Докладчик: Платонов Евгений Леонидович, начальник отдела по защите информации г. Южно-Сахалинск Государственное бюджетное учреждение здравоохранения «Сахалинский. - презентация

1 Докладчик: Платонов Евгений Леонидович, начальник отдела по защите информации г. Южно-Сахалинск Государственное бюджетное учреждение здравоохранения «Сахалинский областной медицинский информационно-аналитический центр» ГБУЗ «СОМИАЦ» Обеспечение информационной безопасности в учреждениях здравоохранения Сахалинской области

2 В период с 07 по 18 июля 2014 г. Управлением Федеральной службы по техническому и экспортному контролю РФ по ДФО будет проведена проверка организации и состояния работ по обеспечению безопасности персональных данных в органах исполнительной власти Сахалинской области и подведомственных учреждений Важная информация!!!

3 Об информации, информационных технологиях и о защите информации от 27 июля 2006 года 149-ФЗ Обладатель информации Права: разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа; использовать информацию, в том числе распространять ее, по своему усмотрению; передавать информацию другим лицам по договору или на ином установленном законом основании; защищать установленными законом способами свои права в случае незаконного получения информации или ее незаконного использования иными лицами; осуществлять иные действия с информацией или разрешать осуществление таких действий. Обязанности: соблюдать права и законные интересы иных лиц; принимать меры по защите информации; ограничивать доступ к информации, если такая обязанность установлена федеральными законами.

4 НОУ-ХАУ (Указ Президента РФ N ) ИНФОРМАЦИЯ (ст. 1 ФЗ N 149-ФЗ) ОБЩЕДОСТУПНАЯ (ст. 7 ФЗ N 149-ФЗ) · общеизвестные сведения и иная информация, доступ к которой не ограничен; · обладатель информации установил общедоступный режим доступа. (ст. 8 ФЗ N 149-ФЗ) · нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, а также устанавливающие правовое положение организаций и полномочия государственных органов, органов местного самоуправления; · информация о состоянии окружающей среды; · информация о деятельности государственных органов и органов местного самоуправления (за исключением сведений, составляющих государственную или служебную тайну); · информация, накапливаемой в открытых фондах библиотек, музеев и архивов, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан и организаций такой информацией; · иной информации, недопустимость ограничения доступа к которой установлена федеральными законами. ОГРАНИЧЕННОГО ДОСТУПА (ст. 5 ФЗ N 149-ФЗ) КОНФИДЕНЦИАЛЬНАЯ ИНФОРМАЦИЯ Указ Президента РФ N ГОСУДАРСТВЕННАЯ ТАЙНА (ст. 1 Закона РФ от N ) ПЕРСОНАЛЬНЫЕ ДАННЫЕ ( ФЗ N 152-ФЗ ) СЛУЖЕБНАЯ ТАЙНА (Указ Президента РФ N ) ТАЙНА СЛЕДСТВИЯ И СУДОПРОИЗВОДСТВА (Указ Президента РФ N ) ПРОФЕССИОНАЛЬНАЯ ТАЙНА (Указ Президента РФ N ) КОМЕРЧЕСКАЯ ТАЙНА (ФЗ N 98-ФЗ )

5 ИНФОРМАЦИЯ (ст. 1 ФЗ N 149-ФЗ) ОБЩЕДОСТУПНАЯ (ст. 7 ФЗ N 149-ФЗ) · общеизвестные сведения и иная информация, доступ к которой не ограничен; · обладатель информации установил общедоступный режим доступа. (ст. 8 ФЗ N 149-ФЗ) · нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, а также устанавливающие правовое положение организаций и полномочия государственных органов, органов местного самоуправления; · информация о состоянии окружающей среды; · информация о деятельности государственных органов и органов местного самоуправления (за исключением сведений, составляющих государственную или служебную тайну); · информация, накапливаемой в открытых фондах библиотек, музеев и архивов, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан и организаций такой информацией; · иной информации, недопустимость ограничения доступа к которой установлена федеральными законами. ОГРАНИЧЕННОГО ДОСТУПА (ст. 5 ФЗ N 149-ФЗ) доступ к информации ограничен федеральными законами ПЕРСОНАЛЬНЫЕ ДАННЫЕ Любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация; ( ФЗ N 152-ФЗ ) ПРОФЕССИОНАЛЬНАЯ ТАЙНА Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее). (Указ Президента РФ N ) КОНФИДЕНЦИАЛЬНАЯ ИНФОРМАЦИЯ Перечень сведений отнесенных к конфиденциальной информации содержится в Указе Президента РФ N ГОСУДАРСТВЕННАЯ ТАЙНА (ст. 1 Закона РФ от N ) защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно- розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации;

6 Федеральные законы в области защиты персональных данных

7 «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 года 149-ФЗ «О персональных данных» от 27 июля 2006 года 152-ФЗ «Об основах охраны здоровья граждан в РФ» от 21 ноября 2011 года 323-ФЗ Кодекс РФ об административных правонарушениях от 30 декабря 2001 года 195-ФЗ (выписка в части вопросов защиты информации) (с изменениями и дополнениями от 30 июня 2003 г. 86-ФЗ) Уголовный кодекс РФ от 13 июня 1996 года 63-ФЗ (выписка в части вопросов защиты информации) (с изменениями и дополнениями от 8 декабря 2003 г.162-ФЗ) Гражданский кодекс РФ Часть первая от г. 51-ФЗ. Часть вторая от г. 14-ФЗ. Часть третья от г. 146-ФЗ. Часть четвертая от г. 230-ФЗ (с изменениями и дополнениями) Трудовой кодекс РФ от г. 197-ФЗ (ТК РФ) (с изменениями и дополнениями) «О техническом регулировании» от 27 декабря 2002 года 184-Ф3 (с изменениями и дополнениями от 9 мая 2005 г. 45-ФЗ) «Об электронной подписи» ФЗ от 6 апреля 2011 года 63-ФЗ

8 Об основах охраны здоровья граждан в РФ

9 Медицинская организация - юридическое лицо независимо от организационно- правовой формы, осуществляющее в качестве основного (уставного) вида деятельности медицинскую деятельность на основании лицензии, выданной в порядке, установленном законодательством Российской Федерации. Положения настоящего Федерального закона, регулирующие деятельность медицинских организаций, распространяются на иные юридические лица независимо от организационно-правовой формы, осуществляющие наряду с основной (уставной) деятельностью медицинскую деятельность, и применяются к таким организациям в части, касающейся медицинской деятельности. В целях настоящего Федерального закона к медицинским организациям приравниваются индивидуальные предприниматели, осуществляющие медицинскую деятельность; Медицинская деятельность - профессиональная деятельность по оказанию медицинской помощи, проведению медицинских экспертиз, медицинских осмотров и медицинских освидетельствований, санитарно-противоэпидемических (профилактических) мероприятий и профессиональная деятельность, связанная с трансплантацией (пересадкой) органов и (или) тканей, обращением донорской крови и (или) ее компонентов в медицинских целях;

10 Об основах охраны здоровья граждан в РФ Статья 71. Клятва врача 1. Лица, завершившие освоение образовательной программы высшего медицинского образования, при получении документа об образовании и о квалификации дают клятву врача следующего содержания: "Получая высокое звание врача и приступая к профессиональной деятельности, я торжественно клянусь: честно исполнять свой врачебный долг, посвятить свои знания и умения предупреждению и лечению заболеваний, сохранению и укреплению здоровья человека; быть всегда готовым оказать медицинскую помощь, хранить врачебную тайну… Статья 13. Соблюдение врачебной тайны 1. Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну. 2. Не допускается разглашение сведений, составляющих врачебную тайну, в том числе после смерти человека, лицами, которым они стали известны при обучении, исполнении трудовых, должностных, служебных и иных обязанностей, за исключением случаев, установленных частями 3 и 4 настоящей статьи. 3. С письменного согласия гражданина или его законного представителя допускается разглашение сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования

11 Об основах охраны здоровья граждан в РФ Продолжение ст Предоставление сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя допускается: 1) в целях проведения медицинского обследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю, с учетом положений пункта 1 части 9 статьи 20 настоящего Федерального закона; 2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений; 3) по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органов прокуратуры в связи с осуществлением ими прокурорского надзора, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля за поведением условно осужденного, осужденного, в отношении которого отбывание наказания отсрочено, и лица, освобожденного условно-досрочно; 4) в случае оказания медицинской помощи несовершеннолетнему в соответствии с пунктом 2 части 2 статьи 20 настоящего Федерального закона, а также несовершеннолетнему, не достигшему возраста, установленного частью 2 статьи 54 настоящего Федерального закона, для информирования одного из его родителей или иного законного представителя; 5) в целях информирования органов внутренних дел о поступлении пациента, в отношении которого имеются достаточные основания полагать, что вред его здоровью причинен в результате противоправных действий;

12 Об основах охраны здоровья граждан в РФ Продолжение ст. 13 п.п. 4 6) в целях проведения военно-врачебной экспертизы по запросам военных комиссариатов, кадровых служб и военно-врачебных (врачебно-летных) комиссий федеральных органов исполнительной власти, в которых федеральным законом предусмотрена военная и приравненная к ней служба; 7) в целях расследования несчастного случая на производстве и профессионального заболевания, а также несчастного случая с обучающимся во время пребывания в организации, осуществляющей образовательную деятельность; 8) при обмене информацией медицинскими организациями, в том числе размещенной в медицинских информационных системах, в целях оказания медицинской помощи с учетом требований законодательства Российской Федерации о персональных данных; 9) в целях осуществления учета и контроля в системе обязательного социального страхования; 10) в целях осуществления контроля качества и безопасности медицинской деятельности в соответствии с настоящим Федеральным законом;

13 Об основах охраны здоровья граждан в РФ Статья 78. Права медицинских организаций Медицинская организация имеет право: 1) вносить учредителю предложения по оптимизации оказания гражданам медицинской помощи; 2) участвовать в оказании гражданам Российской Федерации медицинской помощи в соответствии с программой государственных гарантий бесплатного оказания гражданам медицинской помощи, включающей в себя базовую программу обязательного медицинского страхования; 3) выдавать рецепты на лекарственные препараты, справки, медицинские заключения и листки нетрудоспособности в порядке, установленном уполномоченным федеральным органом исполнительной власти; 4) осуществлять научную и (или) научно-исследовательскую деятельность, в том числе проводить фундаментальные и прикладные научные исследования; 5) создавать локальные информационные системы, содержащие данные о пациентах и об оказываемых им медицинских услугах, с соблюдением установленных законодательством Российской Федерации требований о защите персональных данных и соблюдением врачебной тайны.

14 Об основах охраны здоровья граждан в РФ Статья 79. Обязанности медицинских организаций 1. Медицинская организация обязана: 1) оказывать гражданам медицинскую помощь в экстренной форме; 2) организовывать и осуществлять медицинскую деятельность в соответствии с законодательными и иными нормативными правовыми актами Российской Федерации, в том числе порядками оказания медицинской помощи, и на основе стандартов медицинской помощи; (п. 2 в ред. Федерального закона от N 317-ФЗ) 3) информировать граждан о возможности получения медицинской помощи в рамках программы государственных гарантий бесплатного оказания гражданам медицинской помощи и территориальных программ государственных гарантий бесплатного оказания гражданам медицинской помощи; 4) соблюдать врачебную тайну, в том числе конфиденциальность персональных данных, используемых в медицинских информационных системах; 5) обеспечивать применение разрешенных к применению в Российской Федерации лекарственных препаратов, специализированных продуктов лечебного.

15 Об основах охраны здоровья граждан в РФ Статья 22. Информация о состоянии здоровья 1. Каждый имеет право получить в доступной для него форме имеющуюся в медицинской организации информацию о состоянии своего здоровья, в том числе сведения ….. 2. Информация о состоянии здоровья предоставляется пациенту лично лечащим врачом или другими медицинскими работниками, …….. 3. Информация о состоянии здоровья не может быть предоставлена пациенту против его воли. В случае неблагоприятного прогноза развития заболевания информация должна сообщаться в деликатной форме гражданину или его супругу (супруге), одному из близких родственников (детям, родителям, усыновленным, усыновителям, родным братьям и родным сестрам, внукам, дедушкам, бабушкам), если пациент не запретил сообщать им об этом и (или) не определил иное лицо, которому должна быть передана такая информация. 4. Пациент либо его законный представитель имеет право непосредственно знакомиться с медицинской документацией, отражающей состояние его здоровья, в порядке, установленном уполномоченным федеральным органом исполнительной власти, и получать на основании такой документации консультации у других специалистов. 5. Пациент либо его законный представитель имеет право на основании письменного заявления получать отражающие состояние здоровья медицинские документы, их копии и выписки из медицинских документов. Основания, порядок и сроки предоставления медицинских документов (их копий) и выписок из них устанавливаются уполномоченным федеральным органом исполнительной власти.

16 Об основах охраны здоровья граждан в РФ Статья 92. Ведение персонифицированного учета при осуществлении медицинской деятельности 1. Персонифицированный учет при осуществлении медицинской деятельности (далее - персонифицированный учет) - обработка персональных данных о лицах, которые участвуют в оказании медицинских услуг, и о лицах, которым оказываются медицинские услуги. 2. В целях осуществления персонифицированного учета операторы информационных систем, указанные в части 2 статьи 91 настоящего Федерального закона, получают информацию от органов и организаций государственной, муниципальной и частной систем здравоохранения и иных организаций в рамках информационного взаимодействия в соответствии с настоящим Федеральным законом. По вопросу, касающемуся порядка ведения персонифицированного учета в сфере обязательного медицинского страхования, см. Приказ Минздравсоцразвития РФ от N 29 н.. 3. Порядок ведения персонифицированного учета определяется уполномоченным федеральным органом исполнительной власти. 4. Сведения о лицах, которые участвуют в оказании медицинских услуг, и о лицах, которым оказываются медицинские услуги, относятся к информации ограниченного доступа и подлежат защите в соответствии с законодательством Российской Федерации.

17 Об основах охраны здоровья граждан в РФ Статья 93. Сведения о лицах, которые участвуют в оказании медицинских услуг В целях ведения персонифицированного учета осуществляется обработка следующих персональных данных о лицах, которые участвуют в оказании медицинских услуг: 1) фамилия, имя, отчество (последнее - при наличии); 2) пол; 3) дата рождения; 4) место рождения; 5) гражданство; 6) данные документа, удостоверяющего личность; 7) место жительства; 8) место регистрации; 9) дата регистрации; 10) страховой номер индивидуального лицевого счета (при наличии), принятый в соответствии с законодательством Российской Федерации об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования; 11) сведения об образовании, в том числе данные об образовательных организациях и о документах об образовании и (или) о квалификации; (в ред. Федерального закона от N 185-ФЗ) 12) наименование организации, оказывающей медицинские услуги; 13) занимаемая должность в организации, оказывающей медицинские услуги.

18 Об основах охраны здоровья граждан в РФ Статья 94 Сведения о лицах, которым оказываются медицинские услуги в системе персонифицированного учета осуществляется обработка следующих персональных данных о лицах, которым оказываются медицинские услуги: 1) фамилия, имя, отчество (последнее - при наличии); 2) пол; 3) дата рождения; 4) место рождения; 5) гражданство; 6) данные документа, удостоверяющего личность; 7) место жительства; 8) место регистрации; 9) дата регистрации; 10) страховой номер индивидуального лицевого счета (при наличии), принятый в соответствии с законодательством Российской Федерации об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования; 11) номер полиса обязательного медицинского страхования застрахованного лица (при наличии); 12) анамнез; 13) диагноз; 14) сведения об организации, оказавшей медицинские услуги; 15) вид оказанной медицинской помощи; 16) условия оказания медицинской помощи; 17) сроки оказания медицинской помощи; 18) объем оказанной медицинской помощи; 19) результат обращения за медицинской помощью; 20) серия и номер выданного листка нетрудоспособности (при наличии); 21) сведения об оказанных медицинских услугах; 22) примененные стандарты медицинской помощи; 23) сведения о медицинском работнике или медицинских работниках, оказавших медицинскую услугу

19 Указы Президента, Постановления Правительства и специальные нормативные документы

20 Указы Президента и Постановления Правительства 1. Указ Президента РФ от г. 188 «Об утверждении перечня сведений конфиденциального характера» (с изменениями от 23 сентября 2005 г.) 2. Постановление Правительства РФ от 1 ноября 2012 г «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» 3. Постановление Правительства РФ от г. 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» 4. Постановление Правительства РФ от г. 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных» 5. Постановление Правительства РФ от г. N 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»

21 Специальные нормативные документы Приказ ФСТЭК России от 11 февраля 2013 года 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» - затрагивает вопросы классификации государственных информационных систем СПЕЦИАЛЬНЫЕ ДОКУМЕНТЫ РОСКОМНАДЗОРА Приказ «Об утверждении административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных». Утвержден приказом Роскомнадзора от 14 ноября 2011 г. N 312. СПЕЦИАЛЬНЫЕ ДОКУМЕНТЫ ФСТЭК России по защите ПДн 1. Приказ ФСТЭК России от 18 февраля 2013 года 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» Зарегистрировано в Минюсте России N Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Утверждена заместителем директора ФСТЭК России г. ДСП. (есть открытая выписка) 3. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Утверждена заместителем директора ФСТЭК России г.

22 Специальные нормативные документы ДОКУМЕНТЫ ФСБ России по криптозащите ПДн 1. Приказ ФСБ России от г. N 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)» 2. Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных. 149/6/6-622, 2008 г., ФСБ России. 3. Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации. 149/54-144, 2008 г. ФСБ России. 4. Типовой регламент проведения в пределах полномочий мероприятий по контролю (надзору) за выполнением требований, установленных Правительством Российской Федерации, к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных 149/7/2/ от 08 августа 2009 г.

23 Совет (техническая комиссия) министерства, ведомства, органа гос. власти субъекта РФ Состав участников по защите информации Подразделение по защите информации в министерствах и ведомствах, в органах гос. власти субъектов РФ Организации различных форм собственности Подразделение по защите информации на предприятии (в учреждении, организации) Лицензиаты ФСБ России и ФСТЭК России по оказанию услуг в области защиты информации Федеральные органы исполнительной власти и его территориальные органы Управления ФСБ России в субъектах РФ Управления ФСТЭК России по ФО

24 Спасибо за внимание! 8 (4242) т