Inventive DLM

Информационная безопасность в медицине: как защитить чувствительные данные?

Диагноз, история обращений, результаты анализов — это чувствительные данные, утечка которых бьёт по приватности пациента и репутации клиники. Такие сведения требуют максимальной защиты: от сайта и мобильного приложения до интеграций с медицинскими информационными системами (МИС).

Разбираем, какие угрозы реально опасны, что требует законодательство и какими мерами эти риски закрываются.

⚡️ Почему медицина — особый случай

Российское законодательство выделяет сведения о здоровье в отдельную категорию:
152‑ФЗ (данные о здоровье): обязательны строгие правила обработки и локализация баз на территории РФ.

323‑ФЗ (врачебная тайна): факт обращения, диагноз и состояние пациента нельзя раскрывать без согласия пациента.

Требования регуляторов (ФСТЭК № 21, ПП № 1119): задают состав и уровни мер защиты.

Безопасность держится на трёх столпах — техника, процессы, право, и пропуск любого из них создаёт уязвимость.

💻 Технические меры: шифрование, разграничение доступа, журналирование, защита каналов.
🤝 Организационные меры: регламенты, обучение персонала, план реагирования на инциденты.
👩‍⚖️ Правовые меры: согласия пациентов, соблюдение врачебной тайны, соответствие требованиям 152‑ФЗ и регуляторов.

🥷 Медицинские сервисы атакуют иначе, чем e-commerce. Вот топ-5 рисков, которые нужно закрывать ещё этапе архитектуры:

▪️Утечка базы медкарт. Забытый тестовый сервер с паролем 12345 или открытый доступ к БД. Последствия фатальны: диагнозы пациентов попадают в общий доступ.
▪️Атаки на API. Онлайн-запись и личный кабинет взаимодействуют с сервером через интерфейсы. Классические дыры (вроде SQL-инъекций) открывает доступ к чужой карте, просто подобрав ID.
▪️Программы-вымогатели. Шифровальщик блокирует доступ к расписанию и картам. Клиника парализована, врачи ведут прием «на бумажке». Спасают только изолированные бэкапы.
▪️Фишинг и инсайдеры. Сотрудник кликает по ссылке и отдает пароль злоумышленнику. Нужна двухфакторная аутентификация и принцип минимальных прав.
▪️Небезопасный мобильный канал. Приложение передает снимки МРТ по открытому Wi-Fi в кафе.

📲 Особенности мобильного приложения

Для мобильной части нужны отдельные меры:
– Защищённое хранилище: токены и чувствительные данные — только в Keychain (iOS) или Keystore (Android).
– Закрепление сертификата (certificate pinning): приложение доверяет только «своему» серверу — это мешает перехвату трафика.
– Биометрия и защита экрана: вход по отпечатку или лицу, блокировка снимков и скрытие содержимого в списке недавних приложений.

Ориентир для мобильной безопасности — стандарт OWASP MASVS.

🛜 Интеграции с МИС и телемедицина: защищаем стыки

Чаще всего слабое место — не внутри системы, а на границе между ней и МИС или государственной системой здравоохранения. Поэтому интеграции проектируем явно: какие поля передаются, кому они доступны, как хранится журнал обмена. На каждом переходе обязательны шифрование канала, проверка прав и журналирование.

Есть вопросы по защите медицинского сервиса? Пишите в комментарии 💬

#Inventive_DLM_edu

«Продажа мозгов» заиграла новыми красками

Gartner опубликовал список технологий, которые могут заметно изменить рынок уже к 2027 году. А вместе с ним — прогнозы, как всё это будет выглядеть к 2030-му.

Некоторые пункты звучат вполне ожидаемо. Некоторые, как начало новой серии «Черное зеркало».

Что прогнозируют:

1️⃣ Большие количественные модели LQM начнут вытеснять LLM в задачах стратегического прогнозирования и операционного моделирования.
По оценке Gartner, они будут использоваться примерно в 25% таких задач.

2️⃣ Голосовые взаимодействия в компаниях всё чаще будут обрабатываться автономно, с помощью моделей речевого мышления. Сейчас это меньше 10%, а к 2030 году может быть уже больше 70%.

3️⃣ Робототехника начнёт активно использовать модели мира, которые помогают принимать более точные решения в реальной среде. Рост ожидается с менее чем 1% в 2025 году до 40% приложений робототехники.

4️⃣ Цифровой суверенитет станет не модной темой, а практической необходимостью.
Более 75% организаций за пределами США будут внедрять SovereignTech-стратегии, чтобы снижать геополитические риски и зависимость от конкретных вендоров.

5️⃣ Из-за усталости от SaaS и переизбытка ИИ-инструментов компании начнут иначе смотреть на разработку. Ведущие организации будут стремиться к тому, чтобы 80% новых приложений были одноразовыми, легко заменяемыми и не превращающимися в вечный технический долг.

6️⃣ И самый любопытный пункт: часть компаний, которым критически важен энергоэффективный ИИ, начнёт смотреть в сторону биокомпьютинга.

В целом прогноз Gartner хорошо показывает, куда движется рынок: от универсальных ИИ инструментов к более специализированным, энергоэффективным и независимым технологическим архитектурам.

Следующий этап конкуренции будет не только в качестве моделей, но и в том, кто сможет обеспечить вычисления быстрее, дешевле, безопаснее и с меньшей зависимостью от внешней инфраструктуры.

Биокомпьютинг, фотонные ускорители, нейроморфные системы и SovereignTech — всё это уже не футурология, а направления, за которыми стоит внимательно следить бизнесу и государству.

Если вы следите за тем, как технологии меняют рынки, команды и стратегии, — сохраняйте пост. Похоже, ближайшие годы будут очень насыщенными.

#Inventive_DLM_fun

Как выбрать системного интегратора в 2026: 10 критериев, которые спасают от рисков 🦸

Выбирая системного интегратора, вы делаете ставку на годы вперёд: от этого решения зависят архитектура, безопасность и даже скорость реакции на инциденты. Собрали чек‑лист из 10 критериев, по которым ЛПР и тимлиды могут оценить подрядчиков.

1️⃣ Опыт в вашей индустрии. У каждой отрасли свои требования к безопасности, регуляторные рамки и специфика бизнес‑процессов.

На что обратить внимание: портфолио с конкретными цифрами, погружение в специфику или предлагает типовое решение без уточнений, реальные референсы из вашей сферы, рекомендации и подтверждения.

2️⃣ Техстек и соответствие вашему контуру. Смотрите, как команда работает с энтерпрайз‑стеком и требованиями безопасности.

На что обратить внимание: соответствие инфраструктур, сертификаты и лицензии (для финтеха обязателен опыт прохождения PCI DSS, для госсектора и работы с ПДн — лицензии ФСТЭК и ФСБ). Хороший интегратор сразу подсветит узкие места и потенциальные риски в существующей инфраструктуре, а также продумает железный план на случай санкций (российские облака, on-premise, альтернативные поставщики).

3️⃣ Отношение к ИИ и low‑code. Почти все используют Cursor или GitHub Copilot, но как интеграторы контролируют результат?

На что обратить внимание: есть ли регламент использования ИИ, как балансируется ИИ и ручная разработка, экспертиза в prompt engineering и проверке качества генерируемого кода.

4️⃣ Гибкость и подход к кастомизации. Часто бизнесу требуется адаптация коробочных решений под свои процессы.

На что обратить внимание: предлагают «решение под клиента», готовы работать с меняющимися требованиями (как пересматриваются приоритеты, адаптируется бэклог), понимают бизнес‑задачи компании.

5️⃣ Прозрачность процессов. Вы можете увидеть в любой момент, что происходит на проекте.

На что обратить внимание: на прозрачность прогресса, есть ли демо каждого спринта и доступ к таск‑трекеру. Есть ли примеры технической документации, архитектурных решений, регламентов.

6️⃣ Команда и культура разработки. Человекоцентричный подход и здоровая корпоративная культура — это факторы стабильности проекта.

На что обратить внимание: квалификация и баланс команды (соотношение мидлов и сеньоров), текучка кадров, практики разработки (сode review, автоматизированное тестирование, CI/CD), контакт с каждым членом команды.

7️⃣ Пост‑интеграционная поддержка. Хороший интегратор не просто сдаёт проект, а обеспечивает его стабильную работу и передачу знаний.

На что обратить внимание: условия фикса багов и доработок после релиза должны быть зафиксированы в контракте, есть чёткое разделение зон ответственности между интегратором и вашей командой, переданы все исходники, актуальная документация (ADR, схемы инфраструктуры, регламенты развёртывания).

8️⃣ Безопасность и комплаенс. База для финтеха и госсектора ISO 27001, ФЗ-152, пентесты, шифрование — это должно быть по умолчанию.

На что обратить внимание: практики безопасности (пентесты, аудит кода, шифрование, управление доступами), юридические условия (кто владеет кодом и данными, какие санкции за утечку).

9️⃣ Финансовая прозрачность. Цена проекта — это не только цифра в коммерческом предложении.

На что обратить внимание: хорошее КП разбито на этапы, модули, компоненты (вы видите, сколько стоит разработка, инфраструктура, тестирование, документация), указаны скрытые расходы.

🔟Масштабируемость. Система должна пережить рост нагрузки в 10 раз без переписывания ядра.

На что обратить внимание: архитектура (микросервисы, API-first, модульность), система построена так, чтобы вы могли нанять другую команду или развивать продукт инхаус, система спроектирована под рост бизнеса.

⚡️ В Inventive DLM знают, как важен надёжный партнёр. Берём на себя архитектуру, безопасность и подбор решений под ваши задачи. Передадим знания, чтобы вы уверенно работали с инструментами сами.

Оставьте заявку, если устали переживать об интеграции 😉

#Inventive_DLM_edu