Не зря кто-то однажды сказал: “Кто владеет информацией, тот владеет миром” – потому что с появлением Интернета, информационных технологий и их развитием, информация перестала иметь границы, и каждый из нас может без труда найти то, что необходимо. Однако без обратной стороны медали здесь не обойтись — информация всегда может быть использована в корыстных целях, кто-то захочет владеть, не принадлежащей ему информацией и использовать ее либо для своих личных выгод, либо для шантажа или причинения вреда другим людям.

Проблема

Резкая оцифровка информации в секторе здравоохранения улучшила медицинские услуги; однако это развитие имеет опасный побочный эффект: риск информационной безопасности. В 2016 году нарушения информационной безопасности в секторе здравоохранения затронули более 27 миллионов записей пациентов. В ближайшие несколько лет показатели количества краж будут только увеличиваться.

Стратегии, которые разрабатываются для защиты данных о пациентах, должны не только реагировать и защищать данные, но также предвидеть и предотвращать любые наступательные действия, совершенные киберпреступниками.

Хакеры всегда заняты «прокачиванием» своих методов и подходов. Они используют различные способы выявления и использования даже самых маленьких лазеек в ваших системах и сетях.
Данные о пациентах очень полезны для хакеров. Они могут продавать украденные данные на черном рынке, использовать их в мошенничестве, продавать их иностранным агентствам, продавать информацию о личности пациента другим преступникам и использовать данные в незаконных финансовых транзакциях.

Схема потоков медицинских данных

Случаи кражи персональных данных

В Израиле произошла масштабная кража данных пациентов больниц и поликлиник.

На одном из сайтов Алтайского края оказались выложенными в открытом доступе персональные данные пациентов: имена, места прописки, сведения о поставленном диагнозе.

Спецслужбы Литвы расследуют компьютерный взлом клиники пластической хирургии — из базы данных хакеры похитили фотографии и персональные данные пациентов.

Но вот в чём вопрос: зачем отечественным хакерам взлом российских больничных систем, если они не интересны налоговым мошенникам, как в США? Информацию такого рода мошенники будут использовать для телефонного фишинга. По-прежнему остается актуальным банальный шантаж пациента (угроза разглашения информации). Можно шантажировать и организации (угроза судебных преследований компании, допустившей утечку, со стороны пациентов). К сожалению, украденная медицинская информация, в отличие от украденной банковской информации, не имеет срока давности.

Что же с этим всем делать?

Конечно, нет универсального метода или программы, который позволит обеспечить защиту информационной системы и полностью обезопасить её. Однако комплекс методов с большей долей вероятности позволит обезопасить информационные системы, размещенные в медицинских учреждениях.

Западные коллеги предлагают нанимать специалистов, которые будут осуществлять руководство отделом безопасности, сокращенно CSO (Chief Security Officer). Такие специалисты обязательно проходят проверки и аттестации на соответствие системы защиты нормативным требованиям. В нашей стране подобные проверки осуществляет ФСТЭК — Федеральная служба по техническому и экспортному контролю.

Применение различных стратегий также помогает предотвращать нарушения и кражу данных в области здравоохранения. Одной из существующих на сегодняшний день технологий по защите информации является технология VDI.

С помощью программы возможно создавать виртуальную IT-инфраструктуру и полноценные рабочие места на базе одного сервера, на котором работает множество виртуальных машин. Главное преимущество и фактор, влияющий на выбор VDI технологии — это безопасность. Уровень безопасности настолько высок, что пользователь не сможет скопировать данные о пациентах на флэшку и вынести их за пределы VDI. Сотрудники медицинских учреждений могут получать доступ к информации о пациенте из облака, не загружая и не сохраняя ее непосредственно на компьютере.

Технология VDI является зарубежной разработкой, однако уже на протяжении нескольких лет успешно применяется в нашей стране в различных сферах, в том числе и медицине.
Ещё один из способов защиты – технология блокчейн.

Большое количество пациентов посещает медицинские учреждения, тонны бумаг и медицинских карт используется при этом. Что если бы вся эта информация, которая пылиться на полках, хранилась бы в едином виде и месте онлайн? Возможно, это был бы большой шаг вперед всего здравоохранения.

Технология блокчейн – способ, который смог бы решить эту проблему, обеспечить такой легкодоступный и безопасный онлайн-каталог. Технология позволяет обеспечить анонимность в использовании. В здравоохранении эта технология может быть применима для хранения данных. В этой сфере есть противоречие между конфиденциальностью личных данных и необходимостью доступа врача в случае чрезвычайных ситуаций. Технология способна обеспечить безопасное управление базами данных.

Что же на практике?

В России существуют попытки создания единой государственной информационной системы в сфере здравоохранения (ЕГИСЗ).

В рамках проекта ЕГИСЗ ведутся работы по оснащению медицинских учреждений компьютерным, телекоммуникационным оборудованием и средствами информационной безопасности, созданию региональных программ модернизации здравоохранения, стандартов информационного обмена в пределах системы, требований к медицинским информационным системам, созданию федерального центра обработки данных с общесистемными и прикладными компонентами.

Законодательное регулирование – ФЗ-152 как основа

Федеральный закон №152-ФЗ «О защите персональных данных» – документ, который регулирует обеспечение защиты информации в медицине. Лечебные учреждения являются операторами персональных данных, следовательно, обеспечение безопасности этих данных – их зона ответственности.

Существуют также ряд нормативно-методических документов, инициированных, например, ФСБ и ФСТЭК России. Согласно предписанным в них способам и порядку обеспечивается безопасность персональных данных, в том числе и в здравоохранении.

Финансовая сторона вопроса

За рубежом расходы на информационную безопасность существенны: наём ИБ-специалистов, установка и обслуживание систем защиты информации от внешних и внутренних угроз, обучение персонала. В России особо крупного бюджета не выделяется, а самостоятельно муниципальная больница не может позволить себе такой роскоши.

Итог

Как уже было сказано — нет универсального ПО или технологии, которая позволит обеспечить 100% защиту данных, однако важно понимать, что оставлять систему данных без защиты просто непозволительно и опрометчиво. Риск кибератак больше не является заботой лишь одного IT отдела. В настоящее время – это ключевой вопрос, который должен быть рассмотрен руководством медицинских учреждений.

Сфера медицинских услуг не должна обходить стороной защиту данных о пациентах, и все что связано с данной спецификой. Государство, как бы того не хотело, должно выделять средства на защиту данных, если хочет чтобы в стране медицина автоматизировалась. Как говориться: «Любишь кататься, люби и саночки возить». Без этого, увы, никак.