Задача
Сеть из шести клиник обрабатывала медицинские и персональные данные в медицинской информационной системе, на почте и в облачных таблицах. Страховая компания, крупнейший заказчик, прислала анкету по безопасности с условием приостановки договора. Документов по 152-ФЗ не было, резервные копии хранились на том же сервере, что и данные.
Решение
- Аудит за три недели: инвентаризация данных и систем, реестр рисков, разрыв с требованиями 152-ФЗ и анкеты заказчика.
- Организационные меры: модель угроз, уровень защищённости, политики и регламенты, ответственные, обучение персонала, уведомление регулятора.
- Технические меры вместе с архитектурой безопасности: единый вход с MFA для МИС, почты и файлов, сегментация сети клиник, шифрование, журналирование доступа к данным.
- Непрерывность: резервное копирование с неизменяемыми копиями вне площадки, план восстановления, учения с замером времени.
- Ответы на анкету заказчика и сопровождение проверки.
Результат
Проверка заказчика пройдена без замечаний, договор продлён. Фактическое время восстановления МИС по итогам учений — четыре часа вместо неизвестности. Соответствие поддерживаем в рамках ежегодного пересмотра рисков.