1. Порядок реализации мер защиты информации в информационных системах в сфере здравоохранения

N п/п

Мероприятия по реализации мер защиты

Способ реализации (результат)

ГИС

ИСПДн

ЗОКИИ

Принятие решения о необходимости защиты информации, содержащейся в информационной системе в сфере здравоохранения

Концепция создания системы <48>

Приказ о создании системы защиты информации информационной системы

Назначение лица, ответственного за организацию и контроль обеспечения ИБ в информационной системе в сфере здравоохранения

Приказ о назначении лица, ответственного за организацию обеспечения ИБ в информационной системе в сфере здравоохранения на уровне не ниже заместителя руководителя

Назначение структурного подразделения либо должностного лица, ответственного за обеспечение ИБ в информационной системе в сфере здравоохранения

Приказ о создании структурного подразделения либо о назначении должностного лица, ответственного за обеспечение ИБ в информационной системе в сфере здравоохранения

Положение о структурном подразделении (инструкция) ответственного за обеспечение ИБ

Проведение классификации информационной системы Проведение категорирования объектов КИИ

Определение уровня защищенности персональных данных при их обработке в информационной системе

Акт классификации информационной системы по требованиям защиты информации

Акт определения уровня защищенности персональных данных при их обработке в информационной системе

Приказ о создании постоянно действующей комиссии по категорированию объектов КИИ

Положение о постоянно действующей комиссии по категорированию объектов КИИ

Письмо во ФСТЭК России о направлении перечня объектов критической информационной инфраструктуры, подлежащих категорированию

Перечень объектов критической информационной инфраструктуры, подлежащих категорированию

Акт категорирования объекта КИИ

Письмо во ФСТЭК России о направлении сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий

Определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработка на их основе модели угроз безопасности информации

Модель угроз безопасности информации информационной системы, согласованная со ФСТЭК России и ФСБ России в пределах их полномочий в части, касающейся выполнения установленных требований о защите информации (в случае, если реализация мероприятий по созданию информационной системы или системы защиты осуществляется федеральным органом исполнительной власти или органом исполнительной власти субъекта Российской Федерации <49>)

Модель угроз безопасности информации информационной системы

Модель угроз безопасности информации информационной системы

Определение (формирование) требований по защите информации в информационной системе в сфере здравоохранения

Техническое задание на создание системы защиты информации информационной системы в сфере здравоохранения, согласованное со ФСТЭК России и ФСБ России в пределах их полномочий в части, касающейся выполнения установленных требований о защите информации (в случае, если реализация мероприятий по созданию информационной системы или системы защиты осуществляется федеральным органом исполнительной власти или органом исполнительной власти субъекта Российской Федерации <49>)

Техническое задание на создание системы защиты информации информационной системы в сфере здравоохранения

Техническое задание на создание системы защиты информации информационной системы в сфере здравоохранения

Разработка системы защиты информации информационной системы в сфере здравоохранения

Проектная документация (эскизный (технический) проект и рабочая документация) на информационную систему (систему защиты информации информационной системы), разрабатываемая с учетом ГОСТ 34.201 "Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем"

Эксплуатационная документация на систему защиты информации информационной системы

Внедрение системы защиты информации информационной системы в сфере здравоохранения

Акты и протоколы установки и настройки средств защиты информации в информационной системе

Организационно-распорядительные документы по защите информации

Программа и методика предварительных испытаний

Протокол предварительных испытаний

Акт приемки информационной системы (системы защиты информации) в опытную эксплуатацию

Программа опытной эксплуатации

Протокол проведения анализа уязвимостей информационной системы

Программа и методика приемочных испытаний

Протокол приемочных испытаний

Аттестация информационной системы в сфере здравоохранения

Программа и методики аттестационных испытаний <50>

Аттестат соответствия

Заключение

Протоколы испытаний

Ввод в эксплуатацию системы защиты информационной системы в сфере здравоохранения

Акт о вводе системы защиты в эксплуатацию

Обеспечение защиты информации в ходе эксплуатации информационной системы в сфере здравоохранения

В соответствии перечнем организационных мероприятий по обеспечению информационной безопасности (п. 2 Приложения II)

Обеспечение защиты информации при выводе из эксплуатации информационной системы в сфере здравоохранения или после принятия решения об окончании обработки информации

Акт о выводе системы из эксплуатации

Документы (акты, протоколы), подтверждающие архивирование информации ИС и (или) уничтожение информации в ИС

Документы (акты, протоколы), подтверждающие уничтожение носителей информации в ИС

Акт о выводе системы из эксплуатации

Документы (акты, протоколы), подтверждающие архивирование ПДн в ИС и (или) уничтожение ПДн в ИС

Документы (акты, протоколы), подтверждающие уничтожение носителей ПДн в ИС

Акт о выводе системы из эксплуатации Документы (акты, протоколы), подтверждающие архивирование информации ИС и (или) уничтожение информации в ИС

Документы (акты, протоколы), подтверждающие уничтожение носителей информации в ИС