Пояснительная записка (1210027), страница 2

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 2)

Параметры информационной системы Лечебного учреждения представлены в таблице А.1 приложения А.

Конфигурация информационной системы и топология ЛВС Лечебного учреждения представлены на рисунках 1.1 и 1.2 соответственно.

Рисунок 1.1 – Конфигурация информационной системы Лечебного учреждения

Рисунок 1.2 – Топология локальной вычислительной сети Лечебного учреждения

1. Сегмент информационной системы «Поликлиника»

Информационная система сегмента «Поликлиника» предназначены для оказания компьютерной (автоматизированной) поддержки работы врачей разных специальностей, автоматизации диагностического и лечебного процесса, которая позволяет повысить качество профилактической и лабораторно-диагностической работы.

Сегмент решает задачи:

• ведение электронно-медицинских карт;

• информационно-справочную поддержку пациентов;

• управления процессом лечения;

• автоматизации диагностического и лечебного процесса.

В сегменте обрабатываются специальные категории персональных данных сотрудников оператора и субъектов персональных данных, не являющихся сотрудниками операторами. Объем персональных данных, которые обрабатываются одновременно – менее 100 000 субъектов ПДн.

Перечень субъектов, персональные данные которых обрабатываются в сегменте «Поликлиника»:

• сотрудники лечебного учреждения;

• пациенты лечебного учреждения.

Перечень обрабатываемых персональных данных:

1. персональные данные пациентов:

1. фамилия;

2. имя;

3. отчество;

4. дата рождения;

5. контактный телефон;

6. адрес прописки;

7. адрес фактического проживания;

8. паспортные данные;

9. СНИЛС;

10. № страхового медицинского полиса и дата выдачи;

11. инвалидность;

12. сведения о выписанных пациентам лекарственных средствах;

13. данные о состоянии здоровья (история болезни);

14. сведения о медицинских манипуляциях и оперативных вмешательствах;

15. сведения о результатах обследования;

16. сведения о результатах посмертного исследования,

1. персональные данные сотрудников:

1. фамилия;

2. имя;

3. отчество;

4. место, год и дата рождения;

5. адрес прописки;

6. паспортные данные;

7. информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);

8. информация о трудовой деятельности до приема на работу;

9. информация о трудовом стаже (место работы, должность, период работы, период работы, причины увольнения);

1. адрес проживания (реальный);

2. телефонный номер (домашний, рабочий, мобильный);

3. семейное положение и состав семьи (муж/жена, дети);

4. информация о знании иностранных языков;

5. форма допуска;

6. оклад;

7. данные о трудовом договоре;

8. сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета);

1. данные об аттестации работников;

2. данные о повышении квалификации;

3. данные о наградах, медалях, поощрениях, почетных званиях;

4. информация об ученых степенях;

5. информация о приеме на работу, перемещения по должности, увольнении;

1. информация об отпусках;

1. информация о командировках;

2. информация о негосударственном пенсионном обеспечении;

3. информация о болезнях.

Сегмент информационной системы состоит из 15 АРМ и 1 сервера являющимся контролерам домена. Работа в сегменте осуществляется в многопользовательском режиме с разграничением прав доступа субъектов доступа к объектам доступа в соответствии с минимально необходимыми возможностями пользователей для их работы.

Элементы сегмента расположены в различных кабинетах здания Поликлиники на первом и втором этажах, соответственно АРМ пользователей и сервер расположены в нескольких контролируемых зонах. Границами контролируемой зоны являются ограждающие конструкции помещений, в которых ведется обработка ПДн и администрирование сегмента (см. рисунок А.1, А.2, А.3 приложения А).

В своей работе сегмент взаимодействует с информационными системами других организаций, а именно:

медицинский информационный аналитический центр «МИАЦ» (обмен осуществляется в электронном зашифрованном виде);

федеральный фонд обязательного медицинского страхования «ФОМС» (обмен осуществляется в электронном зашифрованном виде).

С ФОМС по Хабаровскому краю осуществляется обмен информацией с помощью ПК «VIPNet».

В Медицинский информационный аналитический центр «МИАЦ» данные формируются и передаются посредством прикладного ПО «Медиалог». АПКШ «Континент» формирует защищенный канал связи, по которому происходит обмен информацией.

1. Сегмент информационной системы «Лечебный процесс»

Информационная система сегмента «Лечебный процесс» предназначена для взаимодействия с иными лечебными организациями, ведение электронно-медицинских карт, информационно-справочную поддержку пациентов.

Сегмент решает задачи:

• ведение электронно-медицинских карт;

• взаимодействие со сторонними организациями;

• оформление медицинских документов;

• управления процессом лечения.

В сегменте обрабатываются специальные категории персональных данных сотрудников оператора и субъектов персональных данных, не являющихся сотрудниками операторами. Объем персональных данных, которые обрабатываются одновременно – менее 100 000 субъектов ПДн.

Перечень субъектов, персональные данные которых обрабатываются в сегменте «Лечебный процесс»:

• сотрудники лечебного учреждения;

• физические лица, состоящие в договорных и иных гражданско-правовых отношениях с лечебным учреждением;

• пациенты лечебного учреждения.

Лечебное учреждение в своей деятельности обрабатывает следующий перечень персональных данных:

1. персональные данные пациентов:

1. фамилия;

2. имя;

3. отчество;

4. дата рождения;

5. контактный телефон;

6. адрес прописки;

7. адрес фактического проживания;

8. паспортные данные;

9. СНИЛС;

10. № страхового медицинского полиса и дата выдачи;

11. инвалидность;

12. сведения о выписанных пациентам лекарственных средствах;

13. данные о состоянии здоровья (история болезни);

14. сведения о медицинских манипуляциях и оперативных вмешательствах;

15. сведения о результатах обследования;

16. сведения о результатах посмертного исследования,

б) персональные данные сотрудников:

1. фамилия;

2. имя;

3. отчество;

4. место, год и дата рождения;

5. адрес прописки;

6. паспортные данные;

7. информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);

8. информация о трудовой деятельности до приема на работу;

9. информация о трудовом стаже (место работы, должность, период работы, период работы, причины увольнения);

10. адрес проживания (реальный);

11. телефонный номер (домашний, рабочий, мобильный);

12. семейное положение и состав семьи (муж/жена, дети);

13. информация о знании иностранных языков;

14. форма допуска;

15. оклад;

16. данные о трудовом договоре;

17. сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета);

18. данные об аттестации работников;

19. данные о повышении квалификации;

20. данные о наградах, медалях, поощрениях, почетных званиях;

21. информация об ученых степенях;

22. информация о приеме на работу, перемещения по должности, увольнении;

23. информация об отпусках;

24. информация о командировках;

25. информация о негосударственном пенсионном обеспечении;

26. информация о болезнях,

в) персональные данные физических лиц, состоящих в договорных и иных гражданско-правовых отношениях с Лечебным учреждением:

1. фамилия;

2. имя;

3. отчество;

4. ИНН;

5. СНИЛС;

6. банковский счет.

Сегмент информационной системы состоит из 17 АРМ и 1 сервера являющимся контролерам домена. Работа в сегменте осуществляется в многопользовательском режиме с разграничением прав доступа субъектов доступа к объектам доступа в соответствии с минимально необходимыми возможностями пользователей для их работы.

Элементы сегмента расположены в различных кабинетах здания Перинатального корпуса на втором этаже. Границами контролируемой зоны являются ограждающие конструкции помещений, в которых ведется обработка ПДн, и администрирование сегмента (см. рисунок А.1, А.2, А.3 приложения А).

В своей работе сегмент взаимодействует с информационными системами других организаций, а именно:

• Министерство здравоохранения хабаровского края (обмен осуществляется почтовыми отправлениями и в электронном виде);

• Медицинский информационный аналитический центр «МИАЦ» (обмен осуществляется в электронном зашифрованном виде);

• Федеральный фонд обязательного медицинского страхования «ФОМС» (обмен осуществляется в электронном зашифрованном виде);

• Хабаровский территориальный центр медицины катастроф (обмен осуществляется в электронном зашифрованном виде).

С ФОМС по Хабаровскому краю осуществляется обмен информацией с помощью ПК «VIPNet».

В Медицинский информационный аналитический центр «МИАЦ» данные формируются и передаются посредством прикладного ПО «Медиалог». АПКШ «Континент» формирует защищенный канал связи, по которому происходит обмен информацией.

1. Существующие меры защиты информации

В Учреждении осуществляется контроль доступа в контролируемую зону, работники лечебного учреждения попадают в здание с помощью электронных пропусков. Въезд на территорию осуществляется через контрольно-пропускной пункт, по выписанным пропускам. По периметру зданий установлены камеры видеонаблюдения. Помещения оборудованы охранной сигнализацией, двери закрываются на замок. Охранная сигнализация включается в конце рабочего дня и отключается в начале рабочего дня, в выходные и праздничные дни охранная сигнализация не отключается. В помещениях имеется пожарная сигнализация, работающая круглосуточно. Вся поступающая информация со средств охраны помещений централизовано поступает на пульт дежурному.

В информационной системе используются следующие средства защиты информации:

• Cisco ASA 5520 (Сертификат ФСТЭК № 2142 до 27.07.2019);

• Антивирус Касперского 6.0 для Windows Workstation (Сертификат ФСТЭК № 1384 до 01.01.2018);

• АПКШ «Континент 3.7» (Сертификат ФСТЭК № 3008 до 01.11.2019).

1. Классификация информационной системы

Обеспечение безопасности ПДн осуществляется реализацией перечня технических и организационных мер обеспечения безопасности, которые определяются нормативно-методической документацией ФСТЭК России и ФСБ России. Перечень технических и организационных мер зависит от определенного для информационной системы уровня защищенности ПДн.

В соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 г. №1119 [8], определяется четыре уровня защищенности ПДн от первого до четвертого. Самым высоким уровнем защищенности является первый. Уровень защищенности зависит от следующих показателей:

• тип актуальных угроз;

• категория обрабатываемых персональных данных;

• тип субъектов ПДн, персональные данные которых обрабатываются в информационной системе;

• количество субъектов ПДн, не являющихся сотрудниками оператора.

В связи с тем, что в сегментах «Поликлиника» и «Лечебный процесс» информационной системы Лечебного учреждения обрабатываются персональные данные одной категорий ПДн, следовательно, оба сегмента будут иметь одинаковый уровень защищенности персональных данных.

1. Классификация сегмента «Поликлиника»

В ходе обследования сегмента было выявлено:

• в сегменте обрабатываются специальные категории персональных данных сотрудников оператора и субъектов персональных данных, не являющимся сотрудниками операторами;

• для сегмента актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе, то есть актуальны угрозы третьего типа (приложение Б);

• в сегменте обрабатываются данные менее 100 тысяч субъектов персональных данных.

Исходя из категорий и объема ПДн, одновременно обрабатываемых в сегменте «Поликлиника» и типа угроз на основании пункта 12 подпункта «в» «Требований к защите ПДн» [8] необходимо обеспечить 3 уровень защищенности персональных данных.

1. Классификация сегмента «Лечебный процесс»

В ходе обследования сегмента было выявлено:

• в сегменте обрабатываются специальные категории персональных данных сотрудников оператора и субъектов персональных данных, не являющимся сотрудниками операторами;

• для сегмента актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе, то есть актуальны угрозы третьего типа (приложение Б);

• в сегменте обрабатываются данные менее 100 тысяч субъектов персональных данных;

• Исходя из категорий и объема ПДн, одновременно обрабатываемых в сегменте «Лечебный процесс» и типа угроз на основании пункта 11 подпункта «в» «Требований к защите Пдн» [8] необходимо обеспечить 3 уровень защищенности персональных данных.

1. Модель угроз безопасности информации, обрабатываемых в информационной системе Лечебного учреждения

В соответствии с Моделью угроз безопасности информации, обрабатываемых в информационной системе КГБУЗ «Перинатальный центр» (далее – Модель угроз) (приложение Б), наиболее вероятными нарушителями являются:

• физические лица, внешние субъекты (внешние нарушители);

• пользователи ИС (внутренние нарушители).

Возможные цели (мотивация) реализации угроз безопасности:

• причинение имущественного ущерба путем мошенничества или иным преступным путем;

• любопытство или желание самореализации (подтверждение статуса);

• выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды;

• месть за ранее совершенные действия;

• непреднамеренные, неосторожные или неквалифицированные действия.

С учетом указанных видов нарушителей был определен потенциал нарушителя:

• внешний нарушитель с потенциалом: базовый (низкий);

• внутренний нарушитель с потенциалом: базовый (низкий).

Результатом определения нарушителя информационной системы Лечебного учреждения становится перечень УБИ из банка данных угроз безопасности информации ФСТЭК России, выбранных в соответствие с типами и потенциалами определенных нарушителей приведенных в таблице 1.1.

Характеристики

Список файлов ВКР