Основы доверия в здравоохранении: как защитить данные и выстроить учет СКЗИ

Защита медицинских данных в цифровом контуре здравоохранения

Медицинские организации хранят, помимо прочего, большие объемы персональных данных сотрудников и пациентов. Обрабатывать (собирать, хранить, использовать, передавать, уничтожать) такие сведения необходимо с учетом предписаний законодательства.

Работа с персональными данными, в том числе с врачебной тайной, при использовании информационных систем и цифровых инструментов требует особенно внимательного подхода. Согласно Федеральному закону № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», к врачебной тайне относятся любые сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, а также иные сведения, полученные при его медицинском обследовании и лечении. Умышленное или даже случайное разглашение таких сведений, помимо случаев, предусмотренных законодательством, – грозит медицинской организации серьезными последствиями: административной и, в ряде случаев, уголовной ответственностью, а также репутационным ущербом.

Медицинские организации являются операторами персональных данных, а также субъектами критической информационной инфраструктуры. Поэтому на их деятельность оказывают влияние такие нормативно-правовые акты, как Федеральные законы № 152-ФЗ «О персональных данных», № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» и другие. С 30 мая 2025 года значительно увеличились административные штрафы за нарушения при обработке и за утечку персональных данных, а в отдельных случаях сотрудникам грозит и уголовная ответственность.

Актуальные проблемы ИБ в медицине
Источник: Компания «Актив»

При этом стоит подчеркнуть, что медицинские организации являются популярной среди злоумышленников целью кибератак: по данным компании InfoWatch, в первом полугодии 2025 года число утечек данных из медицинских организаций в России выросло на 16,7% по сравнению со вторым полугодием 2024 года. Аналитики также отмечают, что причиной каждого пятого инцидента в российских учреждениях здравоохранения являются действия внутренних нарушителей.

Для обеспечения комплексной информационной безопасности организациям здравоохранения необходимо, в том числе, четко контролировать доступ персонала к рабочим станциям и информационным системам. Привычная связка логин-пароль имеет ряд слабых мест – например, пароль можно украсть или подобрать. Дополнительный уровень защиты обеспечивает аутентификация с помощью аппаратного (криптографического) токена. Использование этого устройства подтверждает, что его владелец является доверенным пользователем. Таким образом, даже зная логин и пароль, без токена злоумышленник не сможет получить доступ к корпоративным ресурсам.

При использовании физических аппаратных ключей сохраняются риски, связанные с их потерей, ненадлежащим хранением и нарушением регламентов работы. Поэтому важно не только внедрить в компании такие устройства, но и должным образом организовать их учет и управление ими.

Продукты и решения Рутокен для медицинской сферы

Решения «Рутокен» помогают медицинским организациям комплексно подойти к вопросам защиты информации и юридической значимости документооборота, соблюдать требования регуляторов и стандарты КИИ и сохранить при этом эффективность.

«Новая линейка USB-токенов и смарт-карт Рутокен ЭЦП 3.0 – это полнофункциональные аппаратные СКЗИ, предназначенные реализации строгой двухфакторной аутентификации на настольных и мобильных устройствах, а также для подписания документов электронной подписью. Все устройства работают на нашей операционной системе «Рутокен ОС», имеют в составе микроконтроллер, сертифицированы по требованиям ФСБ и ФСТЭК России. У нас собственное производство в Москве», – рассказывает руководитель проектов Компания «Актив» Алёна Тараканова.

Еще одним преимуществом линейки Рутокен ЭЦП 3.0 является большой ассортимент моделей, благодаря которому каждая компания-заказчик может подобрать устройства с учетом особенностей их применения у себя. USB-токены выпускаются в форм-факторах от классического ключа, напоминающего флешку, до миниатюрного nano. Смарт-карты также выпускаются в классическом формате и в виде брелока. В разработке компании находится кольцо, которое будет работать по технологии NFC.

Аппаратные продукты Рутокен ЭЦП
Источник: Компания «Актив»

В отдельном материале мы подробно рассказывали о линейке Рутокен ЭЦП 3.0 и критериях выбора нужной модели.

Помимо этих устройств, компания выпускает контактные и бесконтактные считыватели для смарт-карт, токены Рутокен OТР с функцией подбора одноразовых паролей, Рутокен MFA для аутентификации в веб-приложениях и многое другое.

На основе реализованных проектов разработчик выделяет несколько основных сценариев применения ключей Рутокен ЭЦП 3.0 в организациях сферы здравоохранения и смежных областей.

Клиники и больницы с помощью ключей доступа получают возможность организовать работу врачей по всем правилам информационной безопасности. Пройдя двухфакторную аутентификацию с помощью токена, специалисты получают надежный доступ к информационным системам, могут вести электронные медицинские карты пациентов, оформлять электронные больничные листы, выписывать электронные рецепты и подписывать медицинские документы электронной подписью.

«Крупная московская больница обратилась к нам с задачей модернизировать пропускную систему (СКУД) и внедрить электронный документооборот, чтобы сотрудники могли подписывать документы в электронном виде, вести историю лечения пациентов, заходить по PIN-коду в домен и в медицинскую информационную систему. Мы подобрали для них решение: смарт-карта Рутокен ЭЦП 3.0 с NFC позволяет эмулировать RFID-метку MIFARE, чтобы сотрудник мог пройти через СКУД, войти в домен, полноценно работать и принимать пациентов», – говорит Алёна Тараканова.

Аптечные сети и пункты могут применять ключи доступа для безопасной организации контроля движения лекарственных средств, оформления сопроводительной документации, учета отпускаемых препаратов, взаимодействия с медицинскими информационными системами. Кроме того, для них актуальны решения, связанные с логистикой.

«Аптечная сеть, владеющая складскими объектами, обратилась к нам с целью автоматизировать бизнес и наладить работу складов, где сотрудники используют планшеты. Благодаря смарт-карте Рутокен ЭЦП 3.0 с NFC они могут подписывать документы прямо в мобильном устройстве. Теперь им не нужно носить с собой бумажные копии. Бизнес-процесс автоматизирован, документы не теряются, а система фиксирует точное время и детали подписания. Документы не теряются, в системе зафиксировано точное время и детали подписания. Такое решение не только упрощает работу, но и повышает безопасность, минимизирует риск утечки данных», – комментирует Алёна Тараканова.

Для бригады скорой медицинской помощи тоже актуальны смарт-карты с NFC. С помощью этих устройств сотрудники, находящиеся на выезде, могут сразу же после посещения пациента заполнить карту вызова и подписать ее электронной подписью, оперативно передать информацию в стационар, оформить сопроводительные документы. Такая двухфакторная аутентификация обеспечивает высокий уровень защиты конфиденциальных данных пациентов.

Эффективное управление ключами доступа

Итак, сотрудники медицинских учреждений активно применяют ключи и сертификаты электронной подписи, хранящиеся на USB-токенах и смарт-картах. Применение этих устройств должно быть организовано с учетом требований законодательства к средствам криптографической защиты информации (СКЗИ) – прежде всего, Приказа ФАПСИ от 13 июня 2001 г. №152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации...» К этим требованиям относится, в частности, необходимость ставить СКЗИ на учет и предоставлять контролирующим органам утвержденные приказом отчеты.

«Если в токене, который использует сотрудник, есть криптографическое ядро, этот токен реализует механизмы криптографии по ГОСТ и имеет сертификат ФСБ, то это СКЗИ. Если ключи для квалифицированной электронной подписи хранятся на носителе, то ключ вместе с носителем образует так называемый ключевой документ, – и, согласно приказу, это тоже СКЗИ. Если в организации есть клиент VPN, который использует данные алгоритмы, то это тоже СКЗИ. На практике часто оказывается, что в учреждении СКЗИ значительно больше, чем предполагалось изначально», – замечает руководитель проекта Рутокен База Компании «Актив» Андрей Игнатов.

За отсутствие учета или ошибки при оформлении документации следует наказание со стороны контролирующих органов и предписание об устранении нарушений.

Небольшие организации, имеющие в штате около 30-40 сотрудников, для учета СКЗИ, как правило, без труда используют классические таблицы Excel или бумажный журнал. Однако, когда речь идет о штате, превышающем сотню человек, такой процесс учета становится неудобным и сложным. Помимо временных затрат, связанных с необходимостью учитывать в журнале большое количество устройств, увеличиваются и риски ошибок: ведь ответственному сотруднику нужно вручную вводить каждый серийный номер и идентификатор смарт-карты или токена. Помимо этого, сертификат ключа проверки электронной подписи, хранящийся на токене, может быть отозван, или срок его действия может закончиться. Организации необходимо своевременно узнавать о таких случаях, чтобы быстро принимать соответствующие меры.

Интерфейс системы Рутокен База
Источник: Комапния «Актив»

Рутокен База – это централизованная система учета и управления жизненным циклом ключевых носителей, ключевых документов, сертификатов электронной подписи и СКЗИ.

Выделяются четыре основные функции системы. 

Первая – обнаружение СЗИ/СКЗИ с помощью агента, который устанавливается на компьютеры сотрудников и автоматически обнаруживает на них защищенные ключевые носители (USB-токены и смарт-карты) различных производителей, прочие ключевые носители (реестр, файловая система, flash-накопители), программные СКЗИ (например, КриптоПро CSP), ключевые документы и сертификаты электронной подписи.

«Если к компьютеру подключается токен или смарт-карта, агент фиксирует это действие и заносит в журнал событий системы. Если подключенного СКЗИ ранее не было в базе, оно автоматически туда вносится. Вводить вручную ничего не надо. После этого можно выполнять с СКЗИ операции: ставить на учет, выдавать сотруднику и так далее. Определяются токены от любых производителей, как с криптоядром, так и без, флешки, реестр, файловая система, если на них созданы ключи с помощью программных криптопровайдеров, программные СКЗИ и другие сущности. Можно сразу в одну систему заводить данные по нескольким организациям. В ближайших версиях появятся опции, которые позволят не только обнаруживать, но и, например, форматировать и блокировать токен, менять на нем PIN-код», – сообщает Андрей Игнатов.

Вторая – операции с СКЗИ, предусмотренные приказом ФАПСИ №152. По каждому объекту учета могут быть выполнены такие операции, как постановка на учет, выдача сотрудникам, возврат, уничтожение и прочие. Для этого реализованы готовые функции в интерфейсе системы. 

Третья – формирование отчетности. Рутокен База позволяет создавать журналы учета СКЗИ в соответствии с приказом ФАПСИ №152, отчеты по произошедшим событиям, ключевым носителям, прочим СКЗИ, ключевым документам и сертификатам ключей проверки ЭП и т. д.

Четвертая – контроль возникновения событий. Рутокен База уведомляет о возникновении таких событий, как отзыв и завершение сроков действия ключей и сертификатов электронной подписи, подключение незарегистрированных ключевых носителей к рабочим станциям в организации, завершение сроков действия сертификатов соответствия, технической поддержки, окончание гарантийных сроков эксплуатации и т. д.

«Когда администратор выполняет в системе какое-то действие, подключается или отключается токен, на нем найден новый сертификат, найдено новое программное СКЗИ – всё это отмечается в журнале событий. Журналы можно оперативно анализировать и таким образом выявлять различные инциденты безопасности: например, подключение токенов не к своему компьютеру, копирование ключей на два разных носителя и другие. Также важно, что в системе есть не только функциональность администратора, но и личные кабинеты сотрудников. С их помощью каждый может посмотреть, какие ему выданы токены, сертификаты, когда заканчивается срок их действия. Еще одна полезная опция системы – режим увольнения. Когда сотрудник уходит из организации, он не сможет закрыть обходной лист, пока не выполнит все необходимые операции, связанные с учетом СКЗИ», – добавляет Андрей Игнатов.

По данным разработчика, Рутокен База позволяет на 80% сократить временные затраты на администрирование СКЗИ и полностью исключить ошибки при ведении учета, вызванные «человеческим фактором». Решение уже используется в частных клиниках, Минздраве и многих других государственных учреждениях.

Применение СКЗИ в здравоохранении: FAQ

На основе обратной связи от пользователей эксперты Компании «Актив» разбирают типичные ошибки и дают практические рекомендации по соблюдению требований к учету СКЗИ в медицинских организациях.

Обязателен ли бумажный журнал учета СКЗИ, или его можно вести электронно?

Согласно разъяснениям Центра информационной безопасности ФСБ России, Приказ ФАПСИ №152 не исключает ведение учета СКЗИ в электронной форме. Однако есть важный нюанс: чтобы электронный журнал имел юридическую силу, все операции в нем (акты выдачи и приема-передачи) должны быть подписаны квалифицированной электронной подписью (КЭП).

Перед полным переходом на электронный учет организации стоит согласовать этот вопрос с территориальным управлением ФСБ, которое проводит проверки. Это позволит избежать претензий в будущем. Современные системы учета, такие как Рутокен База, позволят сформировать все необходимые акты и журналы в электронном виде с возможностью подписания КЭП.

Как учитывать СКЗИ, которые находятся у физических лиц (например, электронная подпись врача)?

Ситуация, когда квалифицированная электронная подпись выпускается на имя конкретного врача (физического лица), действительно вызывает вопросы с точки зрения учета СКЗИ и распределения ответственности. Если сертификат и ключ ЭП используются для работы в медицинской информационной системе организации, то эта связка подлежит учету. Ответственность за ее использование и сохранность несет как сотрудник, так и учреждение.

Лучшим решением станет внедрение системы, которая позволяет учитывать такие «персональные» СКЗИ, назначение сотрудника материально ответственным за носитель, включение ключевых документов в общую базу учета организации.

Нужно ли лицензированное обучение для сотрудников, работающих со СКЗИ?

Приказ ФАПСИ №152 прямо обязывает проводить обучение персонала, допущенного к работе со СКЗИ. Теоретически такое обучение должны проводить органы криптографической защиты или лицензированные учебные центры. Однако на практике сегодня многие организации успешно проводят внутреннее обучение силами своих специалистов, отвечающих за ИБ, с последующей аттестацией и выдачей допуска. Ключевой момент – фиксация факта обучения и проверки знаний во внутренних документах. Для обучения рекомендуется использовать LMS-системы (Learning Management System), входящие в состав программных комплексов для учета СКЗИ.

Какие самые частые ошибки допускают медучреждения при внедрении СКЗИ?

Часто главная ошибка – это игнорирование эксплуатационной документации. Чтобы ее предотвратить, необходимо внимательно изучать паспорта и руководства по эксплуатации всех используемых токенов, смарт-карт и криптопровайдеров; строго следовать регламентам, особенно при перевыпуске сертификатов, смене сотрудников и списании оборудования; автоматизировать учет.

Ручной ввод данных в Excel чреват ошибками. Использование специализированного ПО позволяет автоматически собирать данные о подключенных носителях, отслеживать сроки действия сертификатов и мгновенно реагировать на инциденты (например, подключение «чужого» токена).

Как быть с подписью актов, если у сотрудника нет квалифицированной электронной подписи?

Законодательство допускает несколько способов: собственноручная подпись на распечатанном акте с последующим сканированием и хранением электронной копии; простая электронная подпись (например, через код, отправленный по SMS); квалифицированная электронная подпись.

Системы учета должны поддерживать все эти варианты, чтобы не замедлять рабочие процессы, такие как выдача токена новому сотруднику или врачу, работающему в две смены.

Резюме

Обеспечение безопасности в медицине – это комплексный процесс, важным компонентом которого является применение надежных аппаратных решений: токенов или смарт-карт.

Аппаратные ключи, например модели различных линеек Рутокен, помогают медицинским организациям работать безопасно и по закону: обеспечить легитимный доступ сотрудников к медицинским системам, придать юридическую силу документам с помощью квалифицированной электронной подписи, защитить все операции шифрованием.

Грамотно организовать учет базы аппаратных ключей и автоматизировать этот процесс можно с помощью системы Рутокен База – готового, сертифицированного и проверенного временем решения.

Результатом такой комплексной работы станет гарантия конфиденциальности информации пациентов. А это означает не только минимизацию рисков штрафных санкций со стороны контролирующих органов, но, что еще важнее, – доверие пациентов.