Специфика информационной безопасности в отрасли здравоохранения

Специфика отрасли здравоохранения — работа с большим количеством персональных данных сотрудников и пациентов. Причем многие из этих данных попадают в категорию врачебной тайны и должны храниться, обрабатываться, передаваться и уничтожаться согласно предписанным законодательством нормам.

Нарушения в этой отрасли часто квалифицируются либо как «разглашение информации с ограниченным доступом», либо как «неправомерное воздействие на критическую информационную инфраструктуру», так как медорганизации являются субъектами КИИ (Критическая информационная инфраструктура). Из других особенностей отрасли:

Самая частая схема нарушений в здравоохранении — сговор с ритуальными организациями для продажи им данных умерших пациентов. Реже встречается халатное обращение с врачебной тайной (передача неуполномоченным лицам, нарушение при утилизации документов) и внесение ложных записей в медицинские информационные системы (МИС). Самые частые нарушители — младший медицинский персонал, сотрудники диспетчерских служб и патологоанатомических отделений. Рассмотрим кейсы и составы преступлений.

Продажа медицинских данных — передача крайне чувствительной информации о состоянии здоровья третьим лицам за вознаграждение. Ответственность зависит от квалифицированной статьи:

Вот несколько кейсов по этим нарушениям.

Неправомерное воздействие на КИИ: ИТ-специалисты службы скорой продавали данные владельцу ритуального бюро. Для этого они установили шпионское ПО, выгружающее данные пациентов и маршруты скорой помощи. Нарушители были приговорены к штрафу в размере 350 000 руб, согласно апелляционному определению Оренбургского областного суда по делу № 22-459/2023.

Получение взятки: врач-патологоанатом продал за крупную сумму данные умерших пациентов владельцу ритуального бюро. Виновному назначен штраф 7 млн. руб. и длительный срок заключения.

Нарушение неприкосновенности частной жизни, получение взятки и служебный подлог: фельдшер за небольшие суммы передавал ритуальным агентам данные об умерших пациентах и их семьях. Также он «подрабатывал» выдачей больничных с недостоверными сведениями. Виновный был приговорен к штрафу в 200 000 руб, согласно апелляционному постановлению Омского областного суда по делу № 22-1780/2023.

Чтобы ограничить возможные действия инсайдеров и минимизировать риск продажи медицинской информации, организациям следует:

Халатное обращение с врачебной тайной — это несоблюдение правил хранения, обработки, передачи и уничтожения медицинской информации, прописанных в нормативно-правовых актах. Ответственность за халатное обращение с врачебной тайной зависит от квалифицированной статьи:

Рассмотрим примеры халатного обращения с врачебной тайной на нескольких кейсах. Нарушение неприкосновенности частной жизни: медсестра по просьбе подруги сфотографировала диагноз одного из пациентов и отправила фото в мессенджере. Медсестре был назначен штраф 15 000 руб.

Нарушение законодательства в области персданных: главврач больницы не организовал должным образом уничтожение документов с данными пациентов. В результате документы были найдены прохожим на несанкционированной свалке. Информацию об этом прохожий выложил в Интернет. Главврач был оштрафован на 8000 руб.

Разглашение информации с ограниченным доступом: врач разместил на своей странице в соцсети VK результаты анализов на COVID-19 с персональными данными пациентов. Медсотрудник был оштрафован на 40 000 руб. как должностное лицо, согласно постановлению по делу об административном правонарушении № 05-0307/264/2022 мирового судьи судебного участка № 264 г. Москвы.

Чтобы не допустить халатного обращения с каким-либо видом тайны, в организации нужно:

Подделка медицинских документов и внесение ложных сведений в медицинские информационные системы встречаются реже всего. Как правило, такие нарушения квалифицируются либо как служебный подлог, либо как подделка государственных документов и бланков. Ответственность зависит от квалифицированной статьи:

Рассмотрим кейсы из судебной практики. Неправомерное воздействие на КИИ и подделка медицинских документов: врач и три медсестры организовали выдачу поддельных сертификатов о вакцинации COVID-19. Виновные были приговорены от 2 до 4 лет условно.

Неправомерное воздействие на КИИ и неправомерный доступ к компьютерной информации: врач-терапевт формировала сертификаты о вакцинации со своего личного ноутбука, так как сохранила логины и пароли к регистру вакцинированных от COVID-19 в ЕГИСЗ. Врачу был назначен штраф 300 000 руб.

Чтобы не допустить подобных нарушений, нужно:

Анализ судебной практики в отрасли здравоохранения показывает устойчивый тренд на правонарушения с использованием служебного положения: продажа закрытых сведений, подделка документов или внесение ложных сведений в медицинские информационные системы. Эти нарушения происходят из-за отсутствия контроля действий сотрудников, которые собирают и передают закрытую информацию третьим лицам. Иные же нарушения происходят из-за незнания правил информационной безопасности или по халатности, например, передача фотографий из медицинских информационных систем друзьям в мессенджерах.

Подводя итог, наиболее частые правонарушения в отрасли здравоохранения уже давно известны, но полностью побороть их крайне сложно — инсайдеры всегда будут присутствовать в медицинских организациях. Поэтому разумно будет использовать специализированные средства защиты информации, такие как DLP- и DCAP-системы. Они позволят предотвращать утечки информации, мониторить действия сотрудников, контролировать группы риска и снижать вероятность различных нарушений.

Не всегда в компании есть специалисты, которые могут работать с защитным ПО, кроме того, купить софт в собственность бывает дорого. ИБ-аутсорсинг позволяет выявить проблемы внутренней информационной безопасности без найма штата ИБ-специалистов и покупки дорогого защитного ПО. Каждая компания решает для себя, что делать с этими данными.

Пробный период – возможность выявить риски и угрозы внутренней безопасности, а также понять, как работает сервис, защитное ПО и сам ИБ-аналитик, конкретизировать свои требования, цели, потребности. Для больших результатов и поддержания порядка в компании лучше использовать услугу дольше. Так как со временем люди расслабятся, забудутся требования к защите коммерческой тайны и персданных, а также правила по парольной гигиене и рабочему этикету, и в компании возобновятся инциденты.

Попробуйте один месяц ИБ-аутсорсинга бесплатно – переходите на наш сайт, чтобы начать тестовый период и выявить первые инциденты.