Политика безопасности информационных систем персональных данных в клинике Домодент. Общие положения

Политика безопасности информационных систем
персональных данных в клинике Домодент.
Общие положения.
Данная политика разработана в соответствии со 152 ФЗ и Постановления
Правительства «Об утверждении Положения об обеспечении безопасности
персональных данных при их обработке в информационных системах
персональных данных».
Автоматизированная обработка Персональных данных (далее ПД) в
информационных системах необходима для качественного оказания
медицинских услуг. Клиника ДомоденТ предпринимает все необходимые
меры в соответствии с требованиями законодательства для обеспечения
безопасности ПД.
Основой политики безопасности является защита персональных данных от
несанкционированного доступа, в том числе распространения, копирования,
изменения и уничтожения данных.
Цель обработки персональных данных – оказание высокотехнологичных
медицинских услуг в соответствии с лицензией. Используются только те ПД,
которые отвечают целям их обработки. Хранение ПД осуществляется не
дольше, чем это необходимо для выполнение данных услуг и может быть
отозвано пациентом.
Персональные данные клиентов компания получает только лично от клиента
или от его законного представителя. В компании существует
автоматизированная и не автоматизированная обработка ПД. 
Безопасность ПД осуществляется путем ограничения доступа только
авторизированным пользователям – сотрудникам предприятия, прошедшим
ознакомление должностной инструкцией и порядком обработки ПД в
соответствии с 152 ФЗ. Каждому сотруднику выдаются минимально
необходимые атрибуты доступа к ПД для выполнения трудовых
обязанностей. 
Реализован следующий механизм защиты ПД:
1. Для каждой ИС определены внешние и внутренние угрозы.
2. Применяются лицензионные программные и аппаратные средства
защиты систем (операционная системы с необходимыми обновлениями,
Kaspersky Endpoint Security и д.р. ).

3. Приняты соответствующие меры по защите от несанкционированного
доступа к персональным данным (аудит действий пользователей в ИС,
разграничение доступа пользователей к персональным данным).
4. Осуществляется резервное копирование баз данных содержащих
персональные данные, для возможности их восстановления при
модификации или уничтожения вследствие несанкционированного
доступа к ним.
5. ИС с данными медицинских обследований отключены от сети
Интернет. Осуществляется контроль за носителями информации и
авторизацией доступа.
6. Компьютер-сервер с базой информационной системы отключен от сети
интернет, на нем запрещено использование съемных носителей. Доступ
к нему разрешен из сети только ограниченному числу рабочих станций
по паролю. Работа с базой осуществляется после авторизации, с
журналированием производимых действий.
7. Остальные компьютеры клиники имеют ограниченный и
контролируемый доступ к внутренней сети и сети Интернет, с
ограничением на использование внешних носителей информации.
Все сотрудники клиники ДомоденТ, осуществляющие обработку
персональных данных, ознакомлены под роспись с требованиями к защите
персональных данных, положениями законодательства Российской
Федерации о персональных данных (в т.ч. 152 ФЗ), локальными актами по
вопросам обработки персональных данных и безопасности, а также обучены
правилами работы в Информационных системах (приложение 2).
Организация системы защиты персональных данных.
Система защиты ПД включает в себя следующие подсистемы:
1. Система управления доступом, регистрации и учета;
2. обеспечения целостности и доступности;
3. антивирусной защиты;
4. межсетевого экранирования;
5. анализа защищенности и обнаружения вторжений;