Определены актуальные угрозы безопасности персональных данных в области здравоохранения

Минздрав выпустило приказ, в котором подробно описаны основные угрозы безопасности при обработке ПДн в информационных системах сферы здравоохранения.

7 августа официально опубликован Приказ Министерства здравоохранения РФ от 03.07.2023 № 340н «Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством здравоохранения Российской Федерации».

Согласно тексту документа угрозами безопасности персональных данных являются:

1. Угрозы безопасности персональных данных, защищаемых без использования средств криптографической защиты информации (СКЗИ), в т.ч. связанные с:

• особенностями функционирования технических, программно-технических и программных средств, обеспечивающих хранение, обработку и передачу информации;
• несанкционированным доступом к персональным данным;
• воздействием вредоносного кода, вредоносной программы;
• использованием социального и психологического воздействия на лиц, обладающих правами доступа к информационным системам, правами доступа к администрированию программных, программно-аппаратных средств, средств защиты информации, входящих в состав информационных систем;
• использованием новых информационных технологий и др.

2. Угрозы реализации целенаправленных действий с использованием аппаратных и/или программных средств с целью нарушения безопасности защищаемых с использованием СКЗИ персональных данных или создания условий для этого. Причиной могут быть:

• создание способов, подготовка и проведение атак без привлечения специалистов в области разработки и анализа СКЗИ;
• проведение атак нарушителями, находящимися вне контролируемой зоны;
• проведение на этапе эксплуатации СКЗИ атак на ПДн, ключевую, аутентифицирующую и парольную информацию СКЗИ, программные и аппаратные компоненты СКЗИ и т.д.
• проведения на этапе эксплуатации атаки из информационно-телекоммуникационных сетей, доступ к которым не ограничен определенным кругом лиц;
• получение из находящихся в свободном доступе источников данных об информационной системе и др.

Данный приказ вступил в силу с 18 августа 2023 года.

Ознакомиться с полным текстом документа можно по ссылке.