Большая врачебная тайна

Алматы: инструкция по применению

«Вечерка» неоднократно поднимала проблемы конфиденциальности персональных данных при переходе на безбумажный документооборот и использовании медицинской информационной системы (№ 83 от 3.07.2018 года, «Цифровой консилиум»; № 98 от 9.08.2018 года, «Больной вопрос»).

9 001

 

9 002

И вот то, о чем предупреждали правозащитники и некоторые специалисты IT-технологий, произошло: на днях медицинские данные казахстанцев, хранимые в МИС «Дамумед», оказались в открытом доступе. Об этом в Facebook сообщил Вит Ермоленко‎ – администратор группы «Сообщество казахстанских IT-компаний в медицине». И не просто сообщил, а подтвердил скриншотами обнаруженного в интернет-пространстве.
– Мы получили письмо от анонимного пользователя, нашедшего серьезнейшую уязвимость в информационной системе «Дамумед», – сообщил Вит Ермоленко. – Не будем вдаваться в технические подробности, так как не можем рассказать о деталях. Сейчас самое важное, чтобы сначала «Дамумед» оперативно залатал свою «дыру». Если описать проблему простым языком, то данная уязвимость позволяет очень легко получить доступ к медицинской информации пациентов (к результатам лабораторных анализов) по всем городам и областям Казахстана, везде, где установлена система «Дамумед» (КМИС).
– «Дыра» в безопасности системы «Дамумед» очень серьезная и может привести к огромным проблемам, к тому же не известно, сколько времени она существует, – считает IT-специалист. – Обнаруженная уязвимость позволяет любому студенту первого курса легко слить всю базу по результатам анализов с фамилиями, именами и данными исследований. Будем надеяться, что ничего подобного не произошло.
К чести членов группы «Сообщество казахстанских IT-компаний в медицине», надо сказать, что, узнав о проблеме, они сразу же отправили эту информацию в ЦАРКА (Центр анализа и расследования кибератак) РК, ответственным лицам в МЗ, разработчику – ТОО ЦИТ «Даму» в надежде, что проблема будет оперативно исправлена.
В чем кроется системная проблема?
– Конечно, как специалист в области подобных технологий, я понимаю, что не существует абсолютно неуязвимых систем, но данный инцидент явно свидетельствует о системной проблеме, которую мы давно озвучивали, – считает Вит Ермоленко. – И теперь я бы хотел поднять несколько тем и задать вопросы компетентным и ответственным за электронное здравоохранение лицам.
Аттестация информационной безопасности (ИБ) решения «Дамумед»
– Я уже обращал внимание граждан на то, что решение ЦИТ «Даму» двигается в Казахстане под несколькими торговыми названиями – «Дамумед», Damumed и КМИС (Комплексная медицинская информационная система), – сообщил Вит Ермоленко. – Именно последнее название зачастую вызывает вопросы, почему КМИС? Откуда это название?
А название это (по нашему мнению) – от первого аттестата информационной безопасности, которую получила «Даму» (где система называлась КМИС, и, насколько нам известно, аттестацию эту делал не разработчик, а их клиент, одна из медорганизаций).
Отсюда вопрос к руководителям электронного здравоохранения: есть ли у «Дамумеда» аттестат ИБ, от какого он числа и является ли он актуальным?
Несведущим поясню: каждый раз, когда вы добавляете в систему новый сервер, меняете старый, начинаете использовать новое программное обеспечение – аттестацию нужно проходить заново!
И тут самый важный вопрос: сеть серверов «Дамумед» росла очень активно (по мере их активного продвижения УЗ и другими структурами МЗ) и сейчас включает множество серверов. Есть ли у «Дамумед» актуальный аттестат ИБ, соответствующий их текущей конфигурации системы и количеству серверов?
Темпы цифровизации и к чему это ведет
– Я неоднократно поднимал и продолжаю поднимать вопрос о том, что в нашем электронном здравоохранении есть значительные перекосы, – продолжает Вит Ермоленко. – Сокрытие реального положения дел: неработающая платформа, на которую потратили 18 миллионов долларов, убогие портальные решения, развивающиеся и обслуживающиеся без стандартов, SLA и нормальной документации. Подмена понятий, попытка развернуть цифровизацию и реализацию электронного паспорта на основе одной, частной системы, что в корне противоречит законодательству и концепции развития электронного здравоохранения. Первые ласточки этого мы уже видим на примере данного инцидента. Отсутствие законов и НПА, стандартов на рынке электронного здравоохранения. Ничего этого за многие годы так и не сделано, а то, что поспешно сделано, весьма посредственного качества (тот же 127-й приказ).
Выдавливание других поставщиков с рынка ведет к отсутствию конкуренции, убивает качество, приводит рынок к более низким стандартам, халтурному исполнению, осваиванию (трате) больших бюджетных средств и в конечном счете отставанию нашей экономики в развитии и конкурентоспособности.
А страдают от этого простые и непростые люди, данные которых не защищены государством, врачи и пользователи, получающие «висящие системы», IT-компании, вынужденные закрываться, страна, теряющая эмигрирующих специалистов...
Что в реальности?
Между тем повседневная реальность говорит о том, что с оцифровкой данных пациентов очередей в поликлиниках пока не стало меньше. А ведь именно это было заявлено одним из главных плюсов внедрения МИС. Но если система DamuMed несовершенна, почему не обратиться к услугам других разработчиков медицинских информсистем?
Оказалось, дело в цене вопроса.
– Приходят в больницу несколько разработчиков: я продам вам за столько-то тенге. Но вы понимаете, что больница находится в ведении акимата, Министерства здравоохранения, это не частная организация, – пояснил принцип выбора МИС вице-министр здравоохранения РК Олжас Абишев. – Никакая поликлиника не согласится выбрать себе дорогостоящее приложение. Если компания готова к конкуренции, она эту конкуренцию выдержит. А если компания не готова меняться и пересматривать свою ценовую политику, то это обратный вопрос рынка. Мы здесь никак не принимаем участия. Но мы диктуем правила интеграции форматами, техническими документами.
При этом вице-министр еще раз подтвердил, что для безопасности персональных данных Минздрав предъявляет IT-компаниям ряд требований и стандартов, которые должны выполняться.
И тем не менее утечка информации все же произошла. Сколько по времени это продолжалось, никто сказать не может, но, по утверждению Вита Ермоленко, технари «Дамумеда» оперативно подключились к решению проблемы, и к вечеру 7 июля информационная «дыра» была закрыта.
Никакого слива в общедоступные ресурсы не было?
Вот как прокомментировала инцидент Наталья Киль, директор Центра информационных технологий «Даму».
– От лица компании «Центр информационных технологий «Даму» сообщаю, что произошел инцидент передачи третьим лицам информации, содержащей конфиденциальные данные, от лица, имеющего легальный авторизованный пользовательский доступ в медицинскую информационную систему Damumed, – подтвердил автор этой МИС. – На данный момент мы готовим материалы для передачи их в правоохранительные органы для проведения тщательного разбирательства в соответствии с действующим законодательством, а именно Кодексом Республики Казахстан «Об административных правонарушениях», статья 79 «Нарушение законодательства Республики Казахстан о персональных данных и их защите», и Уголовным кодексом Республики Казахстан – статья 205 «Неправомерный доступ к информации, в информационную систему или сеть телекоммуникаций», статья 208 «Неправомерное завладение информацией». По факту публикации в ФБ скриншотов сообщаем, что беспокоиться не о чем, медицинские данные доступны только авторизованным пользователям, лицо, которое получило их в свое распоряжение, получило их незаконным способом, и его действия могут квалифицироваться перечисленными выше нормами Уголовного законодательства. Никакого слива в общедоступные ресурсы не было!
Что ж, хочется верить, что серьезной утечки конфиденциальной информации действительно не произошло. А еще надеемся, что правоохранительные органы разберутся что к чему и привлекут виновных во взломе КМИС, если таковой действительно был. Во всяком случае, во всей этой истории для граждан важно, чтобы никакие злоумышленники не смогли пользоваться сведениями, не предназначенными для чужих глаз. А это уже вопросы к разработчикам «Дамумед». Какие гарантии, что подобное не произойдет вновь?
Между тем еще год назад член Совета по защите прав пациентов и противодействию коррупции в области здравоохранения при акимате города Алматы Галия Тобатаева предупреждала, что у экспертов в области здравоохранения есть опасения и много вопросов по этому поводу: предусмотрен ли функционал, ограничивающий доступ к персональным данным? каковы гарантии неразглашения этих данных? как будет обеспечена конфиденциальность с учетом повсеместного интегрирования и доступности информации о заболеваниях врачам всех профилей?
– Доступ к личной информации будет иметь третье лицо, например системный администратор, которого могут уволить за какие-либо проступки или по вашей жалобе, – предупреждала эксперт. – В этом случае сведения о больном могут распространиться вне системы, вплоть до размещения в соцсетях, как компромат либо шантаж. Вычислить нечистоплотного медработника будет крайне сложно, соответственно, и принять к нему меры. Я принимала участие в акции «Тайный покупатель», где были выявлены факты незаконного прикрепления, а значит, утечки информации, а также несоблюдения стандартов государственных услуг, где у пациентов в рамках анонимного обследования требовали предоставления ИИН.
Правозащитница сделала запрос в Минздрав по поводу гарантий конфиденциальности нашей личной информации, но ответа на свои вопросы так и не дождалась.
– Согласно законодательству о государственных услугах, обработка и сбор персональных данных проводится только с письменного согласия субъекта, пациента на использование сведений, составляющих охраняемую законом тайну, содержащуюся в информационных системах, – информирует Галия Тобатаева. – А в Законе о защите прав потребителей прописано: потребители имеют право на свободное заключение договоров и оказание услуг. Там же сказано о том, что не допускается принуждение потребителя на заключение договоров. Но, несмотря на данные нормы, имеют место случаи, когда пациентов принуждают давать согласие или вносят их истории болезни в ИС без согласия. Требуйте бланк согласия вам на подпись, а дальше принимать решение только вам.

Позвонив на бесплатный для всех регионов РК телефонный номер 115, вы можете оставить обращение о фактах неправомерного взимания платы за медицинские услуги, оказанные в рамках гарантированного объема бесплатной медицинской помощи.
В рабочее время обращения принимаются всеми операторами кол-центра. В ночное время, праздничные и выходные дни запись звонков в кол-центр осуществляется в автоматическом режиме.


Подготовили Василий ШУПЕЙКИН и Ирина ВАСИЛЬЕВА