Закон о кибербезопасности был принят в 2018 году, и с января этого года вступило в силу требование, которое обязывает теперь и семейных врачей выполнять более конкретные требования в части кибербезопасности. По словам заведующего отделом надзора ДГИ Ильмара Тоома, речь не идет о совершенно новом требовании, которое семейные врачи ранее не должны были выполнять в обязательном порядке.
«Требования общего постановления о защите личных данных семейные врачи должны были выполнять уже с 25 мая 2018 года. Согласно этим принципам, семейные врачи должны защищать обрабатываемые в рамках их услуги личные данные и использовать соответствующие меры, чтобы обеспечить конфиденциальность, целостность и функционирование обрабатываемых систем. Таким образом, уже несколько лет предлагающие общую врачебную помощь предприятия должны убеждаться в том, что обработка данных пациентов является правильной и правомочной»,
- сказал Тоом.
Тоом добавил, что вступление в силу новых требований дает центрам семейных врачей более конкретный обзор дел, которые должны быть в порядке или выполнены. «Цель введения предусмотренных Законом о кибербезопасности требований заключается в том, чтобы обеспечить эффективную и надежную защиту личных и медицинских данных людей, исходя из функционирования, целостности, а также конфиденциальности . Согласно вступившим в силу требованиям, семейный врач должен понимать, какие связанные с кибербезопасностью риски могут повлиять на услугу врачебной помощи», - отметил Тоом.
Он добавил, что после этого следует составить соответствующий анализ риска. «Для этого конкретный центр семейного врача должен иметь полный обзор своих критических действий, связанных с ними важных систем и программ, а также того, кто и как ими пользуется. Данные о здоровье всегда деликатные, поэтому должно быть ясно, какие люди и при помощи каких программ их обрабатывают», - сказал Ильмар Тоом.
При проведении анализа следует исходить из рисков учреждения, от чего зависит устойчивость услуги семейного врача, подключаясь туда с ИТ, защищая личные данные и учитывая вытекающие из пользования оборудованием рисками в части безопасности труда. После этого можно разработать ответные меры по управлению рисками и обеспечить тем самым устойчивое функционирование общей врачебной помощи. «Если какой-то компьютер или система подвергнется атаке, то должен иметься план дальнейших действий, чтобы жизни людей и их данные не подвергались опасности», - сказал Тоом. Защитные меры можно применить лишь в том случае, если учреждение знает, какие риски мешают функционированию услуги.
ДГИ рекомендует семейным врачам принять в качестве отправной точки при картографировании рисков оценку влияния обработки личных данных в соответствии с общего постановления о защите личных данных (ОПЗЛД), поскольку при надлежащем подходе подготовительная работа с точки зрения выполнения требований кибезбезопасности уже будет сделана. И если речь идет о центре семейного врача, который объединяет несколько семейных врачей, пользующихся общими организационными и информационно-техническими ресурсами, то имеет смысл в части общих ресурсов провести общий анализ риска и определить семейных врачей, которые будут участвовать в анализе риска.
Второе важное изменение в деятельности семейных врачей в связи со вступлением новых положений в силу заключается в том, что семейные врачи должны в течение 24 часов известить Департамент государственной информационной системы о произошедшем киберинциденте с серьезным влиянием. «Так мы сможем предложить семейным врачам помощь в разрешении инцидента и будем иметь обзор того, как часто атакуется медицинский сектор Эстонии, а также сможем находить решения, как их лучше защитить», - сказал Тоом.
О киберинцидентах можно сообщать в отдел киберинцидентов через raport.cert.ee, заполнив там специальную форму, или отправить в соответствующей форме сообщение по адресу э-почты [email protected]. Более точную информацию в части извещения о киберинцидентах, в т.ч., о форме извещения о киберинцидентах, можно найти на сайте Департамента государственной информационной системы.
Киберинцидентом считается любое происходящее в системе событие, которое создает угрозу или нарушает безопасность системы и ее функционирование. Государственный надзор за выполнением требований закона о кибербезопасности осуществляет Департамент государственной информационной системы.
