Категорируем медицинские информационные системы (МИС), лабораторные и диагностические комплексы клиник по 187-ФЗ — без остановки лечебного процесса.
Спасибо! Специалист свяжется с вами в ближайшее время.
Медицинские организации относятся к сфере здравоохранения — одной из 13 критических сфер по 187-ФЗ. Объектами КИИ становятся МИС, ЛИС, PACS, системы учёта пациентов и телемедицины.
Здравоохранение прямо названо в 187-ФЗ среди критических сфер. Субъектом КИИ становится организация этой сферы, которой на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления. Для медицинской организации, которая ведёт приёмы в МИС и получает результаты исследований из ЛИС, это выполняется практически всегда.
Форма собственности значения не имеет: закон не делит организации на государственные и частные. Многопрофильная больница, поликлиника, частная клиника, лабораторная сеть, стоматология с электронной картой пациента — все относятся к сфере здравоохранения и попадают под 187-ФЗ на одинаковых основаниях. Не требуется ни решения органа власти, ни включения в какой-либо перечень: статус субъекта КИИ возникает в силу закона, а вместе с ним и обязанность провести категорирование. Разбор общего случая — на странице проверки на КИИ.
Частый вопрос медорганизаций — считать ли объектом КИИ конкретный аппарат: томограф, УЗИ, анализатор, наркозно-дыхательную технику. Ответ следует из определения: объектом КИИ 187-ФЗ называет информационную систему, информационно-телекоммуникационную сеть или автоматизированную систему управления, а не единицу оборудования. Отдельный медицинский прибор — это медицинское изделие, и в перечень объектов он сам по себе не попадает.
Но как только оборудование работает не изолированно, картина меняется. Томограф с рабочими станциями врачей, сервером хранения и передачей изображений в архив — это уже диагностический комплекс, то есть информационная система, и категорировать нужно её. То же с лабораторией: анализаторы, подключённые к ЛИС, оцениваются в составе ЛИС, а не по отдельности. Критерий один — обеспечивает ли система критический процесс медорганизации, а не то, сколько в ней «железа».
Границу объекта определяет не поставщик оборудования и не ИТ-служба по схеме сети, а комиссия по категорированию — исходя из того, какой процесс оказания медицинской помощи система обеспечивает. Слишком мелкое дробление даёт десятки формальных объектов и лишнюю работу, слишком крупное — объект, границы которого невозможно обосновать в акте.
Перечень зависит от профиля и оснащённости, но набор систем в медорганизациях повторяется. Ниже — то, что чаще всего попадает в перечень объектов клиники или больницы.
| ТИПОВОЙ ОБЪЕКТ КИИ В МЕДИЦИНСКОЙ ОРГАНИЗАЦИИ | ПОЧЕМУ ПОПАДАЕТ В ПЕРЕЧЕНЬ |
|---|---|
| Медицинская информационная система (МИС) | Ведёт приёмы, назначения и электронные медицинские карты — при её отказе лечебный процесс переходит на бумагу и замедляется. |
| Лабораторная информационная система (ЛИС) | Связывает анализаторы с врачом: без неё результаты исследований не доходят до назначающего. |
| PACS и радиологическая информационная система (РИС) | Хранят и выдают КТ, МРТ, рентген — без доступа к изображениям диагностика останавливается. |
| Телемедицинская система | Обеспечивает дистанционные консультации, в том числе для удалённых подразделений и ФАП. |
| Узел обмена с ЕГИСЗ, РЭМД и региональными сервисами | Через него уходят электронные медицинские документы и сведения об оказанной помощи. |
| Система диспетчеризации скорой и неотложной помощи | Управляет приёмом вызовов и направлением бригад — отказ прямо влияет на время доезда. |
| АСУ инженерных систем и холодовой цепи | Медицинские газы, вентиляция операционных, температурный режим хранения препаратов и вакцин. |
| Локальная сеть передачи данных медорганизации | Обеспечивает взаимодействие остальных объектов КИИ между собой и с внешними сервисами. |
Порядок категорирования для медицинских организаций тот же, что и для остальных сфер, — ПП РФ № 127 не делает исключений. Отличается то, по какому показателю объект «выстреливает». Для клиники решающей почти всегда оказывается первая группа показателей социальной значимости — причинение ущерба жизни и здоровью людей. Пороги общие для всех отраслей: К3 — от 1 до 50 человек, К2 — от 50 до 500, К1 — более 500.
Вторая особенность — режим работы. Стационар, приёмное отделение и служба скорой помощи работают круглосуточно, поэтому у медицинских систем почти нет допустимого времени простоя и нет «ночного окна», в которое отказ был бы безобиден. Это влияет и на оценку последствий, и на организацию самих работ: обследование объектов приходится встраивать в график отделений, а не наоборот.
Третья — распределение экспертизы. Оценить, скольким людям навредит отказ ЛИС, ИТ-служба не может: это знают заведующие отделениями, заведующий лабораторией, главная медсестра. Поэтому в комиссию по категорированию в медорганизации включают не только ИТ и специалиста по защите информации, но и представителей медицинских подразделений, а обоснование в акте строят на их данных.
Запрос про отраслевые методические рекомендации в этой сфере один из самых частых, и ответ на него важно понимать до начала работ. Обязательных отраслевых документов, которые меняли бы для медицинских организаций порядок категорирования, показатели значимости или сроки, нет. Юридическую силу имеют 187-ФЗ, ПП РФ № 127 и приказы ФСТЭК России — они едины для всех тринадцати сфер.
Отраслевые материалы, которые распространяются под названием методических рекомендаций и типовых перечней, полезны как справочник: по ним удобно свериться, не забыта ли характерная для отрасли система. Но они не заменяют ПП РФ № 127 и не являются основанием для решения комиссии. Ссылаться в акте нужно на постановление и на исходные данные по своему объекту, а не на методичку — иначе обоснование показателей повисает в воздухе.
В здравоохранении редко бывает так, что все системы принадлежат самой клинике. Часть работает как сервис региона, часть — федеральная. Категорировать нужно то, что принадлежит вам: обязанность идёт за владельцем объекта и не переносится тем, что систему кто-то предоставил или сопровождает.
| СИТУАЦИЯ | КТО КАТЕГОРИРУЕТ ОБЪЕКТ |
|---|---|
| МИС развёрнута на серверах клиники, лицензии у клиники | Медицинская организация — это её объект КИИ. |
| МИС в облаке поставщика, но эксплуатируется клиникой по договору | Медицинская организация: объект принадлежит ей на ином законном основании, размещение у провайдера обязанность не снимает. |
| Региональная МИС, которую ведёт МИАЦ или орган управления здравоохранением | Владелец региональной системы. У клиники остаётся её собственный сегмент и рабочие места, если они образуют самостоятельный объект. |
| ЕГИСЗ и федеральные сервисы (РЭМД и другие) | Федеральный оператор системы. Медорганизация категорирует свой узел обмена, а не саму ЕГИСЗ. |
| Оборудование и ЛИС переданы по договору аутсорсинга лаборатории | Тот, кому система принадлежит. Аутсорсинг обслуживания владельца не меняет. |
Подробный разбор ролей — на странице «Кто проводит категорирование».
Почти в каждой медорганизации уже сделаны работы по защите персональных данных: медицинские сведения относятся к специальным категориям, и требования к ИСПДн выполняются давно. Отсюда типичное заблуждение — что этим 187-ФЗ закрыт. Это разные регуляторные контуры с разными основаниями, документами и результатами: аттестат или модель угроз по ИСПДн не заменяют акт категорирования, а наличие категории значимости не отменяет требований к обработке персональных данных. Одна и та же МИС может одновременно быть и информационной системой персональных данных, и объектом КИИ.
Создаём комиссию по категорированию приказом главного врача, включая в неё представителей медицинских подразделений, ИТ и специалиста по защите информации.
Выявляем критические процессы: оказание помощи в стационаре и амбулаторно, лабораторная и лучевая диагностика, приём и распределение вызовов, обмен электронными медицинскими документами.
Формируем перечень объектов КИИ от этих процессов, а не от выгрузки из ИТ-учёта, и направляем его во ФСТЭК России.
Собираем исходные данные по каждому объекту вместе с заведующими отделениями: кого и как затронет отказ, есть ли резервный порядок работы, за какое время он разворачивается.
Оцениваем показатели значимости по ПП РФ № 127 — для клиники прежде всего ущерб жизни и здоровью людей — и фиксируем обоснование по каждому показателю.
Оформляем акт категорирования по каждому объекту и направляем сведения о результатах во ФСТЭК России.
Обследование ведём преимущественно дистанционно и по согласованному с отделениями графику: работа комиссии не требует остановки систем, изменения настроек или доступа к медицинским данным пациентов — нужны сведения о процессах и составе систем.
| ОШИБКА | ЧЕМ ОБОРАЧИВАЕТСЯ |
|---|---|
| Перечень собран по списку серверов, а не по процессам оказания помощи | В перечень попадает почтовый и файловый сервер, а телемедицина или узел обмена с ЕГИСЗ — нет. |
| Число пациентов в базе принято за число пострадавших | Показатель ущерба жизни и здоровью завышается на порядки, категория не бьётся с обоснованием и возвращается на доработку. |
| Отдельный аппарат записан объектом КИИ | Объектов становится несколько десятков, границы в акте не обосновываются, объём работ растёт без результата. |
| Региональная МИС включена в свой перечень | Категорируется чужой объект, а собственный сегмент остаётся неучтённым. |
| Работы по ИСПДн приняты за выполнение 187-ФЗ | Категорирование не проводится вовсе; обязанность считается неисполненной. |
| В комиссию включены только ИТ и служба безопасности | Некому обосновать медицинские последствия отказа — акт получается формальным. |
Полный цикл по ПП РФ №127 — от создания комиссии до направления сведений во ФСТЭК.
Приказ и постоянно действующая комиссия по категорированию.
Выявляем все объекты КИИ и формируем перечень для категорирования.
Согласуем и направляем перечень во ФСТЭК — 5 рабочих дней.
Данные о процессах, угрозах и последствиях инцидентов.
Оцениваем объект по показателям и определяем максимальные.
Присваиваем К1 / К2 / К3 либо фиксируем отсутствие категории.
Формируем и направляем сведения о результатах — 10 рабочих дней.
Цена по количеству объектов КИИ. Фиксируется в договоре, без скрытых доплат за этапы.
Категорирование — это работа постоянной комиссии субъекта КИИ по строгому регламенту. Мы готовим комиссию, ведём её и отвечаем за результат по договору: вы получаете готовый комплект документов и подтверждение ФСТЭК.
Да, если она эксплуатирует информационные системы, сети связи или АСУ. Здравоохранение прямо названо в 187-ФЗ среди критических сфер, поэтому статус субъекта КИИ возникает в силу закона — отдельного решения или включения в перечень для этого не требуется.
Да. Закон не делит организации по форме собственности: значение имеет сфера деятельности и наличие информационных систем, сетей связи или АСУ. Частная клиника, лабораторная сеть и стоматология с электронной картой пациента попадают под требования на тех же основаниях, что и государственная больница.
Само по себе — никакое: объектом КИИ является информационная система, сеть связи или АСУ, а не единица оборудования. Но диагностический комплекс с рабочими станциями, сервером и передачей изображений в архив, как и анализаторы в составе ЛИС, оценивается как информационная система и в перечень попадает.
МИС, ЛИС, PACS и радиологическая система, телемедицинская система, узел обмена с ЕГИСЗ и региональными сервисами, система диспетчеризации скорой помощи, АСУ инженерных систем и холодовой цепи, локальная сеть передачи данных медорганизации.
Чаще всего К2 или К3 — по показателю ущерба жизни и здоровью людей: К3 соответствует от 1 до 50 человек, К2 — от 50 до 500, К1 — более 500. Точную категорию определяет комиссия субъекта по фактическим данным объекта, типовой результат — только ориентир.
Обязательных отраслевых документов, меняющих порядок, показатели значимости или сроки для медицинских организаций, нет — действуют 187-ФЗ, ПП РФ № 127 и приказы ФСТЭК России. Отраслевые материалы полезны как справочник по типовым системам, но основанием для решения комиссии не являются.
Владелец системы. Если региональную МИС ведёт МИАЦ или орган управления здравоохранением, категорирует он; у медорганизации остаются её собственные системы и сегмент, если он образует самостоятельный объект. Размещение системы в облаке провайдера обязанность с владельца не снимает.
Нет. Это разные регуляторные контуры: документы по ИСПДн не заменяют акт категорирования, а присвоенная категория значимости не отменяет требований к обработке персональных данных. Одна и та же МИС может быть одновременно и ИСПДн, и объектом КИИ.
Нет. Категорирование — это обследование и документы: комиссии нужны сведения о процессах и составе систем, а не изменение настроек, остановка сервисов или доступ к данным пациентов. Работаем преимущественно дистанционно и по согласованному с отделениями графику.
Стоимость зависит от числа объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для 15 и более объектов или сложных комплексов расчёт индивидуальный. Цена фиксируется в договоре.
Проверка по 13 критическим сферам: покажет, является ли ваша медорганизация субъектом КИИ, сколько систем подлежит категорированию и во сколько это обойдётся. Без регистрации, результат сразу на экране.
Медицинские организации относятся к сфере здравоохранения — одной из 13 критических сфер по 187-ФЗ — и являются субъектами КИИ. Категорирование объектов КИИ в здравоохранении охватывает медицинские информационные системы (МИС), лабораторные информационные системы (ЛИС), системы PACS, телемедицину и узлы обмена с ЕГИСЗ. Мы проводим категорирование под ключ без остановки лечебного процесса — от создания комиссии до принятых ФСТЭК России сведений.
В перечень попадают системы, обеспечивающие оказание медицинской помощи: МИС, ЛИС, PACS и радиологическая информационная система, телемедицинская система, узел обмена с ЕГИСЗ и региональными сервисами, диспетчеризация скорой и неотложной помощи, АСУ инженерных систем и холодовой цепи, локальная сеть передачи данных. Отдельный медицинский аппарат объектом КИИ сам по себе не является: категорируется информационная система, в состав которой он входит, — например диагностический комплекс с рабочими станциями и архивом изображений или анализаторы в составе ЛИС. Типовые категории значимости для медицинских организаций — К2–К3.
Порядок категорирования для здравоохранения тот же, что для остальных сфер: ПП РФ № 127 исключений не делает, а обязательных отраслевых документов, которые меняли бы показатели значимости или сроки для медорганизаций, нет. Отраслевые методические материалы полезны как справочник по типовым системам, но основанием для решения комиссии не являются — обоснование в акте строится на постановлении и исходных данных объекта. Специфика отрасли в другом: для клиники решающим оказывается показатель ущерба жизни и здоровью людей, а круглосуточный режим стационара и скорой помощи не оставляет систем с безопасным временем простоя.
Услуга включает идентификацию субъекта КИИ, инвентаризацию и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. Результат — комплект документов и присвоенные категории значимости К1–К3.
Категорирование объектов КИИ в здравоохранении проводится по 187-ФЗ, ПП РФ № 127 и приказам ФСТЭК России. Перечень объектов направляется во ФСТЭК в течение 5 рабочих дней, на категорирование отводится до одного года, сведения о результатах — в течение 10 рабочих дней после утверждения акта. Пороги по ущербу жизни и здоровью общие для всех сфер: К3 — от 1 до 50 человек, К2 — от 50 до 500, К1 — более 500.
Категорирование ведёт комиссия медицинской организации. Мы создаём комиссию приказом главного врача — с участием представителей медицинских подразделений, а не только ИТ, — выявляем критические процессы, формируем перечень объектов от процессов оказания помощи, собираем исходные данные вместе с заведующими отделениями, оцениваем показатели значимости и оформляем акт по каждому объекту. Обследование ведём дистанционно и по согласованному графику: останавливать системы, менять настройки или получать доступ к данным пациентов не требуется.
Для значимых объектов здравоохранения после категорирования нужно построить систему безопасности по требованиям ФСТЭК России и подключиться к ГосСОПКА. Эта часть выполняется отдельно и профильным исполнителем; наша работа заканчивается принятыми сведениями о результатах категорирования, которые становятся основанием для всех дальнейших шагов.
Стоимость категорирования объектов КИИ в здравоохранении зависит от количества систем: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Срок под ключ — от 2 до 5 месяцев, цена фиксируется в договоре.
Оставьте заявку или закажите звонок — бесплатно определим объекты КИИ вашей клиники и рассчитаем стоимость. Работаем по всей России, преимущественно дистанционно, без остановки работы медучреждения.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.