Файл: «Разработка концепции и структуры построения системы управления инцидентами информационной безопасности в организации».pdf

1.2 Цели и задачи проектной части

Цель проектирования в рамках данной работы является разработка системы информационной безопасности приложений для медицинского учреждения.

Задачи проектирования:

• анализ организационной структуры предприятия;
• анализ структуры автоматизированной системы предприятия;
• изучение существующих технологий защиты персональных данных, определение направлений ее совершенствования;

Специфика работы медицинских учреждений связана с обработкой информации о состоянии здоровья пациентов, что согласно действующим стандартам относит информационную систему к классу ИСПДн - К1. Таким образом, обязательными компонентами системы защиты информации будут являться:

• организационное обеспечение информационной безопасности (наличие ответственных специалистов или подразделения по защите информации);
• обеспечение сохранности носителей персональных данных;
• использование сертифицированных средств защиты информации;
• наличие специалистов, ответственных за обеспечение требований к работе с персональными данными;
• разграничение доступа к системным журналам;
• учет полномочий пользователей в специальной номенклатуре дел, контроль активности учетных записей.

2. Разработка концепции и структуры построения системы управления инцидентами информационной безопасности в организации

2.1. Общая характеристика объекта исследования

Объектом исследования работы является частная стоматологическая клиника «ССК». Стоматология в Москве, как, в прочем, и любая другая медицинская отрасль, имеет достаточно большую конкуренцию в силу обилия множества частных клиник. Именно поэтому вопрос о защите информации от утечек и НСД необходимо рассматривать в числе самых первых, ведь в эту информацию входят не только сведения о самих докторах, но и списки пациентов.

На сегодняшний день, общее количество базы пациентов клиники «ССК» не превышает порога в 100.000 человек и, учитывая общую специфику информации, как было сказано выше, построение системы информационной безопасности будет производиться для ИСПДн – К1. Обоснование присвоения данной категории будет дан далее.

Схема организационной структуры частной стоматологической клиники «ССК» показана на рис.2.1.

Рис. 2.1. Организационная структура частной стоматологической клиники «ССК»

Далее необходимо рассмотреть более подробно как происходит учет пациентов для понимания того, какая информация обрабатывается в КС компании «ССК», а также какая получается на выходе.

Для этого воспользуемся методологией функционального моделирования IDEF0. Ниже показана диаграмма учета пациентов.

Рис. 2.2. Диаграмма учета пациентов

Как показано на рис.2.2, в рамках учета пациентов входным информационным потоком является обращение пациента, которое вкупе с личными данными, вносится в электронном виде в БД клиники для обработки и последующего учета. На основе обработки создается история болезней и назначается врач-специалист, ответственный за проведение всех необходимых лечебных процедур. Все вышеперечисленное проводится в рамках регламентов РФ по здравоохранению, а также внутренних регламентов клиники по проведению медицинских и организационных мероприятий. На выходе мы получаем всю необходимую финансовую информацию по операциям в виде чеков, актов и записей в БД клиники. Так же, происходит обновление истории болезней пациентов с внесением процедур в них. Таким образом, в целом, мы получаем следующие ключевые пункты учета пациентов:

• ведение картотеки пациентов;
• запись на прием пациентов;
• учет процедур;
• ведение истории болезни.

В таблице 2.1 приведены бизнес-процессы частной стоматологической клиники, связанные с обработкой персональных данных.

Таблица 2.1. - Бизнес-процессы, связанные с обработкой персональных данных в условиях частной стоматологической клиники «ССК»

Компоненты системы защиты информации в частной стоматологической клинике приведены на рисунке 2.3.

Рис. 2.3. Система защиты информации в частной стоматологической клинике

Как показано на рисунке 2.3, система защиты информации организована по линейно-функциональному принципу. В клинике «ССК» существует слабовыраженный отдел информационной безопасности, входящий в IT отдел. Таким образом, защита информации осуществляется вместе с системными администраторами из IT отдела. В этом и заключается одна из основных проблем данной частной клиник на нынешний момент – именно в отсутствие профильных специалистов по защите информации и выполнение смежных ролей сетевыми администраторами. Необходимо создать группу информационной безопасности в рамках самостоятельного отдела, которая бы выполняла следующие функции:

• разработка локальных нормативных документов в области защиты информации
• ведение журналов, связанных с технологией информационной безопасности
• вопросы организации пропускного и внутриобъектового режима,
• работа комиссий,
• выдача носителей информации, их маркировка,
• расследование инцидентов информационной безопасности
• установка и настройка криптографического ПО;
• установка системы антивирусной защиты;
• установка специализированного программного обеспечения в области защиты информации;
• настройка и обслуживание систем видеонаблюдения, системы контроля управления доступом.

2.2. Характеристика структуры автоматизированной системы клиники

В рамках выполнения данной работы мной было проведено изучение структуры информационной системы частной стоматологической клиники.

В информационной системе частной клиники используется локальная вычислительная сеть Ethernet, в которую включены:

• 30 рабочих станций врачей-специалистов, регистратуры, отдела бухгалтерского учета, специалистов отдела кадров, IT отдела, PR отдела;
• 4 сетевых принтеров;
• 1 файловый сервер.

Соединение осуществляется через роутеры.

Схема локальной сети частной стоматологической клиники приведена на рисунке 2.4.

Системное программное обеспечение основано на:

• серверная операционная система Windows Server 2010, в работе которых используются возможности контроля учетных записей пользователей средствами Active Directory. Применяются политики контроля разграничения доступа пользователей, проводится сбор данных о рабочих станциях;
• операционные системы Windows XP/7 на рабочих станциях, наличие которых позволяет работать с возможностями Active Directory, а также другими возможностями.

Рис. 2.4. Схема локальной вычислительной сети

Средства защиты сети:

• в качестве антивирусной защиты выбрано решение от АО «Лаборатория Касперского», которое так же состоит в перечне СЗИ от ФСТЭК: Kaspersky EndPoint Security 10.0. Сервер антивирусной защите развернут на файловом сервере, управление антивирусной защитой осуществляется через ПО Kaspersky Administration Kit на сервере.
• Почтовый сервер на базе Lotus от IBM. Позволяет организовывать внутриорганизационный документооборот, а также возможность использования внешних электронных адресов.
• Межсетевой экран ViPNet Coordinator

Схема программной архитектуры частной стоматологической клиники «ССК» приведена на рисунке 2.5. Особенности функционирования программного обеспечения описаны в таблице 2.3.

По заявке руководства частной стоматологической клиники «ССК» был проведен аудит информационной системы частной стоматологической клиники, по результатам которого были определены классы обрабатываемых персональных данных, а также класс информационной системы. Согласно акту классификации персональных данных в частной стоматологической клиники «ССК» был присвоен класс К1, класс информационной системы – 1Г. В таблице 2.2. приведена схема параметров обработки персональных данных в автоматизированной системе частной стоматологической клиники «ССК».

Таблица 2.2. Схема параметров обработки персональных данных в автоматизированной системе частной стоматологической клиники «ССК»

В таблице 2.4 приведен перечень сведений конфиденциального характера в частной стоматологической клинике.

Рисунок 2.5. Схема программной архитектуры ООО «ССК»

Таблица 2.3 - Особенности функционирования программного обеспечения ООО «ССК»

Таблица 2.4. Перечень сведений конфиденциального характера в ООО «ССК»