КИИ 2026: что должен сделать руководитель
Что это значит и что необходимо выполнить?
👉Рассказывает руководитель центра Медиатор Наталья Купкина.
Руководитель клиники должен:
1️⃣назначить ответственных
2️⃣ выявить объекты
3️⃣определить критичные процессы
4️⃣оценить последствия инцидентов
5️⃣присвоить категорию либо зафиксировать ее отсутствие
6️⃣направить сведения во ФСТЭК России
7️⃣обеспечить защиту значимых объектов
КИИ — это критическая информационная инфраструктура. Для медицинской организации к ней могут относиться информационные системы, сети и автоматизированные системы, от которых зависит оказание медицинской помощи, работа клиники и безопасность пациентов.
Подробно 👇
👉Руководителю необходимо установить:
✅осуществляет ли организация деятельность в сфере здравоохранения;
✅используются ли информационные системы, сети или автоматизированные системы для выполнения значимых процессов;
✅может ли нарушение их работы повлиять на оказание медицинской помощи, безопасность пациентов или функционирование клиники.
К таким системам могут относиться:
– медицинская информационная система;
– электронная медицинская карта;
– лабораторная информационная система;
– системы диагностики и мониторинга;
– системы управления оборудованием;
– серверы, сети и сервисы, без которых невозможно оказание медицинской помощи.
👉Назначить ответственных и создать комиссию.
Руководитель издает приказ, в котором:
– назначает ответственного за КИИ;
– создает комиссию по категорированию;
– определяет сроки и порядок работы;
– распределяет обязанности между ИТ-службой, медицинским руководством, службой информационной безопасности и юристами.
👉Провести выявление объектов КИИ.
Комиссия составляет перечень всех потенциальных объектов:
– информационных систем;
– информационно-телекоммуникационных сетей;
– автоматизированных систем управления;
– программно-аппаратных комплексов.
По каждому объекту фиксируются назначение, владельцы, используемые данные, связь с медицинскими и административными процессами, последствия возможной остановки или нарушения работы.
👉Определить значимые процессы.
Нужно установить, какие процессы являются критичными для деятельности клиники. Например:
–прием и лечение пациентов;
–экстренная медицинская помощь;
–проведение лабораторной диагностики;
–хранение медицинской документации;
–работа медицинского оборудования;
–передача данных между подразделениями;
–обеспечение непрерывности работы клиники.
👉Оценить возможные последствия инцидентов.
Комиссия анализирует, что произойдет при:
–остановке системы;
–уничтожении или изменении данных;
–утечке информации;
–нарушении доступности медицинских сервисов;
–отказе оборудования или сети;
–кибератаке.
Оцениваются возможный ущерб жизни и здоровью людей, нарушение работы клиники, финансовые и социальные последствия.
👉Присвоить категорию или принять решение об отсутствии категории.
Для значимого объекта устанавливается одна из категорий:
I категория — наиболее высокая степень значимости;
II категория;
III категория.
Если объект не соответствует установленным критериям, принимается решение, что категория значимости ему не присваивается. Это решение также необходимо оформить документально.
Нельзя присваивать категорию только потому, что система содержит персональные или медицинские данные. Наличие медицинской тайны само по себе не означает, что объект является значимым объектом КИИ.
👉Оформить результаты и направить сведения в уполномоченный орган.
По итогам работы оформляются:
–акт категорирования;
–перечень объектов;
–обоснование присвоенной категории;
–решение об отсутствии категории, если она не присвоена;
–сведения для направления в территориальный орган ФСТЭК России в установленном порядке.
Документы должны храниться и регулярно актуализироваться.
👉Организовать дальнейшую защиту значимых объектов.
Если объект признан значимым, клиника должна обеспечить выполнение требований к его защите, включая.
❌Основные ошибки руководителей
– считать, что КИИ касается только государственных больниц;
– ограничиться приказом без фактического обследования систем;
– включить в перечень только медицинскую информационную систему и забыть о сетях, серверах и системах оборудования;
– не оформить решение об отсутствии категории;
– не учитывать зависимость клиники от подрядчиков и облачных сервисов;
– не пересматривать результаты после внедрения новой МИС или объединения филиалов.
