ФГБУ «НМИЦ радиологии» подтвердил соответствие ГИС требованиям по защите информации
Специализированный интегратор в области информационной безопасности (ИБ) iTPROTECT завершил проект по аттестации ключевой государственной информационной системы (ГИС) Минздрава России, функционирующей на базе одного из ведущих научных и лечебно-профилактических учреждений онкологического профиля — ФГБУ «НМИЦ радиологии». В результате медицинский центр подтвердил соответствие ГИС требованиям Приказа ФСТЭК России № 17.
Целью проекта стала защита и аттестация ГИС Национальный радиационно-эпидемиологический регистр (НРЭР), в которой хранятся и обрабатываются сведения о лицах, подвергшихся воздействию радиации вследствие катастрофы на Чернобыльской АЭС, других радиационных аварий, ядерных испытаний и иных радиационных катастроф и инцидентов. Система содержит сведения о состоянии здоровья граждан и должна быть защищена по требованиям ФСТЭК России (на начало проекта по Приказу № 17).
В рамках проекта эксперты iTPROTECT выполнили обследование объекта информатизации, разработали модель угроз, техническое задание на систему защиты, комплект эксплуатационной и организационно-распорядительной документации (ОРД), в частности, приказ об утверждении ОРД в части защиты информации, инструкции администраторов и пользователей, проект технического паспорта и пр., а также полный комплект аттестационных документов на систему защиты (аттестат, технический паспорт, протокол и заключение аттестационных испытаний).
Отдельным этапом стало согласование модели угроз и технического задания со ФСТЭК России — это является обязательным требованием при аттестации государственных информационных систем.
Также специалисты iTPROTECT разработали архитектуру комплексной системы защиты информации и определили состав необходимых средств защиты в соответствии с требованиями Приказа ФСТЭК России № 17. В ее состав вошли средство защиты информации от несанкционированного доступа, отечественная операционная система, система управления базами данных и сканер уязвимостей. Их внедрение выполнила команда ФГБУ «НМИЦ радиологии» при консультационной поддержке iTPROTECT. После внедрения средств защиты специалисты iTPROTECT провели аттестационные испытания и подготовили положительное заключение.
Одной из особенностей проекта являлась архитектура системы, в состав которой не входили АРМы пользователей и у которой была нестандартная модель взаимодействия с внешними системами. Такая архитектура потребовала разработки особенной модели угроз и подготовки нестандартных технических обоснований, подтверждающих применимость выбранных мер защиты. Разработанные решения были успешно согласованы со ФСТЭК и ФСБ России.
Дополнительную сложность проекту придало изменение нормативной базы в период выполнения работ. Аттестация начиналась по ранее действовавшим требованиям Приказа № 17 ФСТЭК России, но в ходе проекта в силу вступил Приказ № 117. Это потребовало повышения класса защищенности ГИС НРЭР, дооснащения системы средствами защиты информации и актуализации проектной документации.
«Нам потребовалось работать с нестандартной архитектурой системы, сопровождать согласование модели угроз со ФСТЭК России и одновременно адаптировать проект к изменениям нормативной базы. Благодаря накопленной экспертизе, команда смогла успешно завершить все этапы проекта и обеспечить положительное аттестационное заключение без приостановки работы Национального регистра», — отметил Роман Писарев, руководитель департамента консалтинга и аудита iTPROTECT.
По итогам проекта ГИС НРЭР успешно прошла аттестацию и подтвердила соответствие требованиям ФСТЭК России. Это позволило заказчику продолжить эксплуатацию системы в соответствии с требованиями законодательства.
«Для нас было важно не только получить аттестат, но и быть уверенными, что система защищена и полностью соответствует требованиям законодательства. Эксперты iTPROTECT оперативно отреагировали на изменения нормативной базы, взяли на себя диалог с регуляторами и помогли нам безболезненно модернизировать контур защиты», — прокомментировалКонстантин Туманов, заведующий лабораторией баз данных Национального регистра МРНЦ им. А.Ф. Цыба — филиала ФГБУ «НМИЦ радиологии» Минздрава России.
