21
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
В компании ООО СК «Ингосстрах-М» существует своя политика
безопасности. Каждый сотрудник при поступлении получает должностную
инструкцию, в которой четко описаны его права и обязанности с точки
зрения информационной безопасности. Каждому сотруднику
присваивается логин в систему Доменной авторизации, в рамках которой
выдается доступ к определенным ресурсам сети и доступа в глобальную
сеть интернет. Для данной учетной записи есть пароль, а у пароля есть
своя политика безопасности, которая регламентирует срок действия пароля
и его криптографическую стойкость В большинстве случаев количество
входящего трафика не ограничивается, зато ограничивается список
разрешённых сайтов. Для получения доступа к закрытым сайтам следует
написать заявку на горячую линии с приложенным одобрением
руководителя отдела. Далее эта заявка будет согласована на уровне
службы Безопасности компании и только после этого доступ будет
предоставлен или не предоставлен с указанием причин.
В компании реализована своя политика ИБ и ЗИ: На уровне
человеческого фактора и программно. Аппаратно ограничений нет
В отделе Службы Безопасности есть определённая должность по ИБ,
через данного сотрудника согласовывается доступ к определенным
ресурсам и только потом заявка подаётся на сетевых администраторов.
Защиты информации с пользовательских компьютеров в компании
реализована только Программно. Реализация ограничение на подключение
любых периферийных устройств по портам USB, com, ltp, PCI и выполнена
средствами Программного продукта ZLOCK и управляется
централизовано на сервере. Для того чтобы подключить новый девайс к
компьютеру, который автоматически блокирует новые устройства, следует
22
позвонить на сотруднику СБ, назвать номер заявки в рамках которой
производится установка нового оборудования
В рамках отдельной структуры Службы безопасности, которая
контролирует уровни доступа по проксимити картам (пропуска)
считывание датчиков тревоги и просматривает видеонаблюдение есть
отдельный человек в данной структуре, который занимается именно
Информационной безопасностью. Все заявки по доступу к ресурсам и
подключению.
Защита информации в серверной регламентируется следующими
ограничения доступа:
1) Права доступа по электронному пропуску (proxy- карта)
2) Роспись за получение и сдача ключа у охранника.
3)Разблокировка датчиков открытия двери у оперативного дежурного СБ
Средства защиты от инсайдерских угроз в компании следующие:
За каждым пользователем закреплён компьютер/ноутбук и монитор,
которые имеют идентификационный ПИН код, за который он несет
материальную ответственность.
1.3 Анализ существующих разработок и выбор стратегии
автоматизации «как должно быть»
1.3.1 Анализ существующих разработок для автоматизации задачи
В связи с тем, что 22 декабря 2012 г. Курским областным фондом
обязательного медицинского страхования был утвержден новый «Порядок
оплаты медицинских услуг и контроля качества лечения в системе
обязательного медицинского страхования Курской области», назрела
необходимость в разработке дополнительного программного обеспечения,
которое устранит несоответствие существующего программного
обеспечения новому Порядку. В страховой медицинской организации для
приёма, контроля и анализа реестров оказания стационарной и
стационарозамещающей применяется программа «Контроль реестров
23
стационаров». Программа обеспечивает выполнение очень большого
объёма различных функций по оплате, анализу и контролю реестров
оказания стационарной и стационарозамещающей медицинской помощи
[15.стр.48].
В страховой медицинской организации для приёма, медико-
экономического контроля и оплаты реестров оказания стационарной и
стационарозамещающей медицинской помощи применяется программа
«Контроль реестров стационаров». Данная программа реализована
средствами среды программирования Delphi и СУБД MS SQL Server. Для
доступа к данным в программе используется механизм BDE, поэтому для
работы программы необходимо предварительно настроить рабочую
область «ReestrSQL» для работы с данными (рис.1). Так же данная
программа применяется для учёта медико-экономических экспертиз,
экспертиз качества и нарушений в оказании стационарной и
стационарозамещающей медицинской помощи[44.стр.201].
24
Рис. 1 Настройка рабочей области «ReestrSQL» для работы с
данными
Применяемое программное обеспечение имеет следующие
функциональные возможности[40.стр.15-17]:
1. Защиту данных от несанкционированного доступа
Рис.2 Идентификация пользователя
25
Для защиты данных от несанкционированного доступа
используются встроенные средства СУБД MS SQL для идентификации
пользователя (рис. 2).
2. Настройка подключения к серверу баз данных (БД), т.е выбор базы
данных и ее размещения, например, база данных «Reestr»
расположена на сервере «MedBases». На этом же сервере
расположены и другие базы данные, предназначенные для контроля
реестров стационарной и стационарозамещающей медицинской
помощи, например, базы данных ОФОМС и Policlinic.
Рис. 3 Настройка подключения к серверу БД
3. Приём реестров из файлов формата dbf.
26
Рис. 4 Приём реестров из файлов формата dbf
4. Ведение справочников необходимых для выполнения приёма,
контроля и оплаты реестров оказания стационарной и
стационарозамещающей медицинской помощи лечебными
учреждениями:
Рис. 5 Выбор справочника
5. Экспертиза реестров оказания стационарной и
стационарозамещающей медицинской помощи лечебными
учреждениями:
27
Рис.6 Выбор ЛПУ для экспертизы реестра
6. Анализ результатов экспертизы
Рис. 7 Выбор анализа
Для ускорения работы программы главный модуль содержит только
меню программы, панель инструментов и строку подсказки (Рис. 8), а
большая часть программного кода, предназначенного для реализации
функциональных возможностей, реализована на сервере в виде
сохраненных процедур, представлений и триггеров.
28
Рис. 8 Главное окно программы «Контроль реестров стационаров»
В соответствии с новым Порядком после приёма реестра оказания
стационарной и стационарозамещающей медицинской помощи должны
формироваться и печататься следующие документы[38.стр.66]:
«Акт медико-экономического контроля реестра оказания
стационарной и стационарозамещающей медицинской
помощи»;
«Акт результатов медико-экономической экспертизы реестров
оказания стационарной и стационарозамещающей медицинской
помощи»;
«Акт результатов экспертизы качества оказания стационарной и
стационарозамещающей медицинской помощи».
В рассматриваемом применяемом программном средстве
«Контроль реестров стационаров» функциональная возможность
получения данных документов отсутствует, а порядок проведения медико-
экономического контроля, анализа реестров, проведения экспертиз не
соответствует новому утверждённому Порядку оплаты медицинских услуг
и контроля качества в системе обязательного медицинского страхования.
1.3.2. Выбор и обоснование стратегии автоматизации задачи
В соответствии с новым Порядком оплаты медицинских услуг и
контроля качества в системе обязательного медицинского страхования
определены принципиально новые методы определения размера
уменьшения оплаты медицинских услуг, в случае нарушений условий
договора ЛПУ со страховой медицинской организацией (СМО) на
оказание стационарной и стационарозамещающей медицинской помощи
29
(см. приложение 1). Таким образом, разрабатываемое программное
обеспечение должно обеспечить возможность уменьшения оплаты
медицинских услуг в соответствии с методологией, приведенной в таблице
1[23.стр.55-56].
Таблица 1
Методология уменьшения оплаты медицинских услуг в случае нарушения
ЛПУ договора с СМО на оказание медицинских услуг
№
пункта
Перечень нарушений
Методология
уменьшения
оплаты
1.1
Необоснованный отказ пациенту в оказании
медицинской помощи, предусмотренной
областной программой ОМС, не повлекший
за собой причинения вреда здоровью, не
создавшего риска прогрессирования
имеющегося заболевания, не создавшего
риска возникновения нового заболевания
100% суммы,
предусмотренной
при лечении
основной патологии
согласно
длительности
лечения по
стандарту
1.2
Необоснованный отказ пациенту в оказании
медицинской помощи, предусмотренной
областной программой ОМС, повлекший за
собой причинение вреда здоровью, либо
создавшего риск прогрессирования
имеющегося заболевания, либо создавшего
риска возникновения нового заболевания
100% суммы,
предусмотренной
при лечении
основной патологии
согласно
длительности
лечения по
стандарту
Продолжение таблицы 1
№
пункта
Перечень нарушений
Методология
уменьшения
оплаты
1.3
Необоснованный отказ пациенту в выборе,
замене лечащего врача по заявлению
пациента
25% суммы,
предусмотренной
при лечении
основной патологии
30
согласно
длительности
лечения по
стандарту
1.4
Взимание платы с застрахованного за
предоставленную медицинскую помощь,
предусмотренную областной программой
ОМС, представленную к оплате страховщику
по «счету-фактуре»
100%
представленных к
оплате сумм
1.5
Приобретение пациентом лекарственных
препаратов, изделий медицинского
назначения и расходных материалов за
личные средства во время лечения по
областной программе ОМС (средства
возвращаются пациенту лечебным
учреждением при наличии обоснованного
обращения пациента к страховщику
100% средств,
предусмотренных в
структуре тарифа на
статью расходов
«медикаменты и
перевязочные
средства», а также
возврат этих
средств пациенту
2.1
Ненадлежащее, несвоевременное выполнение
или невыполнение необходимых пациенту
диагностических, лечебных мероприятий,
оперативных вмешательств, входящих в
стандарт оказания мед.помощи при данной
патологии, повлекшие ухудшение здоровья
пациента, инвалидизацию, летальный исход,
либо создавшие риск прогрессирования
имеющегося у пациента, либо создавшие риск
возникновения нового заболевания, либо
приведшие к удлинению сроков лечения
100% суммы,
предъявленной к
оплате
2.2
То же, повлекшее за собой перевод пациента
в другой стационар для лечения последствий
ятрогенной патологии
Полная оплата
случая лечения за
счет удержания с
направившего ЛПУ