Приложение. Регламент подключения медицинских организаций Приморского края к региональному сегменту единой государственной информационной системы здравоохранения Приморского края

Приложение
к приказу ДЗ ПК
от 16.03.2018 г. N 18/пр/201

Регламент
подключения медицинских организаций Приморского края к региональному сегменту единой государственной информационной системы здравоохранения Приморского края

l. Список сокращений и обозначений

АРМ - автоматизированное рабочее место

ИС - информационная система

Лицензиат - организация, имеющая лицензию ФСТЭК России на осуществление деятельности по технической защите конфиденциальной информации МО - медицинские организации Приморского края

НСД - несанкционированный доступ

Оператор - Оператором РЕГИСЗ ПК и ее подсистем является ГАУЗ "Приморский краевой медицинский информационно-аналитический центр"

ОС - операционная система

ПО - программное обеспечение

РЕГИСЗ ПК - региональный сегмент единой государственной информационной системы здравоохранения Приморского края

СЗИ - средство защиты информации

СКЗИ - средство криптографической защиты информации

ФСТЭК России - Федеральная служба по техническому и экспортному контролю Российской Федерации

2. Цели и назначение документа

РЕГИСЗ ПК включает в себя следующие подсистемы:

- Единая информационно-аналитическая система "Демография"; 1

- Аппаратно-программный комплекс "Центральный архив медицинских изображений Приморского края";

- Региональная интегрированная информационная система в сфере здравоохранения Приморского края;

- Информационная система "Ресурсное обеспечение системы здравоохранения Приморского края";

- Информационная система "Мониторинг беременных Приморского края";

- Иные ИС системы здравоохранения Приморского края, функционирующие в защищенной сети передачи данных.

Описанные в настоящем документе организационно-технические требования могут применяться как для РЕГИСЗ ПК в целом, так и для одной из подсистем или нескольких подсистем, если иное не установлено отдельными нормативными актами Оператора системы. Для унификации понятий далее под РЕГИСЗ ПК может пониматься как система в целом, так и отдельная ее подсистема или набор подсистем. Пользователями системы, подключающимися к ней в соответствии с настоящим Регламентом, являются медицинские организации Приморского края.

РЕГИСЗ ПК и ее подсистемы предназначены для обработки специальных категорий персональных данных. Учитывая данное обстоятельство, а также в соответствии с нормативно-правовыми актами правительства РФ и ФСТЭК России, установлена необходимость обеспечения второго уровня защищенности персональных данных.

В соответствии с пунктом 6 приказа ФСТЭК России N 17 от 11.02.2013 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" Оператором РЕГИСЗ ПК и ее подсистем принято решение о реализации мер по защите информации, предъявляемых к 2-му классу защищенности.

Назначением настоящего документа является выработка организационно-технических требований к сегменту РЕГИСЗ ПК на стороне МО, а также формирование последовательности действий МО по реализации требований по защите информации в системе.

3. Порядок подключения МО к РЕГИСЗ ПК

3.1. Обязанности МО

МО обязана:

соблюдать требования по защите информации, установленные законодательством Российской Федерации;

немедленно извещать Оператора о любых инцидентах информационной безопасности и любых непреднамеренных организационных или технических изменениях в функционировании сегмента РЕГИСЗ ПК;

предварительно согласовывать любые изменения сегмента РЕГИСЗ ПК с Оператором.

3.2. Создание системы защиты сегмента РЕГИСЗ ПК

Перед подключением к РЕГИСЗ ПК МО обеспечивает соответствие требованиям по защите информации сегмента РЕГИСЗ ПК.

3.2.1. Требования к организационным мерам по защите информации

МО в работах по защите информации должна руководствоваться:

- Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных";

- Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

- Постановлением Правительства РФ от 01 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

- Приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах";

- Приказом Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. N 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";

- Приказом ФСБ России от 10 июля 2014 г. N 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности"

МО разрабатывает организационно-распорядительную документацию по защите информации самостоятельно или с привлечением Лицензиата.

Организационно-распорядительная документация по защите информации МО должна включать в себя, но не ограничиваться, следующими пунктами:

- приказ "О классификации сегмента РЕГИСЗ ПК";

- акт классификации сегмента РЕГИСЗ ПК;

- модель угроз сегмента РЕГИСЗ ПК;

- приказ "О назначении ответственного за организацию обработки персональных данных и администратора безопасности в сегменте РЕГИСЗ ПК";

- инструкция администратора безопасности в сегменте РЕГИСЗ ПК;

- приказ "О назначении группы реагирования на инциденты информационной безопасности и о правилах регистрации инцидентов информационной безопасности и реагирования на них в сегменте РЕГИСЗ ПК";

- инструкция по реагированию на инциденты информационной безопасности в сегменте РЕГИСЗ ПК;

- инструкция пользователя сегмента РЕГИСЗ ПК;

- политика информационной безопасности сегмента РЕГИСЗ ПК;

- приказ "Об организации контролируемой зоны";

- журнал учета машинных носителей информации сегмента РЕГИСЗ ПК;

- приказ "О порядке хранения и эксплуатации средств криптографической защиты информации в МО";

- инструкция по обеспечению безопасности эксплуатации СКЗИ в МО;

- журнал поэкземплярного учета средств криптографической защиты информации, эксплуатационной и технической документации к ним, ключевых документов;

- технический паспорт на сегмент РЕГИСЗ ПК;

При классификации МО и/или Лицензиат учитывают, что класс защищенности РЕГИСЗ ПК - К2, уровень защищенности РЕГИСЗ ПК - УЗ-2. Таким образом к сегменту РЕГИСЗ ПК вне зависимости от классификации предъявляются требования класса защищенности К2 и уровня защищенности УЗ-2.

Сегменты РЕГИСЗ ПК класса защищенности К1 и уровня защищенности У31 не могут быть подключены к РЕГИСЗ ПК.

Модель угроз сегмента РЕГИСЗ ПК создается на основе Модели угроз типового сегмента РЕГИСЗ ПК.

3.2.2. Требования к техническим мерам по защите информации

МО осуществляет закупку или использует уже имеющиеся СЗИ. Необходимый набор должен включать:

- СЗИ от НСД (Dallas Lock 8.0-К или эквивалент);

- Средство антивирусной защиты (Kaspersky Endpoint Security 10 или эквивалент);

- Сетевой сканер безопасности (Сканер ВС, XSpider 7 или эквивалент);

- Средство обнаружения вторжений (В составе Dallas Lock 8.0-К или эквивалент)

- Средство защиты сетевого трафика и межсетевой экран ViPNet Client 4.x класса КСЗ в сеть N 1652 (эквивалент недопустим, поскольку защищенная сеть оператора РЕГИСЗ ПК организована с применением средств криптографической защиты информации семейства ViPNet, другие средства защиты сетевого трафика с технологией ViPNet несовместимы).

Все СЗИ должны иметь действующие сертификаты ФСТЭК и (или) ФСБ России, позволяющие их использовать в государственных информационных системах второго класса защищенности. СЗИ и СКЗИ должны применяться согласно эксплуатационной документации. МО самостоятельно или с привлечением Лицензиата в соответствии с требованиями настоящего документа осуществляет установку и настройку СЗИ.

Сетевой сканер устанавливается на ежемесячное сканирование защищаемых АРМ по заданным профилям. В профиле указывается проверка уязвимостей Windows, сканирование баз данных, FTP, LDAP, NetBIOS, а также подбор учетных записей по словарям.

В случае если антивирусное средство, устанавливаемое на рабочее место с СКЗИ ViPNet Client, имеет встроенные функции межсетевого экрана, их необходимо отключить по возможности на этапе установки продукта, либо после установки в настройках антивирусного средства. Межсетевой экран антивируса может конфликтовать со встроенным межсетевым экраном средства ViPNet Client.

Для СЗИ от НСД устанавливаются следующие параметры безопасности:

- Вход: запрет смены пользователя без перезагрузки - Выкл.;

- Вход: отображать имя последнего пользователя - Да;

- Вход: максимальное количество ошибок ввода пароля - 8;

- Вход: время блокировки учетной записи в случае ввода неправильных паролей (минут) - 10;

- Вход: отображать время последнего успешного входа - Нет;

- Вход: запрет одновременной работы пользователей с различными уровнями конфиденциальности - Выкл.;

- Сервер безопасности - Не задан;

- Пароли: максимальный срок действия пароля - 90 дн.;

- Пароли: минимальный срок действия пароля - 1 дн.;

- Пароли: напоминать о смене пароля за - 14 дн.;

- Пароли: минимальная длина - 8 симв.;

- Пароли: необходимо наличие цифр - Да;

- Пароли: необходимо наличие спец. символов - Да;

- Пароли: необходимо наличие строчных и прописных букв - Да;

- Пароли: необходимо отсутствие цифры в первом и последнем символе - Нет;

- Пароли: необходимо изменение пароля не меньше чем в - 2 симв.;

- Сеть: Ключ удаленного доступа - оставить по умолчанию;

- Сеть: Время хранения сетевого кэша - оставить по умолчанию;

- Сеть: Список незащищенных серверов - оставить по умолчанию;

- Блокировать компьютер при отключении аппаратного идентификатора - нет. Для СЗИ от НСД устанавливаются следующие параметры аудита:

- Аудит входа в систему - Вкл.;

- Аудит доступа к ресурсам - Вкл.;

- Аудит управления политиками безопасности - Вкл.;

- Аудит управления учетными записями - Вкл.;

- Аудит печати - Выкл.;

- Аудит запуска/завершения процессов - Вкл.;

- Фиксировать в журнале входов неправильные пароли - Да;

- Аудит доступа: Заносить в журналы ошибки Windows - Да;

- Аудит доступа: Заносить в журналы все ошибки при включенном "мягком" режиме - Да;

- Заносить в журнал события запуска и остановки ОС - Да;

- Заносить в журнал события запуска и остановки модулей администрирования DL-Да;

- Аудит доступа/запуска: Вести аудит системных пользователей - Да;

- Печать штампа - Нет;

- Создавать теневые копии распечатываемых документов - Нет;

- Разрешить печать из-под уровней доступа - Все уровни;

- Добавлять штамп при печати под уровнями - Все уровни;

Допускается вместо хостового решения ViPNet Client использовать шлюзовое решение ViPNet Coordinator. При таком варианте подключения МО должна гарантировать физическую/логическую сепарацию локальной сети, подключаемой к РЕГИСЗ ПК, от остальной сети МО.

Допускается вместо хостового решения Dallas Lock 8.0-К или эквивалента, в качестве средства обнаружения вторжений использовать шлюзовое решение ViPNet IDS или эквивалент, в качестве средства обнаружения вторжений.

3.2.3. Результат создания системы защиты сегмента РЕГИСЗ ПК

В случае проведения работ по созданию системы защиты сегмента РЕГИСЗ ПК с привлечением Лицензиата, Лицензиат оформляет "Заключение по результатам соответствия требованиям по защите информации сегмента РЕГИСЗ ПК".

В случае проведения работ по созданию системы защиты сегмента РЕГИСЗ ПК МО самостоятельно, МО оформляет "Акт оценки эффективности реализованных мер защиты информации сегмента РЕГИСЗ ПК".

3.2.4. Типовые схемы сегментов РЕГИСЗ ПК

Схема подключения А

МО использует ViPNet Coordinator в качестве криптографического шлюза для создания защищенных соединений с ядром РЕГИСЗ ПК, другими сегментами (другими МО), другими защищенными сетями через кросс-сертификацию. АРМ, имеющие доступ к РЕГИСЗ ПК, оснащены сертифицированными СЗИ и физически (на уровне структурированной кабельной сети) или логически (с использованием технологии vlan или межсетевого экранирования) отделены от остальных АРМ и прочих ресурсов локальной вычислительной сети МО. Соединение АРМ пользователей с криптографическим шлюзом (ViPNet Coordinator) находится в пределах границ контролируемой зоны. АРМ, не имеющие доступа к РЕГИСЗ ПК, используют ViPNet Coordinator в качестве межсетевого экрана и шлюза для доступа в интернет. Отдельные АРМ сегмента также могут быть оснащены программным обеспечением ViPNet Client (например, для использования модуля "Деловая Почта"),

"Схема подключения А"

Схема подключения Б

МО использует программное обеспечение ViPNet Client для создания защищенного соединения с ядром РЕГИСЗ ПК, другими сегментами (другими МО), другими защищенными сетями через кросс-сертификацию. АРМ, имеющие доступ к РЕГИСЗ ПК, оснащены сертифицированными СЗИ. Сегмент может быть представлен отдельным рабочим местом в локальной вычислительной сети МО.

"Схема подключения Б"

Схема подключения В

МО использует ViPNet Coordinator в качестве криптографического шлюза для создания защищенных соединений с ядром РЕГИСЗ ПК, другими сегментами (другими МО), другими защищенными сетями через кросс-сертификацию. В качестве рабочих мест конечных пользователей использованы терминальные станции, которые осуществляют подключение к РЕГИСЗ ПК через терминальный сервер. В случаях отсутствия технической возможности установки СЗИ на терминальную станцию, информационная безопасность терминальных станций обеспечивается комплексом организационных мер и установкой СЗИ на терминальный сервер. На ряду с терминальными станциями, в локальной вычислительной сети МО могут находиться АРМ, использующие схемы подключения А и Б.

"Схема подключения В"

3.3. Заявка на подключение к РЕГИСЗ ПК

Для начала взаимодействия МО и Оператора с целью подключения к РЕГИСЗ ПК, МО направляет в адрес Оператора:

- Заявку на подключение к РЕГИСЗ ПК (Приложении N 1),

- Акт классификации сегмента РЕГИСЗ ПК (Приложение N 2),

- Технический паспорт (Приложение N 3),

- Заключение по результатам соответствия требованиям по защите информации сегмента РЕГИСЗ ПК (выдается Лицензиатом) или Акт оценки эффективности реализованных мер защиты информации сегмента РЕГИСЗ ПК (Приложение N 4).

Данные документы должны быть направленны в виде подписанных квалифицированной электронной подписью скан копий по защищенным каналам связи или заверенных копий, переданных на руки.

3.4. Подключение к РЕГИСЗ ПК

Оператор производит проверку присланных документов в течение 3 рабочих дней с момента получения.

В случае несоответствия системы защиты информации сегмента РЕГИСЗ ПК установленным требованиям, Оператор уведомляет об этом МО и МО оперативно устраняет выявленные нарушения, после чего повторно направляет документы.

В случае положительного решения о подключении производится подключение сегмента РЕГИСЗ ПК.

По итогам подключения МО к сегменту РЕГИСЗ ПК Оператор направляет в МО Акт о подключении сегмента РЕГИСЗ ПК.