В клинике есть хороший айтишник - пусть он сам подготовит документы по КИИ

Технический специалист действительно нужен при категорировании - он знает, как устроена сеть, где находятся серверы, какие рабочие места подключены к МИС, какое оборудование взаимодействует с другими системами

Но категорирование КИИ - это не только описание ИТ-инфраструктуры

Чтобы корректно провести процедуру, нужно одновременно разобраться: ✅ как устроены медицинские процессы клиники ✅ какие системы и оборудование в них участвуют ✅ какие последствия возникнут при их остановке ✅ какие объекты необходимо включить в перечень ✅ как оформить расчёты, акт и сведения для ФСТЭК

❗️Поэтому один человек, который хорошо разбирается в компьютерах, не всегда видит всю картину

У нашей команды был показательный случай с офтальмологическим центром в Москве. Клиника попыталась самостоятельно разобраться с категорированием. Документы готовил сотрудник внутри организации - не профильный специалист по КИИ. В результате во ФСТЭК сообщили, что объектов КИИ у клиники нет, и одновременно в документах перечислили системы и оборудование, которые сами же отнесли к объектам.

Получилось противоречие: объекты описаны, но в выводе указано, что объектов нет Документы пришлось разбирать заново и исправлять формулировки

И это довольно хорошо показывает типичную проблему 👆

⚠️ В КИИ важно различать: объект есть - и объекту присвоена категория

Это не одно и то же - у клиники могут быть объекты КИИ, но после расчётов комиссия обоснованно приходит к выводу, что I, II или III категория им не требуется

Другой частый пример - когда технический специалист описывает серверы, компьютеры и сеть, но не может самостоятельно оценить медицинские последствия остановки конкретной системы

Для этого нужны люди, которые понимают, как устроена сама работа клиники - именно поэтому категорирование проводится комиссией, а не одним системным администратором

В ней объединяются знания о медицинской деятельности, инфраструктуре и информационной безопасности - задача айтишника здесь очень важна, но она является частью процедуры, а не заменяет её целиком

И чем сложнее инфраструктура клиники, тем важнее, чтобы техническое описание совпадало с медицинскими процессами и итоговыми документами

Информационный пост подготовлен партнёром Проекта "ОргЗдрав" - командой агентства медицинского маркетинга «Аленте»