2) комплекс программно-технических средств и организационных решений по защите информации от актуальных угроз (+)
3) антивирусную защиту
4) обязательное использование квалифицированных электронных подписей всеми пользователями
Система защиты информации в медицинских информационных системах представляет собой совокупность взаимосвязанных организационных и программно-технических мер, направленных на предотвращение, выявление и устранение угроз безопасности данных. Она охватывает защиту персональных данных пациентов, медицинской тайны, результатов исследований, электронных медицинских документов и сведений о медицинских работниках. Целями защиты являются конфиденциальность, целостность и доступность информации для уполномоченных пользователей.
Правильным является комплексный подход, поскольку ни один отдельный инструмент не устраняет все риски. Организационные решения включают разграничение полномочий, регламентацию доступа, обучение персонала, резервное копирование и порядок реагирования на инциденты. Программно-технические средства представлены идентификацией и аутентификацией пользователей, журналированием действий, криптографической защитой, межсетевым экранированием, антивирусными технологиями и контролем целостности данных; их состав определяется актуальными угрозами и особенностями конкретной медицинской организации.
Иерархическая система паролей обеспечивает только один из элементов управления доступом и сама по себе не является всей системой защиты. Антивирусная программа преимущественно противодействует вредоносному программному обеспечению, а квалифицированная электронная подпись подтверждает авторство и целостность электронного документа, но не заменяет остальные меры безопасности. Поэтому защита информации оценивается по совокупности реализованных механизмов и их соответствию модели угроз, требованиям законодательства и внутренним регламентам организации.
| Направление защиты | Основная задача | Типичные меры в медицинской информационной системе |
|---|---|---|
| Идентификация и аутентификация | Установление личности пользователя и проверка права входа | Учетная запись, пароль, многофакторная аутентификация, идентификация по сертификату |
| Разграничение доступа | Предоставление минимально необходимых полномочий | Ролевой доступ для врача, медицинской сестры, регистратора, администратора; принцип наименьших привилегий |
| Конфиденциальность | Предотвращение раскрытия сведений лицам без соответствующих полномочий | Шифрование каналов и хранилищ, защита медицинской тайны, контроль выгрузки данных |
| Целостность и юридическая значимость | Защита данных от незаметного изменения и подтверждение авторства документа | Электронная подпись, контроль целостности, протоколирование исправлений и версий документов |
| Доступность | Сохранение возможности работы системы и получения данных уполномоченными пользователями | Резервное копирование, отказоустойчивость, регламент восстановления, защита от отказов и атак типа отказ в обслуживании |
| Выявление и реагирование на инциденты | Своевременное обнаружение нарушения безопасности и ограничение его последствий | Журналы событий, мониторинг, антивирусная защита, блокирование подозрительных действий, план реагирования |
Эффективность защиты определяется не количеством отдельных средств, а согласованностью технических, организационных и правовых мероприятий. При изменении инфраструктуры, состава пользователей или характера угроз модель защиты должна пересматриваться. Особое значение имеет регулярный аудит прав доступа и контроль действий с медицинскими данными. Ответственность за соблюдение установленного режима информационной безопасности распространяется на всех пользователей медицинской информационной системы.