Категорирование объектов КИИ для медицинских организаций

Категорирование объектов КИИ в здравоохранении

Категорирование объектов КИИ в здравоохранении — это не формальная подготовка “папки документов”, а процедура, с помощью которой медицинская организация определяет, есть ли в её инфраструктуре объекты критической информационной инфраструктуры и нужно ли присваивать им категорию значимости.

Для медицинских организаций основной фокус анализа обычно приходится на три группы объектов: медицинские информационные системы, медицинское оборудование с автоматизированными системами управления и локальные вычислительные сети. Именно эти элементы инфраструктуры могут обеспечивать процессы, от которых зависит работа клиники, лаборатории, стоматологии или фармацевтической организации.

По 187-ФЗ объектами КИИ являются информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления субъектов КИИ. А субъектами КИИ могут быть российские юридические лица или ИП, которым такие системы, сети или АСУ принадлежат на праве собственности, аренды или ином законном основании и функционируют, в том числе, в сфере здравоохранения.

Поэтому задача категорирования — не “найти КИИ любой ценой”, а корректно установить статус систем: что действительно является объектом КИИ медицинской организации, что не является таким объектом, и какие выводы можно обосновать документально.

Какие системы медицинской организации относятся к объектам КИИ

В медицинской организации к анализу по КИИ не нужно относить всё подряд. Сайт, форма онлайн-записи, рекламный кабинет или отдельная интеграция сами по себе не являются самостоятельными объектами КИИ. Их можно учитывать только в контексте той информационной системы или сети, частью которой они фактически являются.

Основные объекты, которые следует рассматривать в здравоохранении:

Медицинская информационная система, МИС
МИС может обеспечивать ведение электронных медицинских карт, работу врачей, регистрацию пациентов, хранение медицинской информации, формирование медицинской документации и другие процессы медицинской организации.

Медицинское оборудование с АСУ
К анализу относится оборудование, в котором автоматизированная система управления используется для контроля, управления, мониторинга, обработки данных или обеспечения технологического медицинского процесса.

Локальная вычислительная сеть
ЛВС может обеспечивать взаимодействие рабочих мест, серверов, МИС, медицинского оборудования и иных элементов инфраструктуры. Если сеть используется для работы медицинских процессов, её необходимо оценивать в рамках анализа КИИ.

При этом важен не только вид системы, но и правовое основание её использования. Категорирование проводится в отношении объектов, которые принадлежат субъекту КИИ на праве собственности, аренды или ином законном основании. Это прямо указано в Правилах категорирования объектов КИИ, утверждённых Постановлением Правительства РФ №127.

Когда медицинской организации нужно категорирование КИИ

Категорирование КИИ нужно проводить, когда у медицинской организации есть МИС, ЛВС или медицинское оборудование с АСУ, которые принадлежат ей на законном основании и используются в деятельности в сфере здравоохранения.

Отдельного внимания требуют ситуации, когда организация получила письмо от ФСТЭК, прокуратуры, органа исполнительной власти или другого проверяющего органа. В этом случае недостаточно ответить общей формулировкой “объектов КИИ нет”. Проверяющие обычно ожидают увидеть, что организация провела анализ, определила состав систем, оценила их статус и может объяснить, почему категория значимости присваивается или не присваивается.

Если анализ не проведён, любая позиция выглядит слабой. Даже когда объектов КИИ действительно нет, это нужно оформить так, чтобы вывод был понятен не только руководству клиники, но и проверяющим.

Облачная МИС и КИИ: когда клиника не является субъектом КИИ по этой системе

Частая ситуация: небольшая клиника пользуется облачной МИС по договору, не владеет сервером, не арендует саму систему как объект инфраструктуры и фактически получает доступ к сервису.

В таком случае облачная МИС не всегда образует объект КИИ самой клиники. Если система не принадлежит медицинской организации на праве собственности, аренды или ином законном основании, оснований считать именно эту МИС объектом КИИ клиники может не быть.

Но это не означает, что анализ можно не проводить. Нужно проверить, есть ли у организации другие элементы инфраструктуры: локальная вычислительная сеть, собственные серверы, медицинское оборудование с АСУ, иные информационные системы, которые действительно находятся в её владении или использовании на законном основании.

Правильная позиция в такой ситуации звучит не как “у нас облако, поэтому КИИ нет”, а как: “проведён анализ инфраструктуры, установлено правовое основание использования систем, по таким-то объектам сделан вывод об отсутствии признаков объекта КИИ организации”. Это уже можно защищать перед регулятором.

Что входит в услугу категорирования КИИ для медицинских организаций

Мы начинаем не с шаблонов, а с разборки инфраструктуры. На первом этапе определяем, какие системы есть у организации, что из этого относится к МИС, ЛВС или медицинскому оборудованию с АСУ, кому эти системы принадлежат и какие процессы они обеспечивают.

Далее проводится оценка: есть ли у организации объекты КИИ, требуется ли их категорирование, нужно ли присваивать категорию значимости или можно обосновать отсутствие необходимости её присвоения.

В рамках услуги мы готовим документы, которые фиксируют ход анализа и итоговую позицию организации. Это важно, потому что при запросе ФСТЭК или прокуратуры проверяющему нужен не устный комментарий ИТ-специалиста, а оформленный комплект материалов: что рассмотрели, на основании чего сделали вывод, какие сведения готовы представить.

Категорирование по ПП РФ №127 включает выявление процессов, определение объектов КИИ, формирование перечня объектов, оценку возможных последствий компьютерных инцидентов и принятие решения о присвоении категории либо об отсутствии необходимости её присвоения.

Документы по категорированию КИИ

Результат работы — это не универсальный “пакет по КИИ”, а комплект документов, привязанный к конкретной медицинской организации и её инфраструктуре.

В зависимости от ситуации могут быть подготовлены:

• перечень рассматриваемых объектов;
• документ о ответственно за обеспечение безопасности КИИ;
• документы комиссии по категорированию;
• Акты категорирования;
• сведения для направления во ФСТЭК;
• сопроводительное или ответное письмо для проверяющего органа.

Форма направления сведений о результатах присвоения объекту КИИ категории значимости либо об отсутствии необходимости присвоения категории утверждена приказом ФСТЭК России №236. Поэтому важно не только провести анализ, но и правильно оформить итоговые сведения.

Обоснование отсутствия объектов КИИ

Во многих медицинских организациях ключевая задача — не присвоить категорию, а корректно подтвердить, что объектов КИИ нет либо что конкретным объектам не требуется присвоение категории значимости.

Такой вывод должен быть обоснован. Проверяющий орган должен видеть, какие системы рассматривались, почему они не признаны объектами КИИ организации или почему по ним отсутствует необходимость присвоения категории.

Например, если МИС используется как облачный сервис и не принадлежит клинике на праве собственности, аренды или ином законном основании, это может быть важным аргументом. Но параллельно нужно проверить ЛВС и оборудование с АСУ. Если они есть и обеспечивают медицинские процессы, их нельзя исключать из анализа только потому, что МИС облачная.

Грамотное обоснование отсутствия объектов КИИ — это не отказ от процедуры. Это результат процедуры, оформленный так, чтобы организация могла подтвердить свою позицию при запросе регулятора.

Ответ на письмо ФСТЭК или прокуратуры по КИИ

Если в организацию поступил запрос по КИИ, лучше не готовить ответ до анализа инфраструктуры. Формальный ответ может создать больше проблем, чем его отсутствие: организация может заявить об отсутствии объектов КИИ, но при этом не иметь документов, которые подтверждают такой вывод.

Правильный порядок действий:

• сначала изучить запрос;
• определить, какие сведения требуют проверяющие;
• проверить МИС, ЛВС и медицинское оборудование с АСУ;
• оформить выводы;
• подготовить ответное письмо с понятной позицией.

Такой подход показывает, что организация не игнорирует требования законодательства, а провела анализ и готова обосновать результат.

Почему стоит заказать категорирование КИИ у специалистов

В категорировании КИИ важно не просто знать закон. Нужно понимать, как устроена медицинская организация: какие системы действительно участвуют в медицинском процессе, где заканчивается облачный сервис провайдера и начинается инфраструктура клиники, какие элементы принадлежат организации, а какие нет.

Мы работаем с медицинскими организациями и понимаем специфику их инфраструктуры. Для нас МИС, ЛВС и медицинское оборудование с АСУ — не абстрактные термины из закона, а реальные элементы работы клиники, лаборатории или стоматологии.

В работе участвуют специалисты с профилем информационной безопасности. Мы помогаем сформировать позицию, которая понятна руководителю, ИТ-специалисту и проверяющему органу: какие объекты рассмотрены, какие выводы сделаны, какие документы подготовлены и что делать дальше.

Цель услуги — не “нагрузить” клинику лишней документацией, а закрыть вопрос КИИ профессионально: без необоснованного отнесения систем к объектам КИИ, без слабых формальных ответов и без риска, что при проверке у организации не окажется документов, подтверждающих её позицию.