822 subscribers

"Клуб любителей КИИ" Категорирование в здравоохранении. Свердловский опыт.

269 full reads

"Клуб любителей КИИ" Категорирование в здравоохранении. Свердловский опыт.

#187-фз #кии

В заметке рассмотрим опыт Государственного автономного учреждения здравоохранения Свердловской области «Медицинский информационно-аналитический центр» ГАУЗ СО «МИАЦ»

Категорирование объектов КИИ имеет четко выраженные особенности не только по сферам функционирования, но и по регионам применения.
Для сферы здравоохранения известны как федеральные рекомендации от Минздрава РФ, так и региональные - Московская область, Красноярский край, Нижегородская область, Москва и т.д. Часть регионов страны не стала разрабатывать рекомендации для субъектов КИИ в сфере здравоохранения, а ограничились формами типовых документов.

В Свердловской области МИАЦ разместил в 2019 году следующие образцы документов:

- Пример Акта категорирования АДИС.

- Пример Перечня объектов КИИ.

- Пример Приказа о создании комиссии по КИИ.

- Пример Сведений КИИ АДИС.

- Пример акта категорирования МИС.

- Пример акта категорирования МРТ.

- Пример акта категорирования УЗИ.

Аппарат УЗИ отнесен к типу "автоматизированная система" с назначением "Обеспечение автоматизации оказания медицинской помощи" без присвоения категории значимости.

Оценка значимости проводилась по двум показателям:

1. "Причинение ущерба жизни и здоровью людей (человек)" - "Согласно Федеральному закону от 21.11.2011 N 323-ФЗ "Об основах охраны здоровья граждан Российской Федерации" медицинская помощь организуется и оказывается в соответствии с порядками оказания медицинской помощи, обязательными для исполнения на территории Российской Федерации всеми медицинскими организациями, на основе клинических рекомендаций, а также с учетом стандартов медицинской помощи, которые разрабатывается и утверждаются Министерством здравоохранения Российской Федерации. Данный объект КИИ не влияет на разработку и утверждение клинических рекомендаций и стандартов медицинской помощи, не является экспертной системой принятия решений по оказанию медицинской помощи, а несет лишь в себе вспомогательный характер, нацеленный на автоматизацию некоторых аспектов деятельности медицинской организации. Таким образом нарушение функционирования данного объекта КИИ не может привести к причинению ущерба жизни и здоровью людей."

5. "Отсутствие доступа к государственной услуге, оцениваемое в максимальном допустимом времени, в течение которого государственная услуга может быть недоступна для получателей такой услуги (часов)" - "Согласно Федеральному закону от 21.11.2011 N 323-ФЗ "Об основах охраны здоровья граждан Российской Федерации" автоматизированная система не является обязательным элементом системы здравоохранения Российской Федерации. Таким образом нарушение функционирования данного объекта КИИ не влияет на оказание государственных услуг."

Интересно, что показатель "9. Возникновение ущерба бюджетам Российской Федерации.." отклонен с формулировкой "Здравоохранение является расходной частью бюджета Российской Федерации"

Полезен пример оформления раздела "Организационные и технические меры, применяемые для обеспечения безопасности значимого объекта критической информационной инфраструктуры" в результатах категорирования.

"Клуб любителей КИИ" Категорирование в здравоохранении. Свердловский опыт.

Нагляден пример с Программным комплексом автоматизации диспетчерской службы скорой медицинской помощи «АДИС» (ПК «АДИС»). Комплекс территориально распределенный о большому количеству медучреждений, подключен к сети электросвязи общего пользования и предназначен для "Обеспечение автоматизации диспетчерской службы скорой медицинской помощи Свердловской области в едином информационном пространстве".

Критические процессы:

- обеспечивает решение всего перечня задач службы скорой медицинской помощи от приема вызова диспетчером приема, осуществления звукозаписи диалога с пациентом, назначения бригады службы скорой медицинской помощи на вызов, до внесения окончательных результатов обслуживания в электронную карту вызова;

­ - анализ качества диагностики службы скорой медицинской помощи (по диагнозу приемного покоя стационара, по заключительному диагнозу);

­ - обеспечение инструмента для поддержки управленческих решений на уровне субъекта путем получения сводной отчетности о деятельности МО;

­ - функционирование единой информационной автоматизированной системы управления скорой медицинской помощью на территории Свердловской области, включая информационное взаимодействие между станциями и отделениями скорой медицинской помощи на территории Свердловской области;

­ - обеспечение взаимной интеграции информационных систем дежурно-диспетчерских служб скорой медицинской помощи с системой-112 на территории Свердловской области

"Клуб любителей КИИ" Категорирование в здравоохранении. Свердловский опыт.
"Клуб любителей КИИ" Категорирование в здравоохранении. Свердловский опыт.

И сложным составом программно-аппаратных средств

"Клуб любителей КИИ" Категорирование в здравоохранении. Свердловский опыт.

Комиссия принимает решение, что объект КИИ без присвоения категории значимости. Обоснование значений показателей:

1) Причинение ущерба жизни и здоровью людей. - "Данный показатель критерия значимости применим к объекту, но ни одно из значений показателя объекту не присвоено ввиду не полного перехода на работу с рассматриваемой системой диспетчерских служб скорой медицинской помощи"

Аналогичные примеры оформления приведены для Медицинской информационной системы (МИС) и аппарата МРТ. Жаль, но отсутствуют примеры оформления результатов категорирования для значимых объектов КИИ.

Итог: полезные шаблоны документов, которыми можно воспользоваться при заполнении различных разделов формы о результатах категорирования, утвержденной 236 приказом ФСТЭК.

В редактируемом формате шаблоны можно скачать с сайта МИАЦ или здесь.

* Более подробно эти вопросы рассмотрены в материалах блога "Рупор бумажной безопасности" и телеграм-канале

** Подборка методических и вспомогательных материалов для субъектов КИИ - https://dzen.yandex.ru/media/id/5c7b7864fa818600ae3856a1/klub-liubitelei-kii-bagaj-znanii-5e1e20f5e4fff000adc2aebf

*** Если вы не хотите быть субъектом КИИ - https://dzen.yandex.ru/media/id/5c7b7864fa818600ae3856a1/klub-liubitelei-kii-protivnikam-chlenstva-v-klube-posviascaetsia-5e23304fc05c7100ae88019