировки минимизируются риски хищения и вывода данных за периметр организации.

DLP- решения применяются для постоянного отслеживания коммуникаций, обработки и передачи конфиденциальных сведений, выявления фактов хранения в непредназначенных для этого местах хранения данных. Мониторинг позволяет выявить не только сотрудников из группы риска, но и тех, кто уже нарушает правила работы с данными.

Особенности защиты медицинских данных с помощью DLP-систем:

• Профилактика, предотвращение инцидентов, а также проведение расследований;

• Анализ поведения пользователей в рабочее время и особенностей их работы с конфиденциальными данными;

• Генерирование отчетов по результатам мониторинга;

• Возможность работы в геораспределенном режиме – актуально для медицинских организаций, котореы имеют разветвленную сеть филиалов.

• Легкость интеграции со сторонними ИТ- и ИБ-системами для формирования более комплексной картины безопасности данных.

Для медицинских организаций подходит система Solar Dozor. Это программное средство защиты от несанкционированной передачи конфиденциальной информации. Соответствует 4 уровню доверия требований к безопасности согласно Приказу ФСТЭК России № 76 от 2 июня 2020 г. и сертификату соответствия ТУ 5014-003-17764670-2019.

Заключение

Медицинские организации — это «лакомый кусок» для злоумышленников, поскольку в их инфраструктуре содержится большое количество конфиденциальной информации, в том числе данных о пациентах и их платежных инструментах, персонале, самом учреждении, а также о системе здравоохранения.

В данной сфере крайне важно обеспечить безопасность данных на всех уровнях. Обеспечение конфиденциальности входит в зону ответственности самой организации, поэтому оптимальное решение — внедрить качественную систему безопасности.