Информационная безопасность медицинских организаций (МО) вышла на первый план: медицинские данные относятся к категории критической информационной инфраструктуры (КИИ), а с 2022–2023 годов вступили в силу требования Указа Президента № 250, Постановления Правительства № 1272 и обновлённого 152-ФЗ «О персональных данных». В статье разберём, как создать службу ИБ в больнице или поликлинике, на кого возложить обязанности, как отчитываться перед контролирующими органами и какие штрафы грозят за нарушения.
1. Кто обязан создавать отдел (назначить ответственного) по ИБ
В соответствии с Указом Президента РФ от 01.05.2022 № 250 и Постановлением Правительства РФ от 15.07.2022 № 1272, медицинские организации, являющиеся объектами КИИ, обязаны создать структурное подразделение по информационной безопасности или назначить ответственное лицо.
Важно: Отсутствие ответственного за ИБ или непрофильное образование сотрудника – прямое нарушение, которое проверяют ФСТЭК и ФСБ.
Кого назначают руководителем ИБ?
- Главного врача
- Заместителя главного врача (наиболее частый вариант)
- Иного сотрудника с соответствующим образованием и опытом
Требования к образованию руководителя ИБ (письмо Минздрава № 18-4/И/2-9129 от 04.06.2022):
- Высшее образование по направлению «Информационная безопасность» (специалитет/магистратура)
- ИЛИ высшее образование по другой специальности + профессиональная переподготовка по ИБ не менее 360 часов
- Опыт работы в сфере ИБ от 3 лет
Требования к остальным сотрудникам отдела ИБ:
- Высшее образование по ИБ или переподготовка от 72 часов
- Повышение квалификации каждые 5 лет (только в центрах, аккредитованных ФСТЭК)
Если в штате нет таких специалистов, а ИТ-администраторы не прошли обучение – готовьтесь к штрафам и предписаниям.
2. Зачем нужен отдел ИБ в медорганизации (основные задачи)
Главная цель – защита критической информационной инфраструктуры и персональных данных пациентов и сотрудников. Конкретные задачи:
- Составление планов работ по ИБ на год
- Выявление и устранение уязвимостей информационных систем
- Обнаружение, предотвращение и ликвидация последствий компьютерных атак
- Взаимодействие с Национальным координационным центром по компьютерным инцидентам (НКЦКИ)
- Представление отчётности в ФСТЭК и ФСБ
- Обучение персонала правилам ИБ
- Контроль уровня защищённости сетей и систем
Кто за что отвечает (примерное распределение):
| Функция | Ответственный |
|---|---|
| Планирование, отчётность, взаимодействие с контролерами | Руководитель отдела ИБ |
| Техническая защита, настройка сетей, мониторинг | Системный администратор / инженер ИБ |
| Реагирование на инциденты, закрытие уязвимостей | Системный администратор, руководитель |
| Обучение сотрудников | Руководитель отдела ИБ |
3. Категория КИИ медицинской организации
Медицинские организации относятся к первой категории критической информационной инфраструктуры (Постановление Правительства № 127). Почему? Потому что в результате атаки или утечки данных возможен ущерб жизни и здоровью более 500 граждан.
Порядок категорирования:
- Создаётся внутренняя комиссия.
- Комиссия присваивает объекту КИИ категорию (1, 2 или 3).
- Отчёт направляется в ФСТЭК для внесения в реестр.
Важно: Если вы не провели категорирование – это нарушение.
4. Документы, которые нужно разработать или актуализировать
Для создания системы ИБ потребуется комплект локальных нормативных актов (образцы можно скачать в конце статьи).
4.1 Положение об информационных системах, средствах вычислительной техники, ЛВС и ИБ
Включите разделы:
- Основные положения
- Структура сети
- Порядок подключения к ЛВС
- Обязанности администратора ИБ
- Правила безопасности в сети
- Меры по предотвращению злоупотреблений
Приложение: Инструкция по работе в ЛВС и соблюдению правил ИБ (для всех сотрудников).
4.2 Положение о заместителе руководителя, ответственном за ИБ
Определяет права, обязанности, ответственность заместителя главного врача по ИБ.
4.3 Положение о структурном подразделении (отделе) ИБ
Если создаётся отдельный отдел – пропишите его задачи, штат, подчинённость.
4.4 Приказ о назначении ответственных за ИБ
В приказе укажите:
- Правовое основание (Указ № 250, Постановление № 1272)
- ФИО, должности назначенных лиц
- Функции (руководитель, инженер, системный администратор)
4.5 Должностные инструкции сотрудников отдела ИБ
Разработайте отдельные инструкции для:
- Заместителя главного врача по ИБ
- Инженера по информационной безопасности
- Системного администратора (с расширенными обязанностями по ИБ)
4.6 Годовой план работ по ИБ
Включите мероприятия:
- Мониторинг уязвимостей
- Обучение персонала
- Тестирование системы защиты
- Плановые отчёты в ФСТЭК/НКЦКИ
4.7 Чек-лист проверки службы ИБ
Для внутреннего контроля (образец можно скачать).
5. Изменения в работе с персональными данными (152-ФЗ)
С 1 сентября 2022 года вступили в силу поправки к 152-ФЗ, а с 1 марта 2023 года – новые требования (Закон № 266-ФЗ). Медорганизации обязаны перестроить работу.
5.1 Уведомление Роскомнадзора о начале обработки ПДн
Теперь почти все операторы обязаны уведомлять РКН. Исключения – обработка без автоматизации, государственные системы безопасности, транспортная безопасность.
Как подать:
- В электронном виде с ЭЦП через ЕСИА
- На бумаге
- Через форму на сайте РКН
Срок: до сих пор чётко не определён, но лучше подать сразу после начала обработки. Изменения в уведомление – в течение 10 рабочих дней (с 1 марта 2023 – до 15 числа следующего месяца).
5.2 Отказ пациенту в услуге – только в исключительных случаях
Если пациент не подписал согласие на обработку ПДн, вы не можете отказать ему в помощи, кроме случаев, когда обработка ПДн обязательна для заключения договора (ФИО, адрес, СНИЛС, паспортные данные – необходимы). Тестирование на ВИЧ, лечение зависимостей можно проводить анонимно.
5.3 Согласие на обработку ПДн должно быть предметным
Недостаточно общей фразы «согласен на обработку». Укажите конкретную цель обработки. РКН проверяет шаблоны согласий.
5.4 Положение о персональных данных – переработать
В Положении пропишите для каждой цели обработки:
- Категории и перечень ПДн
- Категории субъектов (пациенты, сотрудники)
- Способы и сроки обработки/хранения
- Порядок уничтожения
5.5 Уведомление об утечке ПДн
В течение 24 часов с момента обнаружения утечки сообщите в Роскомнадзор через систему ГосСОПКА (или по альтернативным каналам). Одновременно уведомите НКЦКИ.
6. Взаимодействие с контролирующими органами
6.1 ФСТЭК (техническая защита информации, ИСПДн, КИИ)
Что проверяют:
- Уровень защищённости информационной системы персональных данных (ИСПДн)
- Наличие модели угроз и модели нарушителя
- Класс защищённости
- Сертификаты на средства защиты
Периодичность плановых проверок: раз в 3 года. Внеплановые – после инцидентов, по поручению Президента, прокуратуры.
Отчётность: по запросу – сведения об инцидентах, принятых мерах, эффективности.
6.2 ФСБ (криптографическая защита)
Что проверяют:
- Наличие и сертификацию СКЗИ (средств криптографической защиты информации)
- Сроки действия сертификатов
- Условия хранения ключей и документации
- Способы применения шифрования
Штрафы: за использование несертифицированных СКЗИ или с истекшим сроком – от предупреждения до крупных сумм.
6.3 НКЦКИ (Национальный координационный центр по компьютерным инцидентам)
Что передавать: сведения о компьютерных инцидентах (атаках, взломах, утечках) – в соответствии с приказом ФСБ № 367 от 24.04.2018.
Как передавать: через техническую инфраструктуру НКЦКИ (требуется подключение) или по альтернативным каналам (почта, факс, e-mail). Если не подключены – отправьте запрос на создание учётной записи.
Важно: Не уведомили НКЦКИ об инциденте – рискуете получить внеплановую проверку ФСТЭК/ФСБ.
7. Штрафы за нарушения информационной безопасности
| Нарушение | Статья КоАП | Штраф на должностное лицо | Штраф на юридическое лицо |
|---|---|---|---|
| Обработка ПДн без согласия, нарушение требований 152-ФЗ | 13.11 | до 100 000 руб. | до 6 000 000 руб. |
| Неуведомление РКН об обработке ПДн | 13.11 | до 30 000 руб. | до 100 000 руб. |
| Неисполнение требований по защите КИИ | 13.12 | до 50 000 руб. | до 500 000 руб. |
| Использование несертифицированных СКЗИ | 13.12 | до 30 000 руб. | до 300 000 руб. |
| Непредставление сведений об инцидентах в НКЦКИ | 19.7 | до 5 000 руб. | до 50 000 руб. |
Суммы штрафов регулярно индексируются, актуальные значения уточняйте в КоАП.
8. Как контролировать работу отдела ИБ (внутренний аудит)
Контроль осуществляет главный врач (п. 2 Указа № 250). Рекомендуемая периодичность:
- Ежемесячный отчёт руководителя ИБ (инциденты, меры, статистика по уязвимостям)
- Полугодовой аудит по чек-листу
- Годовой отчёт с планом на следующий год
Если система постоянно взламывают – закажите внешний аудит в компании, лицензированной ФСТЭК.
9. Частые ошибки медицинских организаций
- Назначение ответственным за ИБ системного администратора без переподготовки – его квалификация не соответствует требованиям.
- Отсутствие Положения о персональных данных в новой редакции – старые шаблоны не проходят проверку РКН.
- Использование бесплатных или несертифицированных антивирусов/СКЗИ – нарушение требований ФСТЭК.
- Несвоевременное уведомление об инцидентах – пропуск 24-часового срока.
- Не проведено категорирование объектов КИИ – организация формально не исполняет Постановление № 127.
Заключение
Организация информационной безопасности в медицинской организации – не формальность, а требование законов и подзаконных актов, подкреплённое серьёзными штрафами. Чтобы избежать предписаний и финансовых потерь:
- Назначьте ответственного с профильным образованием (или отправьте на переподготовку 360/72 часа).
- Разработайте полный пакет документов (положения, инструкции, приказы).
- Перестройте работу с персональными данными по новому 152-ФЗ.
- Наладьте взаимодействие с ФСТЭК, ФСБ и НКЦКИ (отчётность, уведомления об инцидентах).
- Проводите внутренний аудит и регулярно повышайте квалификацию сотрудников ИБ.