Электронная медицинская запись в больнице

1.

Сокур, Черенков, Марченко,
Никифоров

2.

Анализ уязвимостей электронной медицинской записи (ЭМЗ) в
больнице является критическим шагом для обеспечения
безопасности информационной системы. Вот основные
уязвимости, которые могут возникнуть:
1. Недостаточная аутентификация и авторизация: Недостаточно сложные пароли или отсутствие двухфакторной
аутентификации могут сделать систему уязвимой для
несанкционированного доступа к электронной медицинской
записи.
2.Уязвимые точки доступа: - Несколько точек доступа к
системе ЭМЗ могут быть уязвимыми для атак, таких как взлом
беспроводной сети или компрометация физического
устройства.

3.

3. Недостаточное шифрование данных: - Отсутствие или
недостаточное шифрование данных в системе ЭМЗ может
привести к несанкционированному доступу к личной
медицинской информации.
4. Недостаточное обучение персонала: - Недостаточная
обученность персонала по вопросам кибербезопасности
может повлечь ошибки в обработке данных, что может
привести к нарушению безопасности информационной
системы.
5. Недостаточное обновление системы: - Отсутствие
обновлений для системы ЭМЗ может привести к
неработоспособности или использованию уязвимостей,
которые могут быть использованы злоумышленниками.
Для анализа уязвимостей системы ЭМЗ в больнице,
рекомендуется провести полный аудит безопасности,
включающий тестирование на проникновение и анализ
криптографической стойкости. Результаты анализа
должны использоваться для определения уязвимых мест
и разработки мер по их устранению и улучшению
безопасности информационной системы.

4.

Демонстрация разработанного плана улучшения безопасности
системы электронной медицинской записи (ЭМЗ) в больнице
включает следующие меры безопасности:
1. Усиление аутентификации и авторизации: - Внедрение
двухфакторной аутентификации для повышения безопасности
доступа к электронной медицинской записи. - Использование
более сложных паролей и требования к периодической смене
паролей. - Регулярное обновление учетных записей и удаление
неактивных учетных записей.
2. Шифрование данных: - Внедрение сильного шифрования для
защиты конфиденциальности медицинской информации при ее
передаче и хранении. - Шифрование данных на жестком диске
и во время передачи данных по сети. - Оценка и обновление
криптографических протоколов и алгоритмов.

5.

3. Обучение персонала: - Обучение персонала основам
кибербезопасности, включая осведомленность о социальной инженерии,
фишинговых атаках и вредоносных программ и как предотвратить
подобные атаки. - Проведение регулярных тренингов и обновление о
недавних методах и угрозах в области кибербезопасности.
4. Ограничение доступа и контроль прав пользователей: - Внедрение
принципа "только необходимое минимум" для доступа к медицинской
информации, где пользователи имеют доступ только к необходимым
данным для выполнения своих рабочих обязанностей. - Внедрение
системы учета и отслеживания доступа, чтобы иметь возможность
отслеживать и проверять активности пользователей.
5. Регулярное обновление и патчи системы: - Регулярное обновление
программного обеспечения системы ЭМЗ и операционной системы с
применением всех новых патчей и обновлений безопасности. - Внедрение
системы мониторинга обновлений и устанавливание регулярных проверок
на наличие уязвимостей.
6. Резервное копирование и восстановление: - Регулярное создание
резервных копий всех данных системы ЭМЗ и проведение проверок их
целостности и возможности восстановления. - Разработка и тестирование
плана восстановления после сбоя системы ЭМЗ.

6.

Детали технической части плана безопасности включают в себя следующие
аспекты:
1. Инфраструктура сети: описывается структура сети, включая сервера,
рабочие станции и другие устройства, используемые на предприятии. Также
указывается, какие сетевые протоколы, аппаратное и программное
обеспечение используются для обеспечения безопасности.
2. Защита от внешних угроз: описываются методы и технологии,
используемые для защиты предприятия от внешних атак, таких как
фильтрация трафика, использование файрвола, системы предотвращения
вторжений (IDS) и прокси-серверы. Также указывается, какие
дополнительные меры безопасности применяются, например, механизмы
аутентификации и шифрования данных.
3. Защита от внутренних угроз: описываются меры безопасности,
направленные на предотвращение утечек данных и несанкционированного
доступа со стороны сотрудников или внутренних пользователей. Это может
включать использование системы контроля доступа, мониторинга активности
пользователя и установки политик безопасности для предотвращения
несанкционированного использования информации.

7.

Обоснование выбора конкретных технологий и методов основывается
на результате анализа рисков и угроз безопасности, а также
требованиях и бизнес-процессах организации. Критерии выбора
включают:
- Эффективность: технологии и методы должны быть эффективными
в предотвращении угроз безопасности и обеспечении
конфиденциальности, целостности и доступности данных.
- Соответствие законодательству и нормативным требованиям:
выбранные технологии и методы должны соответствовать
требованиям законодательства и нормативных актов, таких как GDPR
или PCI DSS.
- Совместимость: выбранные технологии и методы должны быть
совместимы с имеющейся инфраструктурой и другими средствами
безопасности.
- Стоимость: выбранные технологии и методы должны быть
достаточно экономически эффективными, чтобы организация могла
их себе позволить.
- Удобство использования: выбранные технологии и методы должны
быть удобными в использовании сотрудниками и не создавать
излишней сложности или неудобства при выполнении рабочих задач.
Основываясь на этих критериях, можно выбрать оптимальные
технологии и методы для обеспечения безопасности организации.

8.

Определение цели и преимуществ внедрения: - Улучшение доступа к медицинской
информации и истории пациентов - Улучшение координации между различными
специалистами и отделами - Сокращение времени, затрачиваемого на обработку и
передачу бумажных документов - Улучшение безопасности и конфиденциальности
медицинской информации
2. Анализ существующих процессов и систем: - Оценка текущих систем и процессов
управления медицинскими записями - Изучение потребностей и ожиданий персонала и
пациентов - Определение областей, которые можно улучшить с помощью электронной
медицинской записи
3. Выбор подходящей электронной медицинской записи: - Проведение исследования
рынка и оценка доступных систем - Определение функций и возможностей,
необходимых для удовлетворения потребностей больницы - Проведение демонстраций и
просмотров систем с участием представителей персонала
4. Разработка и тестирование системы: - Планирование и разработка настройки
электронной медицинской записи в соответствии с потребностями больницы - Создание
обучающих материалов и проведение обучения персонала - Тестирование системы на
работоспособность и безопасность - Внесение изменений и корректировка системы на
основе обратной связи персонала

9.

5. Внедрение системы: - Постепенное внедрение системы в отделения и отдельные
этапы работы больницы - Обучение сотрудников, работающих с электронной
медицинской записью - Проведение переходного периода, в течение которого будут
использоваться и бумажные и электронные записи, для обеспечения плавного
перехода - Постоянное обновление и поддержка системы
6. Оценка и контроль: - Мониторинг использования системы и сбор обратной связи от
персонала и пациентов - Регулярное оценивание эффективности и достижения
поставленных целей - Внесение корректировок и обновлений в систему на основе
обратной связи и результатов оценки
7. Обучение персонала: - Проведение обучения персонала по использованию
электронной медицинской записи - Подготовка обучающих материалов и руководств
по использованию системы - Проведение тренингов, семинаров и индивидуальных
консультаций для персонала
8. Вовлечение персонала и создание команды: - Вовлечение представителей
различных отделов больницы в процесс внедрения системы - Создание команды
проекта, ответственной за внедрение и поддержку электронной медицинской записи
- Регулярное проведение совещаний и обмен информацией для максимальной
вовлеченности и синергии в работе
9. Страховка: - Ознакомление с законодательством и стандартами в области
электронных медицинских записей - Обеспечение безопасности и
конфиденциальности медицинской информации в соответствии с требованиями
законодательства - Заключение необходимых договоров и страховых полисов на
случай возможных рисков и угроз
10. Постоянная поддержка и развитие системы: - Обеспечение технической
поддержки и обновлений системы - Проведение регулярных апгрейдов и анализа
потребностей для совершенствования системы - Регулярное обучение и обновление
навыков персонала в работе с электронной медицинской записью

10.

Наша команда сделала вывод, что нужно
всегда решать проблемы сайта(найти
уязвимости и решить их)
Чтобы обезопасить сайт надо узнать все
уязвимости, для этого надо купить проверку
сайта( пример: покупка проверки сайтов,
Человек делает программу для взлома сайта,
на разнообразных видов взлома и потом
скидывает вам и вы проверяете, нашли
уязвимости, надо решить) после всего это вам
надо решать все проблемы сайта.
Потом как решили проблемы вы можете
выставлять сайт в всемирный интернет.