С выходом Указа Президента № 250 и Постановления Правительства № 1272 медицинские организации обязаны создать систему информационной безопасности (ИБ) «с нуля» или перестроить существующую. Главное, с чем сталкиваются главные врачи и администраторы, – нехватка готовых локальных актов. За год работы с клиниками я собрал и адаптировал полный пакет документов: от приказа о назначении ответственного до чек-листа для внутреннего аудита. В этой статье – пошаговая инструкция, как их разработать и ввести в действие, используя реальные образцы.
Зачем нужен пакет документов по ИБ
Без утверждённых локальных нормативных актов (ЛНА) невозможно:
- доказать контролирующим органам (ФСТЭК, ФСБ, РКН) наличие системы ИБ;
- назначить ответственного с чёткими полномочиями;
- привлечь сотрудников к дисциплинарной ответственности за нарушения;
- пройти проверки по 152-ФЗ и требованиям к КИИ.
Пакет должен включать минимум:
- Приказ о назначении ответственного за ИБ (заместителя руководителя).
- Положение об информационных системах, ЛВС и ИБ.
- Инструкцию для пользователей (сотрудников) по работе в сети и с данными.
- Положение о заместителе руководителя, ответственном за ИБ (по типовой форме).
- Должностные инструкции (заместителя и инженера/системного администратора).
- Чек-лист для внутреннего аудита.
Ниже разберём каждый документ на основе реальных шаблонов.
Шаг 1. Издаём приказ о назначении ответственного за ИБ
Приказ – первый и самый важный документ. Он вводит в действие всю систему.
Образец структуры приказа (из файла Prikaz-ob-otvetstvennom-za-informacionnuju-bezopasnost.docx):
- Шапка: «УТВЕРЖДАЮ», Главный врач, дата.
- Преамбула: «В целях соблюдения требований законодательства… во исполнение Постановления Правительства № 1272».
- Пункты:
- Назначить ответственным лицом за ИБ начальника ОИТиТО (ФИО).
- Перевести его на должность заместителя директора по информационной безопасности (если требуется переименование).
- Обязать пройти обучение по программе «Информационная безопасность» (не менее 360 часов) с указанием срока.
- Разработать должностную инструкцию заместителя в соответствии с типовым положением.
- Организовать работу отдела ИТ в соответствии с № 1272.
- Дата вступления, контроль за исполнением – за главным врачом.
На что обратить внимание:
- Ответственное лицо должно иметь высшее образование в сфере ИБ или пройти переподготовку 360+ часов (письмо Минздрава № 18-4/И/2-9129). Если такого специалиста нет – срочно отправляйте на курсы ФСТЭК.
- Заместитель подчиняется непосредственно главному врачу.
- Приказ должен быть доведён до всех сотрудников под подпись (лист ознакомления).
Шаг 2. Утверждаем Положение об информационных системах, ЛВС и ИБ
Это «конституция» ИТ-безопасности в организации. Документ описывает структуру сети, порядок подключения, учёт техники, обязанности администратора и пользователей.
Основные разделы (из файла Polozhenie-ob-informacionnyh-sistemah.docx):
- Основные положения – цели, собственность на технику, обязательность исполнения.
- Организационно-правовые основы – ссылки на федеральные законы (149-ФЗ, 152-ФЗ, 126-ФЗ, Указы Президента № 188, № 351, № 250).
Важно: в вашем положении должны быть актуальные Указы (2022 года). - Структура сети – перечислите сегменты (административно-технический, серверный, ЛВС подразделений, отдельные ПК).
- Средства вычислительной техники – порядок учёта (электронная бада «БД техники»), опечатывание системных блоков наклейками, запрет на вскрытие корпусов, вынос техники только по пропуску (форма пропуска – в приложении).
- Порядок подключения к ЛВС – регистрация пользователей по заявке руководителя подразделения, запрет групповых учёток, смена пароля при первом входе, блокировка при увольнении.
- Обязанности администратора ИБ – управление сетью, мониторинг, контроль доступа, антивирусная защита, резервное копирование.
- Безопасность в сети – организационные и технические мероприятия (аутентификация, межсетевое экранирование, автономное питание).
- Злоупотребления – коммерческое использование, несанкционированный доступ, перегрузка сети. Пресечение – внутренняя комиссия.
Приложения к Положению (обязательны):
- Форма пропуска выноса техники.
- Форма заявки на доступ к ЛВС.
- Инструкция по работе в ЛВС для пользователей (отдельный документ).
Совет: В Положении обязательно укажите, что администратор ИБ назначается приказом, и что его указания обязательны для всех сотрудников.
Шаг 3. Внедряем Инструкцию для пользователей (сотрудников)
Этот документ – под роспись для каждого, кто работает за компьютером. Он простым языком объясняет, что можно и что нельзя.
Ключевые разделы (из приложения № 2 к Положению):
- Определения (ПК, ПО, вредоносное ПО, трафик, запрещённые сайты и т.д.).
- Общие положения – каждый пользователь несёт персональную ответственность, запрещено использовать чужие учётные записи.
- Работа на рабочем месте – блокировка экрана при уходе, запрет на самостоятельное подключение оборудования, установку ПО, изменение настроек.
- Работа в корпоративной сети – хранить документы на сервере, не передавать конфиденциальную информацию по открытым каналам.
- Работа со съёмными носителями – только с разрешения руководителя, обязательная проверка на вирусы, безопасное извлечение.
- Электронная почта – не открывать подозрительные письма, не пересылать служебную информацию на личные ящики, учреждение имеет право контролировать переписку.
- Интернет – доступ только по служебной необходимости, запрет на порно, игры, соцсети (если не связаны с работой), лимит трафика 10 Гб, блокировка запрещённых сайтов.
- Пароли – длина не менее 6 символов, буквы в разных регистрах, цифры или спецсимволы, не записывать на бумаге, менять при подозрении на компрометацию.
- Нештатные ситуации – при сбоях или подозрении на вирус немедленно сообщать администратору ИБ.
- Ответственность – за разглашение персональных данных – вплоть до уголовной.
Образец листа ознакомления (приложение № 3 к Положению) – таблица с ФИО, отделением, датой и подписью. Обязательно собирайте подписи со всех сотрудников, включая врачей и медсестёр.
Шаг 4. Разрабатываем Положение о заместителе руководителя, ответственном за ИБ
Этот документ – строго по Постановлению № 1272. Типовое положение уже утверждено Правительством, вам нужно лишь адаптировать его под свою организацию.
Структура (из файла Polozhenie-o-zamestitele-rukovoditelya-organizacii.pdf):
- I. Общие положения – ответственное лицо назначается руководителем, подчиняется напрямую главному врачу, его указания обязательны для всех.
- II. Квалификационные требования – высшее образование по ИБ (или переподготовка от 360 часов), знание законов, угроз, средств защиты, компьютерных атак, КИИ, персональных данных.
- III. Должностные обязанности – (очень подробно, перечислены в пп. 9–21 типового положения):
- организует разработку политики ИБ;
- контролирует выполнение мер ФСБ и ФСТЭК;
- обеспечивает беспрепятственный доступ контролёрам;
- взаимодействует с НКЦКИ;
- переводит системы на отечественные средства защиты;
- отчитывается руководству и в госорганы.
- IV. Права – давать указания, запрашивать информацию, участвовать в коллегиальных органах, инициировать проверки.
- V. Ответственность – за неисполнение обязанностей, разглашение гостайны, недостижение целей ИБ.
Что нужно дописать от себя:
Конкретное наименование должности (например, «заместитель главного врача по информационной безопасности»), точные ссылки на вашу организацию, подписи.
Шаг 5. Составляем должностные инструкции для заместителя и инженера ИБ
5.1 Должностная инструкция заместителя главного врача по ИБ
Берём за основу файл Dolzhnostnaya-instrukciya-zama-po-IB.docx. Она практически полностью повторяет типовое положение, но дополнена:
- Конкретными обязанностями по обучению персонала, проведению внутренних аудитов, согласованию документации.
- Требованиями к знаниям (нормативные акты, стандарты, угрозы, средства защиты).
- Пунктом о повышении квалификации не реже 1 раза в 5 лет.
Обязательно укажите:
«Распоряжения заместителя главного врача по ИБ являются обязательными для исполнения всеми работниками учреждения».
5.2 Должностная инструкция инженера информационной безопасности (системного администратора)
Файл Dolzhnostnaya-instrukciya-inzhenera-informacionnoj-bezopasnosti-MO.docx очень подробный, соответствует профессиональному стандарту «Специалист по безопасности компьютерных систем и сетей» (приказ Минтруда № 598н).
Основные трудовые функции инженера:
- Администрирование подсистем защиты в операционных системах (настройка антивирусов, обновлений, контроль целостности).
- Администрирование средств защиты в компьютерных сетях (межсетевые экраны, VPN, фильтрация пакетов).
- Контроль эффективности средств защиты, тестирование на уязвимости.
- Разработка требований и политик безопасности.
- Расследование инцидентов (компьютерные атаки, утечки).
Практический совет:
Если у вас в штате только один системный администратор, включите в его инструкцию обязанности инженера ИБ (но тогда он должен пройти переподготовку по ИБ от 72 часов). Если отдел больше – разделите.
Шаг 6. Проводим внутренний аудит по чек-листу
Чек-лист (файл Chek-list-po-proverke-sluzhby-informacionnoj-bezopasnosti-medorganizacii.docx) – это 106 контрольных вопросов, которые позволяют проверить, всё ли вы сделали правильно.
Примеры вопросов (по ГОСТ ISO 9001-2015 и требованиям СМК):
| № | Контрольный вопрос | Критерий |
|---|---|---|
| 1 | Имеется ли доступ к актуальной версии ГОСТ ISO 9001-2015? | Наличие документа |
| 2 | Имеется ли документальное подтверждение ознакомления сотрудников с Политикой в области качества? | Лист ознакомления |
| 5 | Имеется ли доступ к актуальной версии «Руководства по качеству»? | ЭДО, 2 уровень |
| 14 | Определены ли риски вашего процесса? | Аналитическая таблица |
| 17 | Анализируются ли риски? Имеются ли записи в Плане предупреждающих действий? | Записи за период |
| 64 | Имеется ли доступ к актуальным должностным инструкциям? | ЭДО, 6 уровень |
| 66 | Как осуществляется работа с выявленными несоответствиями? | Реестр КД в 1С |
| 90 | Имеются ли инструкции по охране труда для сотрудников отделения? | Электронный ресурс |
| 106 | Реестр контролирующих органов и нормативной документации | ЭДО, 8 уровень |
Как использовать чек-лист:
Раз в квартал или полугодие заместитель по ИБ (или назначенная комиссия) проходит по каждому пункту, ставит «соответствует» или «не соответствует». В графе «Комментарий» указывает, что нужно исправить. Результаты докладываются главному врачу.
Возможные проблемы и их решение
1. Нет сотрудника с профильным образованием по ИБ
Решение: Отправьте на профессиональную переподготовку (360 часов) действующего начальника ИТ-отдела или заместителя. Учебный центр должен иметь лицензию ФСТЭК. Курсы есть очные и дистанционные (например, Академия ФСБ России, учебные центры при вузах). На время обучения назначьте ответственного приказом с пометкой «проходит обучение».
2. Сотрудники отказываются подписывать инструкцию по работе в ЛВС
Решение: Это нарушение трудовой дисциплины. В Положении об ИБ и в трудовом договоре (или допсоглашении) должна быть ссылка на обязанность соблюдать локальные акты по ИБ. Отказ от подписи фиксируйте актом, затем применяйте дисциплинарное взыскание.
3. В организации нет выделенного отдела ИБ, только один системный администратор
Решение: По Постановлению № 1272 допускается, что функции подразделения ИБ исполняет один сотрудник (или даже внешний центр – аккредитованная организация). Главное – назначьте ответственного заместителя (руководителя) и закрепите обязанности в его должностной инструкции. Системный администратор при этом может выполнять технические функции инженера ИБ.
4. Непонятно, как наладить взаимодействие с НКЦКИ
Решение: Согласно п. 14 типового положения, есть три способа:
- заключить соглашение о взаимодействии с ФСБ (Национальным координационным центром);
- аккредитовать своё подразделение как центр ГосСОПКА;
- привлечь аккредитованную стороннюю организацию.
Для большинства МО оптимален первый вариант – направить запрос в НКЦКИ (cert.gov.ru) и заключить соглашение. Порядок описан в приказе ФСБ № 367.
5. В Положении об ИС устарели ссылки на законы
Решение: Обязательно проверьте ссылки на Указы Президента (должен быть № 250 от 01.05.2022), на Постановление № 1272, на ФСТЭК Приказ № 21 (о КИИ) и т.д. Если используете старый шаблон (например, 2018 года), замените пункты.
Советы по внедрению
- Начните с приказа и назначения ответственного – без этого вы не сможете требовать от сотрудников соблюдения остальных документов.
- Проведите общее собрание – объясните всем, что новые правила ИБ связаны с требованиями закона и угрозой взломов. Раздайте Инструкцию пользователям под подпись.
- Используйте электронный документооборот (ЭДО) – все положения, инструкции, чек-листы должны храниться в актуальной версии в общем доступе (например, на файловом сервере или в СЭД). В чек-листе прямо указаны уровни доступа (ЭДО, 4 уровень и т.д.).
- Раз в полгода проводите внутренний аудит по чек-листу – это поможет выявить слабые места до прихода проверки из ФСТЭК.
- Не экономьте на обучении – курсы по ИБ для ответственного и для инженера обязательны. Без них вас могут оштрафовать как за отсутствие квалификации.
Заключение
Пакет документов по информационной безопасности – это фундамент, на котором строится вся защита медицинской организации. Используя приведённые образцы (приказ, положение об ИС, инструкцию для пользователей, типовое положение о заместителе, должностные инструкции и чек-лист), вы сможете быстро разработать и внедрить ЛНА, соответствующие требованиям 2022–2023 годов. Главное – не откладывайте: контролирующие органы уже начали проверки по исполнению Указа № 250 и Постановления № 1272.
Если нужны доработанные шаблоны под вашу конкретную организацию или помощь в заполнении чек-листа – пишите, разберём.