Многопрофильные больницы и клинические центры
защита МИС, лабораторных и радиологических систем, подключённого оборудования, распределённой филиальной сети
Медицина и фармацевтика
Информационная безопасность медицинских и фармацевтических организаций
Защищаем клиники, больницы, лаборатории, фармацевтические производства и аптечные сети: медицинские информационные системы, лабораторные и радиологические системы (ЛИС, RIS/PACS), подключённое медицинское оборудование, данные пациентов, телемедицину, производственные и складские системы.
Данные о состоянии здоровья относятся к специальной категории персональных данных, а здравоохранение прямо названо в перечне сфер критической информационной инфраструктуры. Требования здесь строже, чем в большинстве отраслей.
Внедряем защиту так, чтобы она не отражалась на качестве и скорости оказания медицинской помощи: без остановки приёма, диагностики, лабораторных процессов и работы филиалов.
Отраслевые сегменты
С кем мы работаем
У многопрофильной больницы риск сосредоточен в медицинских информационных системах и оборудовании, у фармпроизводства — в технологическом контуре и целостности производственных данных, у аптечной сети — в рецептурном отпуске, кассах и данных покупателей.
Медицинские организации
Частные клиники и медицинские сети
защита данных пациентов, записи на приём, личных кабинетов, взаимодействия со страховыми компаниями
Научно-клинические и исследовательские центры
защита результатов исследований, клинических данных, лабораторной инфраструктуры
Диагностические лаборатории
защита лабораторных информационных систем, каналов передачи результатов, интеграций с клиниками
Санатории и реабилитационные центры
защита данных пациентов и учётных систем
Телемедицина и цифровое здравоохранение
Телемедицинские сервисы
защита видеоконсультаций, каналов передачи медицинских документов, личных кабинетов пациентов
Разработчики медицинских информационных систем
защита продукта и инфраструктуры, выполнение требований, которые заказчик транслирует на подрядчика
Организации, взаимодействующие с государственными информационными системами в сфере здравоохранения
защищённый обмен медицинскими документами
Фармацевтика
Фармацевтические производства
защита АСУ ТП, целостности производственных и лабораторных данных, систем управления качеством
Дистрибьюторы лекарственных средств
защита складских и учётных систем, интеграций с системой маркировки лекарственных препаратов
Аптечные сети
защита касс и учётных систем, рецептурного отпуска, данных покупателей, программ лояльности
Разработка лекарственных средств и клинические исследования
защита интеллектуальной собственности и данных исследований
Отрасль
В медицине за утечку данных отвечают строже, чем в других отраслях
Сведения о состоянии здоровья человека — это специальная категория персональных данных и одновременно врачебная тайна. Законодательство относится к ним иначе, чем к обычной клиентской базе.
Административная ответственность за утечку определяется КоАП в редакции 420-ФЗ, вступившей в силу 30 мая 2025 года: размер штрафа за первичную утечку зависит от её объёма, а за повторную введён оборотный штраф — от 1 до 3% годовой выручки. Кроме того, с 11 декабря 2024 года действует статья 272.1 Уголовного кодекса, введённая Федеральным законом от 30.11.2024 № 421-ФЗ: она устанавливает уголовную ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, а деяния в отношении специальных категорий персональных данных, биометрии и данных несовершеннолетних выделены в отдельную, более строгую часть.
Специальная категория данных и врачебная тайна
Диагноз, результаты обследований, факт обращения. Утечка здесь наносит человеку ущерб, который нельзя компенсировать сменой пароля.
Медицинское оборудование, которое нельзя просто обновить
Десятки и сотни видов подключённых аппаратов работают на программном обеспечении, зафиксированном производителем. Обновление ОС может лишить оборудование поддержки или регистрационного статуса.
Остановка МИС — это остановка приёма
Шифровальщик в медицинской информационной системе означает приём по бумажным картам, недоступность истории болезни и результатов, перенос плановых вмешательств.
Здравоохранение прямо указано в перечне сфер КИИ
В отличие от большинства отраслей, здесь вопрос не в том, попадаете ли вы под 187-ФЗ, а в том, какие именно системы подлежат категорированию.
Внутренний доступ к картам
Медицинская информационная система по своей природе открыта для персонала. Основной риск утечки — не внешний взлом, а сотрудник, который посмотрел то, что не должен был.
Ключевые риски
От чего мы защищаем
Шифровальщики в медицинской информационной системе
Приём по бумажным картам, недоступность истории болезни и результатов, перенос плановых операций и исследований.
Утечка данных пациентов
Ответственность по КоАП с учётом специальной категории данных, проверки Роскомнадзора, иски пациентов, репутационный кризис.
Несанкционированный просмотр медицинских карт сотрудниками
Разглашение врачебной тайны, уголовно-правовые риски для сотрудника, отсутствие доказательной базы у работодателя.
Атаки на подключённое медицинское оборудование
Недоступность диагностики, искажение или потеря результатов исследований.
Компрометация лабораторных и радиологических систем
Недоступность или подмена результатов анализов и снимков.
Отсутствие сегментации между медицинской, административной и гостевой сетями
Проникновение в контур медицинских систем из регистратуры, бухгалтерии или гостевого Wi-Fi.
Компрометация учётных записей в государственных информационных системах здравоохранения
Размещение недостоверных сведений, подделка медицинской документации.
Подделка электронных медицинских документов, справок, рецептов
Правовые последствия для организации, ущерб пациентам.
Атаки на телемедицинские сервисы и личные кабинеты пациентов
Перехват консультаций и медицинских документов, компрометация учётных записей.
Атаки на АСУ ТП фармацевтического производства
Нарушение технологического процесса, риск для качества продукции, простой производства.
Нарушение целостности производственных и лабораторных данных
Невозможность подтвердить качество серии, претензии регуляторов и партнёров.
Компрометация систем маркировки и товародвижения
Сбои в обороте лекарственных препаратов, расхождения в учёте.
Атаки на аптечные кассы и учётные системы
Остановка отпуска препаратов, компрометация данных покупателей.
Компрометация доступа подрядчиков по обслуживанию оборудования
Проникновение в медицинский контур через сервисные организации.
Инсайдерские действия
Выгрузка базы пациентов, слив данных исследований и коммерческой информации.
Нормативный контур
Требования, которые мы помогаем выполнить
Медицинские организации находятся на пересечении сразу нескольких режимов: специальная категория персональных данных, врачебная тайна, критическая информационная инфраструктура и требования к государственным информационным системам. Для фармацевтики добавляются требования к производству и обороту лекарственных средств.
Основная нормативная база: 152-ФЗ, 323-ФЗ, 187-ФЗ, КоАП РФ в
редакции 420-ФЗ от 30.11.2024, статья 272.1 УК РФ, ПП РФ №
1119, ПП РФ № 127, приказы ФСТЭК № 21, № 235, № 239.
Дополнительно — если применимо по статусу организации и
составу систем: приказы ФСТЭК № 31, № 77, № 117, Указ
Президента РФ № 250, законодательство об обращении
лекарственных средств.
Защита персональных данных пациентов и сотрудников по Приказу ФСТЭК № 21 и 152-ФЗ с учётом того, что сведения о состоянии здоровья относятся к специальной категории
Определение уровня защищённости информационных систем персональных данных по ПП РФ № 1119
Технические и организационные меры, обеспечивающие соблюдение врачебной тайны в соответствии с 323-ФЗ
Категорирование объектов КИИ по ПП РФ № 127 и 187-ФЗ — здравоохранение прямо указано в перечне сфер
Защита значимых объектов КИИ по Приказу ФСТЭК № 239 и создание систем безопасности по Приказу № 235
Защита автоматизированных систем управления производственными и технологическими процессами по Приказу ФСТЭК № 31 — для фармацевтических производств, если применимо к конкретной АСУ и объекту
Защита информации по Приказу ФСТЭК № 117 — если информационная система относится к государственной информационной системе либо иной информационной системе государственного органа, ГУП или государственного учреждения
Сопровождение аттестации объектов информатизации по Приказу ФСТЭК № 77 — если применимо
Порядок реагирования на утечку и уведомления Роскомнадзора: 24 часа на первичное уведомление, 72 часа на результаты внутреннего расследования
Подключение к ГосСОПКА и взаимодействие с НКЦКИ
Защищённое взаимодействие с государственными информационными системами в сфере здравоохранения
Учёт требований Указа Президента РФ № 250 — если организация относится к тем, на кого распространяется указ, либо является субъектом КИИ
Подготовка к проверкам Роскомнадзора, ФСТЭК и надзорных органов в сфере здравоохранения
Этапы проекта
Как мы выстраиваем защиту медицинской организации
Отдельное условие всех наших проектов в здравоохранении: мероприятия по обеспечению информационной безопасности не должны отражаться на качестве и скорости оказания медицинской помощи при работе с программно-аппаратными медицинскими комплексами и информационно-справочными системами.
Проводим аудит информационной инфраструктуры
Анализируем медицинские информационные системы, лабораторные и радиологические системы, подключённое оборудование, сети отделений и филиалов, административный контур, телемедицинские сервисы, доступы сервисных организаций.
Выявляем состав информационных систем и формируем требования
Определяем информационные системы, информационно-телекоммуникационные сети и автоматизированные системы организации, устанавливаем применимые требования: 152-ФЗ, 187-ФЗ, ведомственные нормативные акты.
Проводим категорирование и определяем уровень защищённости
Категорируем информационные системы, сети и АСУ, определяем требования к уровню защищённости персональных данных при их обработке.
Разрабатываем модели угроз и нарушителя
Описываем сценарии с учётом специфики отрасли: шифровальщик в МИС, внутренний доступ к картам, компрометация оборудования, атака через сервисную организацию.
Проектируем систему информационной безопасности
Сегментация медицинского, административного и гостевого контуров, изоляция оборудования, которое нельзя обновлять, разграничение доступа к медицинским данным и журналирование обращений, резервное копирование, мониторинг.
Внедряем без влияния на лечебный процесс
Поэтапно: обследование → пилот → тестовый режим → настройка политик → перевод в промышленную эксплуатацию. Работы планируем с учётом графика приёма, дежурств и плановых вмешательств.
Передаём систему в сопровождение
Мониторинг, регламенты реагирования, отчётность для регуляторов, обучение медицинского и технического персонала, поддержка.
Направления работ
Что мы делаем для медицинских и фармацевтических организаций
01
Данные пациентов и врачебная тайна
- Защита персональных данных по 152-ФЗ и приказу ФСТЭК № 21 с учётом специальной категории данных
- Определение уровня защищённости информационных систем персональных данных и разработка модели угроз
- Ролевая модель доступа к медицинским данным, журналирование обращений к картам и механизм экстренного доступа с обязательной фиксацией действий
- Защита от утечек (DLP) и контроль каналов выгрузки данных
- Разработка организационно-распорядительной документации и режима врачебной тайны
- Порядок реагирования на утечку и уведомления Роскомнадзора
02
КИИ и требования регуляторов
- Категорирование объектов КИИ и подготовка пакета документов
- Защита значимых объектов КИИ по Приказу ФСТЭК № 239
- Создание систем безопасности значимых объектов КИИ по Приказу № 235
- Подключение к ГосСОПКА и взаимодействие с НКЦКИ
- Подготовка к проверкам ФСТЭК и Роскомнадзора
- Сопровождение аттестации объектов информатизации
03
Медицинские системы и оборудование
- Защита медицинских информационных систем
- Защита лабораторных и радиологических систем: ЛИС, RIS/PACS, хранилища медицинских изображений
- Защита интеграций и каналов обмена медицинскими документами, включая обмен в форматах DICOM и HL7
- Защита подключённого медицинского оборудования: инвентаризация, сегментация, контроль сетевого взаимодействия, ограничение удалённого доступа сервисных организаций и компенсирующие меры для оборудования, которое нельзя обновлять
- Сегментация медицинского, административного и гостевого контуров
- Резервное копирование и катастрофоустойчивость медицинских систем
- Регулярная проверка восстановления МИС, ЛИС, PACS, баз данных и критичных сервисов
04
Телемедицина и сервисы для пациентов
- Защита веб-приложений и API (WAF)
- Защита от DDoS
- Защита личных кабинетов пациентов и систем записи на приём
- Защищённые каналы передачи медицинских документов
- Криптографическая защита и электронная подпись медицинских документов
05
Фармацевтическое производство и оборот
- Защита АСУ ТП по Приказу ФСТЭК № 31
- Сегментация производственного и корпоративного контуров
- Защита лабораторных и производственных систем: LIMS, QMS, MES
- Защита целостности данных лабораторного контроля и сведений о качестве серии
- Защита складских и учётных систем, интеграций с системой маркировки и прослеживаемости лекарственных препаратов
- Защита аптечных сетей: кассы и учётные системы, рецептурный отпуск, программы лояльности, данные покупателей, связь с удалёнными точками
06
Инфраструктура, мониторинг и реагирование
- Защита периметра и сегментация корпоративной сети
- Безопасный удалённый доступ для сотрудников, филиалов и подрядчиков (VPN + 2FA)
- Контроль привилегированных пользователей (PAM)
- Замена иностранных средств защиты на отечественные
- Внедрение SIEM и построение SOC
- Анализ сетевого трафика и выявление атак (NTA)
- Управление уязвимостями и тестирование на проникновение
- Защита АРМ и серверов: антивирусы, EDR
- Обучение персонала основам информационной безопасности
Технологии
Подбираем решения под медицинскую инфраструктуру
Подбираем отечественные решения с учётом требований регуляторов, наличия сертификатов ФСТЭК для конкретной версии продукта, категории объектов КИИ, состава медицинского оборудования и ограничений, установленных его производителями, количества филиалов и требований к непрерывности лечебного процесса.
NGFW / Межсетевые экраныUserGate, Континент, PT NGFW, Ideco
Средства защиты от НСДSecret Net Studio, Dallas Lock, Аккорд
DLPInfoWatch Traffic Monitor, СёрчИнформ КИБ
EDR / антивирусKaspersky, Dr.Web
SIEMMaxPatrol SIEM, Kaspersky KUMA, RuSIEM
NTA / анализ трафикаPT NAD
Защита от APTPT Sandbox
PAMIndeed Privileged Access Manager
WAFPT Application Firewall, SolidWall
Защита АСУ ТПPT ISIM — для фармацевтических производств
Сканеры уязвимостейMaxPatrol VM, RedCheck, Сканер-ВС
Криптографическая защитаViPNet, КриптоПро, Континент TLS
Резервное копированиеКибер Бэкап, RuBackup
Когда обращаются
В каких ситуациях мы помогаем
Если у вас одна или несколько из перечисленных ситуаций — поможем выстроить защиту, подготовить документы и взаимодействовать с регулятором.
- Нужно провести категорирование объектов КИИ и подготовить документы для ФСТЭК
- Произошёл инцидент или подозрение на утечку данных пациентов
- Шифровальщик остановил медицинскую информационную систему
- Есть подозрение, что сотрудники просматривают карты, к которым не должны иметь доступа
- Требуется привести обработку персональных данных в соответствие с 152-ФЗ
- Нужно разделить медицинскую, административную и гостевую сети
- В инфраструктуре есть оборудование, которое нельзя обновлять, и нужны компенсирующие меры
- Требуется организовать безопасный доступ сервисных организаций к оборудованию
- Запускается телемедицинский сервис или личный кабинет пациента
- Организация распределена по филиалам, нужна защищённая связь между площадками
- Требуется защита АСУ ТП фармацевтического производства
- Получено требование или запрос от Роскомнадзора или ФСТЭК
- Не хватает внутренних специалистов по информационной безопасности
Наш опыт
Кейсы
Создание системы информационной безопасности медицинской организации
Объект
Региональное учреждение сферы здравоохранения: корпоративная сеть, охватывающая 9 региональных филиалов, более 100 видов автоматизированного медицинского оборудования, территориально распределённые медицинские информационные системы.
Задача
Создать систему информационной безопасности медицинской организации: провести аудит информационной инфраструктуры, сформировать требования к системе, содержащиеся в нормативных правовых актах в части КИИ, информационных систем персональных данных и автоматизированных систем, и предложить решение по её реализации.
Отдельное условие заказчика: мероприятия по обеспечению информационной безопасности не должны отражаться на качестве и скорости оказания медицинской помощи во время работы с программно-аппаратными медицинскими комплексами и информационно-справочными системами.
Что сделали
Выявили информационные системы, информационно-телекоммуникационные сети и автоматизированные системы медицинской организации.
Определили для них требования в сфере защиты информации — 152-ФЗ, 187-ФЗ, ведомственные нормативные правовые акты.
Провели категорирование информационных систем, сетей и автоматизированных систем, определили требования к уровню защищённости персональных данных при их обработке.
Разработали модели угроз и модели нарушителя.
Разработали меры по защите информации в соответствии с требованиями нормативных правовых актов.
Результат
Спроектирована система информационной безопасности, блокирующая актуальные угрозы для информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем организации.
Наименование заказчика не разглашается в соответствии с соглашением о конфиденциальности.
Обнаружение шифровальщика в инфраструктуре научно-клинического центра
Задача
Оценить реальное состояние защищённости инфраструктуры научно-клинического центра.
Что сделали
В ходе работ по анализу инфраструктуры выявили и локализовали шифровальщика.
Результат
Вредоносная активность обнаружена и остановлена до реализации сценария с шифрованием данных.
Наименование заказчика не разглашается в соответствии с соглашением о конфиденциальности.
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- 4+ региона присутствия
- Лицензии ФСТЭК и ФСБ — работаем со сведениями, составляющими государственную тайну, и оказываем услуги по технической защите конфиденциальной информации
- Опыт создания системы информационной безопасности для регионального учреждения здравоохранения с 9 филиалами и более чем 100 видами автоматизированного медицинского оборудования
- Опыт обнаружения и локализации шифровальщика в инфраструктуре научно-клинического центра
- Опыт категорирования объектов КИИ и создания систем безопасности значимых объектов
- Работаем с ограничением, которое в здравоохранении является ключевым: защита не должна замедлять оказание медицинской помощи
- Полный цикл услуг: консалтинг, аудит, проектирование, внедрение, сопровождение
- Команда сертифицированных инженеров по ключевым отечественным решениям
Начать проект
Получить план защиты вашей организации
Расскажите о задаче — категорирование КИИ, защита медицинской информационной системы и оборудования, разграничение доступа к данным пациентов, приведение обработки персональных данных в соответствие с 152-ФЗ, защита фармацевтического производства или комплексная защита. Мы проведём первичное обследование и предложим план работ.