Останнім часом, тема захисту даних активно обговорюється в сфері охорони здоров’я, з тої причини, що активно впроваджується Електронне здоров’я (E-Health). Пацієнти та амбулаторні хворі реєструються в електронних базах медзакладів, відповідно їх власні дані зберігаються там. Але, як виявилося – далеко не всі медзаклади будують КСЗІ (Комплексна система захисту інформації) та не отримують сертифікати відповідності. Ми поспілкувалися на цю тему із головним лікарем Київського міського дитячого діагностичного центру Андрієм Семиволосом.
На скільки важливою є побудова КСЗІ у контексті впровадження МІС у медзакладі?
По-перше, це є виконання вимог діючого законодавства, відповідно можуть бути певні наслідки за невиконання, але, насправді, захист персональних даних є одним із найпріорітетніших напрямків. КСЗІ, не лише в медзакладах, а взагалі в місцях де використовуються системи системи оперативного управління – мають бути захищені, а особливо ті, що постійно працюють з громадськими даними.
Розкажіть про процедуру побудови КСЗІ?
Процедура отримання та побудови КСЗІ – це достатньо складний та довготривалий процес. Комплексна система, я наголошую на слові комплексна, включає в себе не лише технічні засоби, а й політику конфіденційності, інструкції, щодо того, як зберігати дані, протоколи, декілька “томів” інформації, що регламентує ту чи іншу програму. Також, тривалим процесом є отримання сертифікату з захисту інформації, що іде поруч із впровадженням самої медичної інформаційної системи. І дивлячись на все це, ми маємо розуміти, що дуже важливо виконати всі ті вимоги, що закладені на папері – це firewall, налаштування комп’ютерів, безпека виходу в інтернет, тощо.
Скільки часу було витрачено на побудову КСЗІ?
Близько двох років. Одним із тягарів даної процедури були різного роду комісії, що розглядають ці питання, адже процес їх збирання та проведення засідань не був швидким. Але тим не менш, я вважаю, що, якщо процедура отримання таких документів стане швидкою – це залишає за собою певні корупційні ризики.
Чи сприяли розробники МІС-системи, що впроваджена у вас на отримання КСЗІ?
Так звичайно. Доречі, великим облегшенням ситуації було те, що у системи, що стоїть у нас є сертифікат ТЗУ, а це є підгрунтям для побудови КСЗІ та облегшує процес його отримання. Нажаль, далеко не всі МІСи його мають, але у нашому випадку із Емсімед, буквально за пів року до того, як ми запустили весь процес – розробники цієї системи отримали ТЗУ.
У вас система стоїть 2 роки, а сертифікат ви отримуєте тільки зараз і при цьому – це чи не один із перших сертифікатів КСЗІ у Києві, за вийнятком декількох випадків. Чому існує певна не першочерговість в отриманні КСЗІ?
Я теж на самому початку думав, що це не є першочергового. Але потім, коли я вже став поглиблюватися в цю тему – я зрозумів, що отримання сертифікату відповідності – це така певна “вишня на тістечку”, тому що процес, який треба зробити перед цим, а саме навчання персоналу, забезпечення обладнанням і т.д є складним та потребує часу. Але, має бути так, що, як тільки почали впроваджувати МІС-систему – поряд має йти отримання сертифікату відповідності та побудови КСЗІ.
Говорячи про фінансову складову, в яку суму вам вийшло отримання та побудова КСЗІ?
Точна сума…не скажу, але це близько 160 тисяч гривень.
Пане Андрію, виділіть головні етапи побудови комплексної системи захисту інформації?
Ну перше – це, звичайно, правильне технічне завдання. Після цього, компанія, що спеціалізується на виробленні таких систем, у нашому випадку – це “УкрСпецСистеми”, досліджують заклад, вивчають технічні можливості медичної системи, надає свої рекомендації. Третім етапом є вже, безпосередньо, отримання сертифікату відповідності.
Щоб ви порадили головному лікарю, який тільки починає впроваджувати МІС?
Я хотів би йому порадити впроваджувати КСЗІ в той же час, як почали впровадження МІСу, адже це йому полегшить життя. Також головним аспектом – є ініціативність та готовність до таких проектів, адже саме це сприяє успішному впровадженню МІСу та отриманню сертифікату відповідності КСЗІ.