Какие угрозы учитывают в системах персональных данных сферы Минздрава?
Приказ № 340н определяет угрозы для систем в регулируемых Минздравом сферах. Это отраслевой документ, а не универсальная готовая модель защиты любого оператора.
Короткий ответ
Для информационных систем в сферах, нормативно регулируемых Минздравом, предусмотрен перечень из приказа от 3 июля 2023 года № 340н. Его нужно применять с учётом указанной отраслевой сферы.
Это не универсальный документ для любой компании, у которой есть персональные данные.
Какие риски названы
В материале августа 2023 года среди угроз выделены доступ к носителям, вредоносный код и воздействие на уполномоченных пользователей.
То есть вопрос не ограничивается взломом сайта извне. Риски могут быть связаны с устройствами хранения, программами и людьми, имеющими разрешённый доступ.
Для организации важно сопоставить перечень с тем, как реально устроена её система: где находятся сведения, кто с ними работает и какие действия доступны.
Почему нельзя просто приложить приказ к документам
Модель угроз должна учитывать конкретную систему. Отраслевой перечень помогает определить необходимые направления анализа, но не описывает автоматически все условия вашей инфраструктуры.
Например, наличие в перечне вредоносного кода не говорит само по себе, какое средство защиты достаточно для каждого сервера. Сначала нужно установить соответствующие угрозы и применимые требования, затем обосновать меры.
Также важно проверить сферу регулирования. Одно наличие медицинских сведений в обычной корпоративной базе ещё не объясняет без дополнительной оценки применимость каждого положения отраслевого приказа.
Если нужно применить ответ к Вашей ситуации или документам, Проверить согласия на обработку данных и рекламу: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Каким документом руководитель создаёт комиссию по защите персональных данных?
- Может ли Роскомнадзор запросить модель угроз безопасности персональных данных?
- Кто определяет форму оценки эффективности мер защиты персональных данных?
- Можно ли одним приказом утвердить доступ к кадровым данным и к информационной системе?
- Как организовать необходимый удалённый доступ сотрудника к базе персональных данных?
