Нужно ли небольшой клинике проходить категорирование КИИ, если категории не будет

«У нас одна клиника и несколько кабинетов. Никакой значимой категории у наших систем точно не будет. Зачем тогда проходить категорирование?»

Так рассуждают многие руководители небольших медицинских организаций. В одном они могут оказаться правы: по итогам оценки информационной системе действительно могут не присвоить категорию значимости. Ошибка возникает дальше — когда предполагаемый результат принимают за основание не проводить процедуру.

Если медицинскую деятельность ведёт ООО на основании лицензии, категорирование критической информационной инфраструктуры, или КИИ, нужно провести. Размер клиники, количество филиалов и выручка эту обязанность не отменяют. А вопрос о категории решается только по итогам самой процедуры.

Здесь важно не смешивать три понятия:

• категорирование — процедура оценки объектов КИИ;
• категория значимости — один из возможных результатов оценки;
• отсутствие категории — тоже оформленный результат, а не разрешение ничего не делать.

Статья 2 закона № 187-ФЗ относит к субъектам КИИ российские юридические лица, которым принадлежат или переданы на другом законном основании информационные системы и сети, работающие в сфере здравоохранения.

ООО является российским юридическим лицом, а медицинская лицензия подтверждает работу в сфере здравоохранения. В клинике при этом используются медицинская информационная система, серверы, базы данных, интеграции с государственными системами и программное обеспечение медицинского оборудования.

Поэтому для действующей частной клиники в форме ООО управленческий вывод простой: процедуру нужно организовать. Изучение инфраструктуры проводится уже внутри категорирования. Оно нужно, чтобы найти объекты КИИ и оценить их значимость, а не чтобы решить, можно ли вообще ничего не делать.

Фраза «у нашей клиники не будет категории» неточна. Категорируют конкретные информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления.

У одной медицинской организации может быть несколько объектов с разными результатами. Одному объекту могут присвоить категорию, а другому — нет. Поэтому результат нельзя определить по числу кабинетов, названию медицинской информационной системы или общему обороту клиники.

При оценке смотрят на последствия возможного компьютерного инцидента. Для медицинской организации имеет значение, какие процессы могут остановиться, сколько пациентов это затронет и может ли сбой причинить вред жизни или здоровью людей. Небольшой размер бизнеса сам по себе не отвечает ни на один из этих вопросов.

Статья 7 закона № 187-ФЗ предусматривает два результата. Объекту присваивают первую, вторую или третью категорию либо фиксируют отсутствие необходимости присваивать категорию.

Сведения направляют уполномоченному органу в обоих случаях. Поэтому решение «у нас, скорее всего, категории не будет» нельзя принять вместо комиссии, расчётов и оформления результата.

Для руководителя отсутствие категории по итогам процедуры может быть благоприятным результатом: к объекту не применяются требования, установленные для значимых объектов соответствующей категории. Но сначала клиника должна обосновать этот вывод в установленном порядке.

Для категорирования недостаточно скачать приказ и акт из интернета. Нужно совместить требования закона и ФСТЭК с реальной ИТ-инфраструктурой клиники и медицинскими процессами.

Технические сведения часто распределены между поставщиком медицинской информационной системы, ИТ-подрядчиком и сотрудниками клиники. Отдельно нужно понять, какие процессы зависят от каждой системы и к каким последствиям приведёт её остановка. Затем всё это переводят в расчёты и документы установленной формы.

У большинства частных клиник нет внутренней команды, которая одновременно разбирается в информационной безопасности, ИТ, правовых требованиях и организации медицинской помощи. Поэтому процедуру обычно проводят с участием профильного исполнителя.

Подробный состав работ «Аленте», сроки и порядок взаимодействия собраны на странице услуги «Категорирование объектов КИИ для медицинских организаций». Там же можно оставить заявку: специалист свяжется с клиникой и уточнит исходные данные для начала работы.

Привлечение специалистов не снимает с медицинской организации ответственности за решения. Документы оформляются от имени клиники, а результат утверждает её комиссия.

Со стороны руководителя требуется назначить ответственных, обеспечить доступ к достоверным сведениям и подключить к работе тех, кто знает инфраструктуру и медицинские процессы. Заполнять технические формы и самостоятельно разбираться во всём массиве требований руководителю не нужно, если эту часть работы ведёт профильная команда.

Если категорирование уже проводилось, стоит проверить, сохранился ли полный комплект документов и направлялись ли сведения. Если его не проводили, начинать нужно не с попытки заранее угадать категорию, а с организации самой процедуры.

Проверьте один факт: есть ли у организации оформленный результат категорирования по используемым объектам КИИ.

Если документов нет, не стоит ждать проверки или изменений инфраструктуры. Оставьте заявку на странице услуги. Мы свяжемся с вами, уточним структуру организации и используемые системы, объясним, какие сведения понадобятся, и предложим порядок работы с минимальной нагрузкой на сотрудников клиники.