Практические рекомендации для команды клиники: используйте их как основу для собственного регламента и настройки процессов.
Выбор МИС — это выбор поставщика, которому клиника доверяет данные пациентов. Сведения о здоровье относятся к специальной категории персональных данных по 152-ФЗ, а ответственность за их обработку остаётся на клинике как операторе. Поэтому безопасность полезно обсуждать не общими словами, а через конкретные операции: кто видит данные, что происходит при уходе сотрудника, как восстанавливаются данные и как клиника получает выгрузку.
Сводный чек-лист: 8 вопросов и хорошие ответы
| Вопрос | Хороший ответ | Тревожный сигнал |
|---|---|---|
| Где хранятся данные | Серверы в РФ, описан режим копирования | «В облаке», без конкретики |
| Как устроены роли | Матрица прав по действиям | Все видят всё |
| Есть ли журнал действий | Кто, что и когда изменил | Журнала нет или он недоступен клинике |
| Как защищён вход | Политика паролей, коды, сессии | Общий логин на ресепшене |
| Что при инциденте | Порядок, сроки, контакты | «Такого не бывает» |
| Можно ли забрать данные | Формат и сроки в договоре | Выгрузка только по запросу за доплату |
| Какие внешние сервисы | Список и состав передаваемых данных | Неизвестно, куда уходят данные |
| Что на стороне клиники | Понятное разделение ответственности | «Мы всё берём на себя» |
1. Где и как хранятся данные?
Попросите описать инфраструктуру, место размещения серверов, режим резервного копирования и порядок восстановления. Уточните, как часто делаются копии, сколько они хранятся и как быстро можно восстановить данные после сбоя. Отдельно спросите про документы, изображения и журналы действий — они могут храниться иначе, чем основная база. Для сети клиник уточните, как разделены данные филиалов.
2. Как устроены роли и права доступа?
Сотруднику нужен доступ к тому, что требуется для его работы, а не ко всей базе. Проверьте сценарии для администратора, врача, ассистента, бухгалтера и руководителя. Особенно важны быстрый отзыв доступа, ограничение на экспорт и видимость чувствительных вложений. Практика настройки — в статье о ролях в МИС.
3. Есть ли журнал действий?
Журнал помогает понять, кто и когда изменил карточку, запись или финансовый документ. Уточните, какие действия фиксируются, сколько хранится история и может ли руководитель клиники сам посмотреть журнал без обращения в поддержку.
4. Как защищён вход?
Проверьте требования к паролям, одноразовые коды или второй фактор, ограничение попыток входа, автоматическое завершение сессии и сценарий восстановления доступа. Организационные правила клиники важны не меньше технических: общий логин на ресепшене сводит на нет и роли, и журнал действий.
5. Что происходит при ошибке или инциденте?
Запросите порядок связи с поддержкой, уровни критичности, целевое время первого ответа, план восстановления и порядок уведомления клиники. Сверьте договорные условия с тем, что обещает менеджер на встрече. При утечке персональных данных у оператора есть обязанность уведомить уполномоченный орган в установленные 152-ФЗ сроки — клиника должна узнать об инциденте от поставщика вовремя.
6. Можно ли забрать данные?
До договора уточните формат выгрузки, состав доступных сущностей, сроки, стоимость и судьбу вложений. Возможность планово получить данные — признак зрелого сервиса и необходимое условие для независимости клиники от поставщика.
7. Как данные обрабатываются внешними сервисами?
Если используются телефония, SMS, мессенджеры, ИИ-ассистент или другие интеграции, спросите, какие данные передаются, при каких условиях и как ведётся журнал обмена. Клиника должна понимать цепочку обработки до запуска сценария — это нужно и для текста согласия пациента на обработку данных.
8. Что остаётся на стороне клиники?
Сервис не снимает с клиники ответственность за актуальность данных, обучение сотрудников, корректные роли и внутренние регламенты. Назначьте ответственного за обработку персональных данных и регулярный пересмотр доступов.
- Утверждены локальные документы по обработке персональных данных
- У каждого сотрудника личная учётная запись
- Доступ уволенного сотрудника отзывается в последний рабочий день
- Раз в квартал проверяется список активных пользователей и их роли
- Согласия пациентов покрывают используемые каналы и сервисы
Что говорят исследования и закон
Медицина — самая дорогая отрасль для утечек
По отчёту IBM и Ponemon Institute (Cost of a Data Breach, 2024) средняя стоимость утечки в здравоохранении составила 9,77 млн долларов, и отрасль 14-й год подряд остаётся самой дорогой по последствиям инцидентов. Для сравнения: средняя стоимость утечки по всем отраслям — 4,88 млн долларов.
Большая часть инцидентов — ошибки сотрудников
По данным Verizon (Data Breach Investigations Report, 2024), в здравоохранении на ошибки пришлось 45% утечек. Самая частая — отправка документов или писем не тому адресату, затем потеря носителей и разглашение сведений о пациенте вслух при посторонних. Вывод: технические меры в МИС важны, но не меньше важны роли, шаблоны отправки документов и обучение команды.
Что требует российский закон
При утечке персональных данных оператор обязан уведомить Роскомнадзор в течение 24 часов об инциденте, его предполагаемых причинах, вреде и принятых мерах, а в течение 72 часов — сообщить результаты внутреннего расследования (часть 3.1 статьи 21 152-ФЗ). С 30 мая 2025 года действуют повышенные штрафы по Федеральному закону № 420-ФЗ: за утечку специальных категорий данных, к которым относятся сведения о здоровье, юридическому лицу грозит от 10 до 15 млн рублей, а за повторную утечку — оборотный штраф от 1 до 3% выручки, но не менее 25 и не более 500 млн рублей (КонсультантПлюс).
| Требование | Срок или размер |
|---|---|
| Первичное уведомление Роскомнадзора об утечке | 24 часа |
| Результаты внутреннего расследования | 72 часа |
| Штраф за утечку специальных категорий данных | 10–15 млн ₽ |
| Повторная утечка | 1–3% выручки, от 25 до 500 млн ₽ |
Пошаговая инструкция: план реагирования на инцидент на одной странице
Срок в 24 часа слишком короткий, чтобы разбираться «по ходу». Подготовьте план заранее и держите его там, где его найдёт дежурный администратор.
Шаг 1. Назначьте ответственных
- Ответственный за обработку персональных данных — принимает решения и уведомляет регулятора
- Заместитель на время отпуска и болезни
- Контакт поставщика МИС и порядок обращения в его поддержку
- Юрист или внешний консультант
Шаг 2. Опишите, что считается инцидентом
Документы отправлены не тому пациенту, потерян телефон или ноутбук с доступом к МИС, посторонний получил доступ к учётной записи, выгрузка базы попала в открытый доступ. Сотрудник должен понимать, что о таком случае нужно сообщить сразу, а не исправлять тихо.
Шаг 3. Первые действия в течение часа
- Заблокировать скомпрометированную учётную запись или сменить пароль
- Сохранить сведения: что произошло, когда, какие данные, сколько пациентов
- Сообщить ответственному и поставщику МИС
- Посмотреть журнал действий в МИС за период инцидента
Шаг 4. Уведомления и расследование
Ответственный готовит уведомление Роскомнадзора в течение 24 часов и результаты расследования в течение 72 часов. Параллельно определите причину и меру, которая не допустит повторения: изменение роли, шаблона отправки, правила работы с устройствами.
Шаг 5. Разбор и обучение
После инцидента проведите короткий разбор с командой без поиска виноватых: что произошло, почему это стало возможным, что меняем. Раз в год проверяйте план на учебном сценарии.
Частые вопросы
Кто отвечает за утечку данных пациентов из МИС?
Клиника как оператор персональных данных отвечает перед пациентами и регулятором, а поставщик МИС — перед клиникой в рамках договора. Поэтому условия безопасности и уведомления об инцидентах важно закрепить в договоре.
Обязательно ли хранить данные пациентов на серверах в России?
152-ФЗ требует, чтобы при сборе персональных данных граждан РФ запись, систематизация, хранение и ряд других операций велись с использованием баз данных на территории России. Уточните у поставщика, где размещены серверы.
Как часто нужно проверять доступы сотрудников в МИС?
Отзывать доступ — в день увольнения или смены обязанностей, а полную проверку активных пользователей и ролей проводить регулярно, например раз в квартал.
