Цифровая безопасность медицинских организаций
Видеоконференция Право-мед.ру № 341 (28) от 8 октября 2026 года, на которой обсуждался инцидент в Ярославской областной больнице, связанный с кибератакой и требованиями выкупа.
Рассмотренный вопрос:
Необходимость и возможности эффективного противодействия кибератакам
Участники:
- Панов Алексей Валентинович, главный редактор информационного портала Право-мед.ру, г. Омск, член АЮР
- Гаганов Дмитрий Борисович, юрисконсульт Ассоциации организаторов здравоохранения в онкологии, г. Санкт-Петербург
- Степанов Игорь Олегович, врач-невролог, юрист, председатель Ярославской областной общественной организации инвалидов-больных рассеянным склерозом «Гефест», г. Ярославль, член АЮР
- Печерей Иван Олегович, партнер экспертно-юридической группы “Medica Proof”, г. Москва
Текстовая версия
А. Панов: 28-я видеоконференция текущего года и 341-я с начала работы формата.
Рассматривать будем цифровую безопасность медицинских организаций. Недавно мы рассматривали цифровое правосудие в рамках, в общем-то, близкой тематики, ну а сегодня перейдём к цифровой безопасности медицинских организаций. Информационный повод был предложен Иваном Печереем.
Информационный повод был предложен Иваном Печереем. Эту информацию нашли и он, и я в газете «Коммерсантъ». Там сообщалось, что главврач Ярославской областной клинической больницы на заседании комитета Ярославской областной думы по здравоохранению заявил о кибератаке с требованием выкупа.
Имело место воздействие вредоносного программного обеспечения: фактически произошёл взлом серверов и потеря критически важной информации. Это делалось с целью вымогательства выкупа за ликвидацию последствий этой кибератаки. К расследованию официально подключилась Федеральная служба безопасности.
Что спасло больницу?
Своевременное резервное копирование информации, которая была размещена на её серверах.
Какие можно сделать основные выводы? Это не новость, но мы видим критическую зависимость больницы от иностранного программного обеспечения и оборудования. Как обозначил главврач, для предотвращения подобных кибератак и модернизации цифровой защиты потребуется примерно 25 миллионов рублей
На сайте этой медицинской организации, как и на порталах многих других учреждений, размещена политика обработки персональных данных. В её рамках больница обязалась принимать правовые, организационные и технические меры для предотвращения несанкционированного доступа.
На сайте Роскомнадзора также есть уведомление от областной клинической больницы о мерах, предпринимаемых в рамках статьи 18.1 и 19 Федерального закона № 152-ФЗ «О персональных данных».
Мы видим, что одним из ключевых средств обеспечения безопасности является именно восстановление персональных данных, подвергшихся неправомерному воздействию
Вопрос, который вынесен на обсуждение коллег: необходимость и, главное, возможность эффективного противодействия кибератакам. Поскольку мы с Дмитрием работаем в очном формате, ему первому предоставляется почётное право ответить на эти непростые вопросы.
Д.Гаганов: Вопрос действительно сложный. Мы сегодня побудем немного в шкуре специалистов по безопасности. Из статьи, конечно, все тонкости не видны, остаётся только предполагать. Но вычленим главное — это атаки на серверы. Отсюда можно сделать вывод, что пострадали те серверы, которые занимались передачей информации в региональный сегмент ЕГИСЗ, либо серверы, связанные с облачными сервисами (то есть ИСПДн была размещена в облаке).
И вот здесь ситуация очень интересная. Здравоохранение — это чуть ли не самая уязвимая отрасль критической информационной инфраструктуры (КИИ), и это, дорогие коллеги, я думаю, разъяснять не надо. Раз информационные системы относятся к КИИ, то за их безопасность предусмотрена и административная ответственность, и прочие строгие меры. Но дело даже не в наказаниях: если на уровне медицинской информационной системы самого юридического лица всё в порядке, это ещё не означает, что вы защищены от кибератак.
Что я имею в виду? Алексей Валентинович поднял проблему критической зависимости от зарубежного ПО. Эту тему начали активно обсуждать, потому что региональные информационные системы здравоохранения (РИСы) или фрагменты ЕГИСЗ в качестве критической составляющей цифровой инфраструктуры (например, СУБД) очень часто используют иностранные программы. Как правило, это Microsoft. Ранее Microsoft открыто заявлял, что готов передавать коды спецслужбам недружественных стран для получения доступа к любому экземпляру софта, установленному на серверах.
Мы, конечно же, знаем про «закон Яровой», но на уровне регионов для управления базами данных и облачными технологиями до сих пор нередко используется, например, Microsoft Azure. И там порой логика простая: мы используем пиратские обновления либо какими-то хитрыми способами обновляемся через Казахстан, Узбекистан, Армению, и ничего менять не собираемся. Более того, даже в Госдуме присутствует лобби от Microsoft. Они пишут книги о защите персональных данных, участвуют в составлении научно-практических комментариев. Ситуация совершенно поразительная.
Что касается данного случая, то здесь, скорее всего, именно это и произошло. Косвенно мы видим, что государство пытается взять под контроль РИСы и региональные сегменты ЕГИСЗ: вводится общероссийский стандарт. Сами эти региональные сегменты будут жёстко стандартизироваться, чтобы избежать кибератак через скрытые уязвимости («закладки»). Ведь такая программа может тихо сидеть в системе, придя через очередное обновление Microsoft Azure. В итоге всё, что размещено на серверах, в нужный момент оказывается заблокированным.
Хотелось бы ещё отметить: начались судебные разбирательства по поводу оплаты обслуживания РИСов за счёт средств ОМС. Территориальные фонды пытаются юридически отделить эти расходы. Раньше, несмотря на использование иностранного ПО, была некая презумпция легальности: раз это региональный сегмент, значит, всё в порядке. Недавно на профильной конференции один из специалистов по вертикально интегрированным информационным системам говорил об этом прямо: в регионах открыто заявляют, что у них стоит американское ПО и они планируют работать на нём дальше. С этой практикой заканчивают, потому что КИИ — очень уязвимая структура. Человек может умереть в отделении реанимации, просто потому что кто-то удалённо вошёл в систему и отключил жизнеобеспечивающее программное обеспечение.
А. Панов: Необходимость защиты серверов медицинских организаций явно не вызывает сомнений. Если уж хакеры сумели взломать базу данных медицинского страхования Австралии на правительственном уровне, то до серверов обычной центральной районной больницы они точно доберутся. Защитные действия необходимы, это факт.
Но вот с возможностями ситуация гораздо хуже. Есть законодательство: 152-ФЗ и 187-ФЗ «О безопасности критической информационной инфраструктуры РФ». Помимо правовых и организационных, существуют технологические способы защиты. Главный врач указывает, что больнице требуются расходы на уровне 25 миллионов рублей. Но это проблема не одной конкретной больницы. В системе здравоохранения данного региона более 50 медицинских организаций. Если умножить 50 на 25 миллионов, мы получим сумму в районе миллиарда с четвертью. При этом весь бюджет Ярославской области составляет порядка 166 миллиардов рублей. Выделить около одного процента бюджета исключительно на технологическую защиту больниц региону крайне тяжело.
Что же можно сделать в текущих реалиях?
Во-первых, то, что и спасло больницу: регулярное резервное копирование. К счастью, расходы на бэкапы не такие запредельные.
Во-вторых, требуется строгое разграничение внешнего контура (откуда приходят угрозы) и внутреннего доступа. Необходим надёжный шлюз.
В-третьих, это организационные решения внутри самой клиники.
Как уже отмечено в новостях на нашем сайте, расходы медицинских организаций на ЕРМИС (единую региональную медицинскую информационную систему) часто признаются территориальными фондами ОМС нецелевыми. Где учреждению брать деньги? Региональные бюджеты под это не рассчитаны. Законы есть, а финансирования под них нет.
Единственный выход, который сейчас просматривается для клиник — ориентироваться на собственные источники дохода, то есть на развитие платных медицинских услуг. Но это вступает в прямое противоречие с правами граждан на бесплатную медицинскую помощь. Нам необходимо на законодательном уровне решать проблему целевого финансирования КИИ в здравоохранении. Без этого сдвинуть вопрос с мертвой точки будет невозможно.
И. Степанов: Защита информации — это прежде всего техническая проблема, хотя организационные рамки должны регулироваться правом. В любом случае обеспечение информационной безопасности требует дополнительных затрат. Данные должны дублироваться и храниться в изолированных хранилищах, но даже это не гарантирует стопроцентную защиту от кражи или уничтожения виртуальных баз. Киберпротивостояние устроено так, что системы защиты совершенствуются уже постфактум, после очередной крупной атаки. К тому же нельзя исключать риски применения технологий (например, электромагнитного импульса), способных физически стереть информацию со всех электронных носителей.
Возможно, для наиболее важной информации стоит сохранить дублирование на материальных (бумажных) носителях, которые принципиально защищены от хакеров и независимы от электромагнитного воздействия? В ближайшем будущем создание единого цифрового пространства медицины потребует создания полноценных служб информационной безопасности внутри ведомств, что неизбежно увеличит нагрузку на бюджет.
И. Печерей: Необходимость противодействия кибератакам назрела даже не сегодня, а еще вчера. Этот вопрос нужно решать на государственном уровне. Персональные данные, хранящиеся в медорганизациях, имеют огромный объём и относятся к категории строгой конфиденциальности. Информация о здоровье — это самое сокровенное, что граждане доверяют врачам.
Безопасность этих данных должна гарантироваться государством. Необходимо создавать целевые госпрограммы, разрабатывать централизованные механизмы защиты и отечественные IT-решения.
Насколько эта ситуация актуальна? Буквально вчера в одной из организаций, которую я консультирую, произошла утечка персональных данных. Факт зафиксирован, сейчас мы проводим внутреннюю проверку и готовим уведомление в Роскомнадзор. Проблема повсеместная. Руководителям медицинских организаций нужно уже сейчас пересматривать отношение к своим IT-службам и привлекать к работе высококвалифицированных специалистов по кибербезопасности.