"Мы маленькая клиника, а МИС у нас вообще облачная. Нужно ли нам заниматься КИИ?"

Два самых частых аргумента, которые можно услышать по вопросу категорирования КИИ от небольших клиник:

✅ первый: У нас всего несколько кабинетов и пара компьютеров. Какая ещё критическая инфраструктура?

✅ второй: МИС облачная, серверы находятся у разработчика. Значит, КИИ - это его ответственность

❗️Но размер клиники и место, где физически расположен сервер, сами по себе не отвечают на вопрос, касается ли клиники категорирование КИИ ✅ Важно другое: какие информационные системы клиника использует в медицинских процессах и что произойдёт, если эти системы перестанут работать

Представим небольшую стоматологию: три кабинета, несколько рабочих компьютеров и облачная МИС, своей серверной нет. Но именно через МИС администраторы ведут запись, врачи открывают карты пациентов, сохраняют результаты приёмов и работают с медицинской информацией. Если система становится недоступна, небольшой размер клиники ничего не меняет: привычные процессы всё равно останавливаются. То же самое и с облачной МИС

📚То, что серверы стоят не в клинике, а в дата-центре поставщика, не означает, что сама клиника перестаёт использовать информационную систему в своих медицинских процессах

Поэтому, при категорировании смотрят не только на то, кому принадлежит «железо», но и на то: 📕 кто использует систему 📘 для каких процессов она нужна 📗 какие данные в ней обрабатываются 📒 какие последствия возникнут при её остановке или компрометации

❗️При этом наличие МИС ещё не означает, что объекту обязательно будет присвоена I, II или III категория значимости

Как было указано в предыдущих постах, категорирование - это процедура, а категория - один из возможных результатов

По итогам оценки комиссия может обоснованно установить, что категория объекту не требуется. Но этот вывод тоже необходимо получить в рамках процедуры и оформить документально

Поэтому аргументы «мы маленькие» и «у нас всё в облаке» сами по себе не являются основанием ничего не делать

🔥 Для руководителя правильнее поставить другой вопрос: какие системы обеспечивают работу клиники и какие из них нужно оценить в рамках КИИ? Информационный пост подготовлен партнёром Проекта "ОргЗдрав" - командой агентства медицинского маркетинга «Аленте»