Содержание
Введение ......................................................................................................................... 9
I. Аналитическая часть ................................................................................................ 11
1.1. Технико-экономическая характеристика НККДЦ ............................................ 11
1.1.1. Общая характеристика предприятия ............................................................... 11
1.1.2. Организационно-функциональная структура ................................................. 12
1.2. Анализ рисков информационной безопасности в НККДЦ .............................. 14
1.2.1 Идентификация и оценка информационных активов ..................................... 14
1.2.2. Оценка уязвимостей активов ............................................................................ 21
1.2.3. Оценка угроз активам ....................................................................................... 24
1.2.4. Оценка существующих и планируемых средств защиты .............................. 26
1.2.5. Оценка рисков .................................................................................................... 28
1.3.
Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и
защиты информации в НККДЦ .................................................................................. 30
1.3.1. Выбор комплекса задач обеспечения информационной безопасности ....... 30
1.3.2. Определение места проектируемого комплекса задач в комплексе задач
предприятия, детализация задач информационной безопасности и защиты
информации .................................................................................................................. 31
1.4. Выбор защитных мер ........................................................................................... 32
1.4.1. Выбор организационных мер ........................................................................... 33
1.4.2. Выбор
инженерно-технических мер ................................................................ 37
II Проектная часть ....................................................................................................... 44
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации в НККДЦ ....................................................... 44
2.1.1. Отечественная и международная нормативно-правовая основа создания
системы обеспечения информационной безопасности и защиты информации
предприятия ................................................................................................................. 44
2.1.2. Организационно-административная основа создания системы обеспечения
информационной безопасности и защиты информации предприятия ................... 47
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации в НККДЦ ........................ 50
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия .................................................. 50
2.2.2. Контрольный пример реализации проекта и его описание ........................... 56
III Обоснование экономической эффективности проекта ....................................... 67
3.1 Выбор и обоснование методики расчёта экономической эффективности ...... 67
3.2 Расчёт показателей экономической эффективности
проекта ........................... 75
Заключение ................................................................................................................... 79
Список использованной литературы ......................................................................... 81
9
Введение
Современные информационные технологии играют важнейшую роль в
медицинской отрасли, но одной из наиболее серьезных проблем,
препятствующих их повсеместному внедрению, является обеспечение защиты
информации, в том числе защиты персональных данных граждан и сведений,
составляющих медицинскую тайну, – персональных медицинских данных.
Актуальность проблемы защиты персональных медицинских данных сегодня не
вызывает сомнений. Доступ
физических лиц к базам персональных данных
усиливают риск вторжения в сферу частной жизни и нарушения права на ее
неприкосновенность. Защита персональных медицинских данных является
одной из наиболее актуальных проблем в информатизации организаций
медицинской области.
В качестве предметной области дипломного проекта рассматривается
Научно-консультативный клинико-диагностический центр ФБУН ЦНИИ
Эпидемиологии Роспотребнадзора, расположенного в г. Москва.
Научно-консультативный клинико-диагностический центр ФБУН ЦНИИ
Эпидемиологии Роспотребнадзора специализируется на оказании медицинских
услуг, причем особое внимание уделяется оказанию специализированных
профилактических и лечебных услуг, на основе ранней диагностики. Концепция
НККДЦ — это оказание высококачественных медицинских услуг в области
диагностики в условиях высочайшего комфорта и сервиса по приемлемым
ценам
.
Целью дипломной работы является разработка системы защиты
персональных данных и коммерческой тайны в медицинском учреждении –
Научно-консультативный клинико-диагностический центр ФБУН ЦНИИ
Эпидемиологии Роспотребнадзора.
10
В ходе дипломной работы будут решены следующие задачи:
1. Анализ информационной системы и циркулирующей в ней
информации.
2. Анализ требований российского законодательства в области защиты
персональных данных в медицинских учреждениях.
3. Разработка рекомендаций по изменению структуры информационной
системы.
4. Разработка системы защиты персональных данных.
5. Разработка рекомендаций по внедрению системы защиты
персональных
данных.
6. Расчет совокупной стоимости внедрения и владения системой защиты
персональных данных.
Структурно работа состоит из введения, трех глав, заключения, списка
используемой литературы и приложения.
Первая глава посвящена анализу рассматриваемой информационной
системы, требований российского законодательства, составлению модели угроз
безопасности и модели нарушителя. Так же в этой главе сформулирована
постановка
задачи для создания комплексной системы защиты.
Во второй главе даны рекомендации по изменению структуры
информационной системы, разделение ее на несколько подсистем систем.
Разработаны рекомендации по устранению угроз. Проанализирована
эффективность внедрения разработанной системы защиты.
В третьей главе экономически обоснована целесообразность внедрения
разработанной системы защиты персональных данных.
11
I. Аналитическая часть
1.1. Технико-экономическая характеристика НККДЦ
1.1.1. Общая характеристика предприятия
В качестве объекта информатизации рассматривается Научно-
консультативный клинико-диагностический центр ФБУН ЦНИИ
Эпидемиологии Роспотребнадзора, расположенный по адресу г. Москва, ул.
Новогиреевская, д. 3а. В радиусе 100м. от объекта информатизации не находится
представительств иностранных государств, поэтому условия размещения
объекта информатизации определяются
как обычные.
История НККДЦ неразрывно связана с Центральным научно-
исследовательским институтом эпидемиологии, образованным еще в 1963 году.
ЦНИИЭ всегда был ориентирован не только на научные изыскания, но и на
практическую врачебную помощь населению Москвы, а также других городов и
государств.
В ответ на постоянно растущую потребность граждан в консультациях
высококлассных специалистов института в его рамках в 2001 году было
сформировано научно-консультативное клинико-диагностическое отделение.
За неполное десятилетие Отделение зарекомендовало себя как
многопрофильное медицинское учреждение, обладающее мощным кадровым и
техническим потенциалом для глубокой диагностики и качественной терапии
инфекционных, эндокринных, гинекологических, урологических,
гастроэнтерологических и других заболеваний и нарушений у взрослых и детей.
Количественные показатели деятельности компании представлены в
табл.1.1.
Таблица 1.1
Количественные показатели функционирования НККДЦ
№ Показатель 2014 2015 2016
1. Объем платных услуг (тыс.
руб.)
5000 4900 4900
2. Доля выручки (%) 48 46,5 48,7
3. Количество обслуженных
пациентов
4800 4700 4780
4. Выручка (млн. руб) 2,40 2,28 2,39
12
1.1.2. Организационно-функциональная структура
Структура медицинского центра представлена на рис.1.1.
Рассматриваемая организация состоит из непосредственно консультативно-
лечебного отделения, лаборатории, специалистов, регистратуры, бухгалтерии,
административно-хозяйственной части. Все структурные подразделения
подчиняются главному врачу.
Врачи НККДЦ решают задачу по консультированию, оказанию
квалифицированной медицинской помощи пациентам, а также дальнейшему
наблюдению за состоянием их здоровья. Лаборатория
по назначению врачей
проводит лабораторное исследование пациентов
Хозяйственная служба обеспечивает деятельность всех подразделений
медицинского центра.
Главный бухгалтер отвечает за правильность бухгалтерского учета,
составляет баланс предприятия, проводит различные встречные сверки, ведет
учет налогообложения и решает вопросы, возникающие в отделах, находящихся
в его подчинении. Главный бухгалтер имеет право подписи всех финансовых
документов
организации.
13
Рис.1.1. Организационная структура медицинского центра
Консультативно-
лечебное отделение
Административно-
хозяйственная часть
Главный бухгалтер
Заместитель
генерального
директора по кадрам
Лаборатория
Отдел
доставки
Склад
Отдел
закупок
Отдел кадров
Бухгалтерия
Медсестры
Регистратура
Специалисты
Процедурный
кабинет
Главный врач
14
Одна из ведущих ролей при организации приема пациентов принадлежит
регистратуре.
Основным структурным подразделением медицинского центра по
организации приема больных является регистратура. В функции данного
подразделения входит:
первичная регистрация пациентов;
организация записи больных на первичный и последовательные приемы к
врачу как при очном обращении в медицинский центр, так с помощью
телефонной связи, либо посредством электронной почты;
распределением потока пациентов с целью создания равномерной
загрузки врачей по признаку их (врачей) специализации.
1.2. Анализ рисков информационной безопасности в НККДЦ
1.2.1 Идентификация и оценка информационных активов
В документообороте НККДЦ имеет место обработка документированной
информации с использованием вычислительных сетей.
Документированная информация категории ограниченного
доступа
по условиям ее правового режима подразделяется на информацию, отнесенную к
государственной тайне, и конфиденциальную информацию [1].
Конфиденциальной информацией называют документированную
информацию, доступ к которой ограничивается в соответствии с
законодательством Российской Федерации [1,2].
К конфиденциальной личной информации относится информация,
содержащая персональные данные (социальный и семейный статус, а также вид
деятельности пациента), позволяющие
определить его личность, за исключением
сведений, подлежащих распространению в СМИ в установленном порядке [2,3].
15
Основная деятельность НККДЦ связана с оказанием медицинских услуг в
области диагностики. НККДЦ владеет офисными и специализированными
медицинскими помещениями, в которых размещаются специалисты и
сотрудники фирмы, медицинское оборудование и компьютерная техника для
регистрации, диагностики и выдачи результатов исследований.
В связи с этим специалисты НККДЦ могут оперативно получать
информацию о сдаче пациентами тех
или иных анализов, готовности
результатов. Благодаря этому значительно упрощена схема документооборота.
Специалисты и информаторы НККДЦ самостоятельно производят учет и
распределение запросов пациентов, используя для этого существующие базы
данных.
Размер базы данных пациентов составляет несколько десятков тысяч
записей и постоянно возрастает. В основном это сведенья связанные с
информацией о пациентах, запросы пациентов и результатов исследований. Вся
циркулирующая информация может быть отнесена к конфиденциальной
информации.
Организация ведет деятельность по распределению временного ресурса
приема специалистов среди пациентов, а также подбор квалифицированного
медицинского персонала для оказания медицинской помощи пациентам.
Обязательной защите подлежат следующие информационные активы:
внутренние сети фирмы;
базы данных клиентов;
персональные
данные сотрудников и клиентов;
финансовые показатели;
компьютеры.
серверы.
Оценку по информационным активам организации представим в виде
таблицы 1.2.
16
Таблица 1.2
Оценка информационных активов НККДЦ
Вид
деятельности
Наименование
актива
Форма
представления
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количественная
оценка (руб./год)
Качественная
Информационные активы
Ведение базы
данных
Информация для
БД
Текстовые
файлы, печатные
или рукописные
Системный
администратор
Расходы на
создание
27 000 Средняя
Рабочие данные
программистов
(программы, базы
данных и т.п.,
находящиеся в
стадии разработки)
Коды программ,
Информация о
БД, и т.п.
Системный
администратор
Расходы на
создание
68 000 Высокая
Финансовые
показатели
Текстовые
файлы, печатные
или рукописные
Главный бухгалтер Расходы на
создание
23 000 Средняя
Персональные
данные
сотрудников
БД, хранящиеся
на съемных
носителях
НККДЦ
Расходы на
создание
≈100 000 Очень высокая