Актуальные проблемы защиты персональных данных в учреждениях здравоохранения

1. ИНФОФОРУМ-Евразия 2012 Актуальные проблемы защиты персональных данных в учреждениях здравоохранения проф., д.т.н. Столбов А.П., РАМН Москва, 7 июня 2012 г. 6.6.2

2. Об информации, информационных технологиях и защите информации, № 149-ФЗ от 27.07.2006 г. (ред .от 27.07.2010 г.) О персональных данных,№ 152-ФЗ от 27.07.2006 г. (в ред. закона № 261-ФЗ от 25.07.2011 г.) Правительством РФ, ФСТЭК и ФСБ пока ещё не приняты требования к уровням защищенности (классификация) ИС ПДн, методам и способам защиты ПДн для разных классов ИС ПДн (ст. 19 закона)->неопределенности ->РИСКИ!!! Об организации предоставления государственных и муниципальных услуг, № 210-ФЗ от 27.07.2010 г. (ред. от 01.07.2011 г.) Об электронной подписи, № 63-ФЗ от 06.04.2011 г. (ред. от 01.07.2011г.) О лицензировании отдельных видов деятельности, № 99-ФЗ от 04.05.2011 г. Об обязательном медицинском страховании в Российской Федерации,№ 326-ФЗ от 29.11.2010 г. (ред. от 30.11.2011 г.) Об основах охраны здоровья граждан в Российской Федерации, № 323-ФЗ от 21.11.2011 г. Перечень мер, направленных на ... выполнение обязанностей, предусмотренных ФЗ "О персональных данных" ... государственными или муниципальными органами, постановление Правительства РФ от 21.03.2012 г. № 211* 2

3. Защита персональных данныхв МИС ->сертфицированные СЗИ • проблемы при подключении цифрового диагностического обрудования к МИС (ЛИС, РИС)[ЦДО = ПрЧ + РС = ПАК] • унификация СЗИ на уровне всей ИС учреждения + комплексирование СЗИ со средствами КЭП и VPN (ЕЗИТС) • необходимость согласия при обработке ПДн в ЦОД, Ц-PACS* Использование квалифицированной электронной подписи (КЭП) • необходимостьсертификации средств КЭП в ФСБ • кросс-совместимость КЭП ->СМЭВ, ЕЗИТС (в ТЗ на ЕГИСЗ) Соответствие стандартам и интеграционным профилям (в ТЗ на ЕГИСЗ (ИЭМК), декабрь 2011 г.) • ГОСТ Р ИСО 12052, 17432(DICOM), ISO/HL7 27931v.2.5, ISO/HL7 27932 CDAv.3.x+ Integrating the Healthcare Enterprise (IHE: XDS.b, PIX, PDQ, ATNA, BPPC, www.ihe.net) • идентификация и аутентификация пользователей с использованием сервисов ФГИС ЕСИА (постановление Правительства РФот 28.11.2011 г. № 977) • псевдонимизация ПДн -> ISO/TS 25237:2008 !!! 3

4. Возможность установки сертифицированных СЗИ СЗИ = управление доступом + регистрация и учет + контроль целостности + ... + МЭ + СКЗИ + СОВ + АВС + САЗ + ... Применение "внешних" СЗИ ("защита входа" в ИС)->решение проблемы изменчивости прикладного ПО Нужна классификация ЦДО, PACS"по требованиям защиты ПДн" • возможность использования внешнего компьютера с СЗИ !? • совместимость программных и аппаратных средств с СЗИ • нестандартная ОС -> нет сертифицированных СЗИ • невозможность подключения "не родных" аппаратных модулей • невозможность доверенной загрузки ядра ОС с внешнего МНИ • "прошитое" ПО (const)без возможности загрузки извне • необходимость ON-Line подключения к сайту производителя • автоматическое обновление ПО -> коллизия с настройками СЗИ • унификация и комплексирование СЗИ, средств КЭП (ЭДО), VPN ->Учет этих факторов при выборе ЦДО (в ТЗ на поставку)!!! Как подключить "старую" технику к МИС ? 4

5. Применениеэлектронной подписи (ЭП) Средства ЭП должны отображать ФЛ содержание документа перед постановкой ЭП и при проверке ЭП в подписанном документе !!! Эти функции средств ЭП реализуются в том числе с использованием аппаратных и программных средств, совместно с которыми штатно функционируют средства ЭП ->среда функционирования СрЭП (приказ ФСБ от 27.12.2011 г. № 796)-> • сертификация средств квалифицированной ЭП совместно со средствами отображения ЭМД пользователю • унификация и стандартизация модулей отображения записей в ЭМД, в том числе медицинских изображений • комплексирование СЗИ со средствами КЭП и VPN (ЕЗИТС) Технология LPS (Lightweight Portable Security)для создания защищенных ИС, каналов обмена данными и работы с КЭП ->централизованная сертификация и тиражирование!!! Проблема изменчивости прикладного ПО!!! Автоматическая постановка и проверка ЭП ЮЛ при оказании гос- и муниципальных услуг (функций)->в ЦОД ->доступ к ИЭМК как госуслуга ->решение Правительства!!! 5

6. Применение технологий псевдонимизации Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информацииопределить принадлежность персональных данных конкретному субъекту ПДн [152-ФЗ] ISO/TS 25237:2008 Health informatics. Pseudonymization • псевдоним (Ps)пациента не известен ни врачу, ни пациенту • никогда не указывается вместе с ПДн (или ID)на экране или в медицинских документах • может быть сопоставлен с ПДн пациента только с его согласия или в специальных случаях, предусмотренных законодательством, по жестко контролируемым процедурам (~ SUS NHS) (а)Iд{ПДн, ID}, Ps = Cr(Iд), Iд = Cr-1(Ps)!!! Cr-криптопреобразование (б) шифрование [Iд:Ps] ->Определить (в законе) понятие псевдонимизацииперсональных данных, определить статус псевдонимизированных данных как yеконфиденциальных, установить требования к процедурам и средствам псевдонимизации и обратной персонификации (D.Chaum, 1985 ) 6

7. СПАСИБО ! ВОПРОСЫ ? Столбов Андрей Павлович stolbov@mcramn.ru AP100Lbov@mail.ru +7(495) 724-70-46 www.mcramn.ru www.hl7-russia.org

8. Концепция создания единой государственной информационной системы в сфере здравоохранения, приказ МЗСР № 364 от 28.04.2011 г. Общие принципы построения и функционирования информационных систем и порядок информационного взаимодействия в сфере ОМС, приказ ФФОМС № 79 от 07.04.2011 г. (в ред. приказа № 154 от 22.08.2011 г.) Методические рекомендации по организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости (МЗСР, 23.12.2009 г.) Методические рекомендации по составлению частной модели угроз безопасности ПДн при их обработке в ИС ПДн учреждений ... здравоохранения ... (МЗСР, 23.12.2009 г.) Модель угроз типовой медицинской информационной системы типового лечебно-профилактического учреждения (23.12.2009 г.) Методические рекомендации по проведению в 2011-2012 гг. работ по информационной безопасности для регионального уровня единой государственной информационной системы в сфере здравоохранения (МЗСР, 31.08.2011 г. -> 14.11.2011 г.) 8

9. Методические рекомендации МЗСР по ... (31.08.2011->14.11.2011) • оснащению медицинских учреждений компьютерным оборудованием и программным обеспечением ... и функциональные требования к ним • составу, создаваемых в 2011-2012 гг. в рамках реализации региональных программ модернизации здравоохранения, прикладных компонентов регионального уровня ЕГИСЗ ... • составу и техническим требованиям к сетевому телекоммуникационному оборудованию учреждений системы здравоохранения ... и функциональные требования к ним • реализации мероприятий по внедрению современных ИС в здравоохранение в ФГУ, оказывающих мед. помощь (01.03.2012 г.) • оснащению центральных станций СМП и машин СМП .... оборудованием ... для регионального уровня ИС "Центр обслуживания вызовов экстренных ... служб по единому номеру "103" и функциональные требования к ним (19.05.2012 г.) Отчетные материалы по госконтрактам в рамках создания первой очереди федеральных сервисов ЕГИСЗ (проекты документов) http://egisz.ru/, 06.04.2012 г. 9

10.         [ID:Пд ] { ID, Мп } [ID:Пд ]    {Nп, Мп } [Nп :Пд ] {Ps, Мп } [ID:Пд ] { №, Мп } Iд{Пд, ID, Nп} Принято сейчас !!! Контроль доступа ? Нет Передача \ доступ к данным о состоянии здоровья (оптимизация !?) • персонифицированные { Пд, ID, Nп, Мп }ISO/TS 22220, prCEN/TR 15872 • с использованием внешних ID(СНИЛС, № паспорта, № полиса ОМС) • с использованием локальных Nп(номер медкарты, талона, …) или Ns • псевдонимизированные • обезличенные Нет соответствия [Iд: № ]!!! Пд - Ф.И.О., адрес места жительства, место работы (персональные данные) Mп - пол, дата рождения, медицинские и проч. данные, № - усл. номер, криптоним Ps - псевдоним, Cr - криптопреобразование, {Psi} : {Iдi}, i=1,.., N!! регистр ПФР, ОМС Ns - внутрисистемный номер Нет Есть? [ Ns: Пд] или Возможна идентификацияпациента по запросу Nп, Ns Ps = Cr(Iд), Iд = Cr-1(Ps) Идентификацияпо запросу Ps SUS NHS, ISO/TS 25237:2008 – "вторичный" пользователь и анонимные Идентификация личности пациента невозможна !!! 10