В клинике есть хороший айтишник - пусть он сам подготовит документы по КИИ
Технический специалист действительно нужен при категорировании - он знает, как устроена сеть, где находятся серверы, какие рабочие места подключены к МИС, какое оборудование взаимодействует с другими системами
Но категорирование КИИ - это не только описание ИТ-инфраструктуры
Чтобы корректно провести процедуру, нужно одновременно разобраться:
✅ как устроены медицинские процессы клиники
✅ какие системы и оборудование в них участвуют
✅ какие последствия возникнут при их остановке
✅ какие объекты необходимо включить в перечень
✅ как оформить расчёты, акт и сведения для ФСТЭК
❗️Поэтому один человек, который хорошо разбирается в компьютерах, не всегда видит всю картину
У нашей команды был показательный случай с офтальмологическим центром в Москве.
Клиника попыталась самостоятельно разобраться с категорированием.
Документы готовил сотрудник внутри организации - не профильный специалист по КИИ.
В результате во ФСТЭК сообщили, что объектов КИИ у клиники нет, и одновременно в документах перечислили системы и оборудование, которые сами же отнесли к объектам.
Получилось противоречие: объекты описаны, но в выводе указано, что объектов нет
Документы пришлось разбирать заново и исправлять формулировки
И это довольно хорошо показывает типичную проблему 👆
⚠️ В КИИ важно различать:
объект есть - и
объекту присвоена категория
Это не одно и то же - у клиники могут быть объекты КИИ, но после расчётов комиссия обоснованно приходит к выводу, что I, II или III категория им не требуется
Другой частый пример - когда технический специалист описывает серверы, компьютеры и сеть, но не может самостоятельно оценить медицинские последствия остановки конкретной системы
Для этого нужны люди, которые понимают, как устроена сама работа клиники - именно поэтому категорирование проводится комиссией, а не одним системным администратором
В ней объединяются знания о медицинской деятельности, инфраструктуре и информационной безопасности - задача айтишника здесь очень важна, но она является частью процедуры, а не заменяет её целиком
И чем сложнее инфраструктура клиники, тем важнее, чтобы техническое описание совпадало с медицинскими процессами и итоговыми документами
Информационный пост подготовлен партнёром Проекта "ОргЗдрав" - командой агентства медицинского маркетинга «Аленте»