/ КИИ
КИИ в медицине: два контура — 187-ФЗ и защита ПДн
Медорганизация защищает КИИ и персональные данные пациентов одновременно. На практикуме разобрали, где заканчивается один контур и начинается другой, как категорировать МИС и ЕГИСЗ и что отвечать на проверках Роскомнадзора — с тремя действующими экспертами. Полная видеозапись доступна участникам и в составе базового курса.
В медицине цена ошибки с данными выросла на порядок
Медорганизация одновременно защищает КИИ, персональные данные пациентов и врачебную тайну. С 2025 года ответственность за провалы ужесточилась — и пришла в клиники напрямую.
Штраф — за сам факт утечки
Для данных о здоровье размер наказания не зависит от объёма: ответственность наступает уже за факт. С 30.05.2025 — до 3 млн ₽ за одно неуведомление и уголовная ст. 272.1 УК.
Утечка из объекта КИИ → ФСБ
Утечка ПДн из медицинской системы как объекта КИИ — это не Роскомнадзор, а уголовная статья и подследственность ФСБ. Суды не разбираются, значимый объект или нет.
Прокуратура пришла в клиники
Только в поле зрения экспертов — 6 прокурорских запросов в медорганизации за полгода, и государственные, и частные. Это не абстрактный риск, а текущая практика.
Три взгляда: privacy, медицина и ИБ больницы
Что разобрали — три эксперта
Практикум прошёл 25 июня 2026. Полная видеозапись каждого блока доступна участникам и в составе базового курса.
- Где КИИ, где спецкатегория ПДн, где врачебная тайна — на одном объекте
- Спецкатегория ПДн: штраф за сам факт утечки
- Правовой контур обработки: основания, сроки, уничтожение данных
- Реагирование: 24 часа на уведомление, 72 — на расследование
- Тройной удар: Данные пациента одновременно касаются КИИ, спецкатегории ПДн и врачебной тайны.
- Штраф за факт: За утечку спецкатегорий (здоровье) штраф наступает за сам факт, а не за объем.
- Жесткие сроки: 24 часа на уведомление РКН, 72 часа — на результаты расследования.
- Тайна ≠ ПДн: Соблюдение врачебной тайны не заменяет выполнение требований 152-ФЗ.
- Удалять вовремя: Данные нельзя хранить вечно; обязательны сроки хранения и процедура уничтожения.
- Две подписи: Согласие на лечение и согласие на обработку ПДн — это два разных документа/подписи.
- Обезличка — это ПДн: Обезличенные данные все равно остаются персональными.
- Основания разные: Для маркетинга нужно письменное согласие, для оказания помощи — иные законные основания.
- Ответ за подрядчика: Штраф за утечку у подрядчика получит оператор (больница). Требуйте строгих поручений.
- Доказуемость: Важно не просто обрабатывать данные, а быть готовым доказать законность обработки в любой момент.
- Категорирование МИС: типовые перечни 2026 и статус «без категории»
- Главный канал утечки — передача знакомым по телефону
- Своя трактовка «компьютерного инцидента» по 187-ФЗ
- Дешёвые лайфхаки: обходной лист в 1С, холодные бэкапы, самопентест
- Категорирует комиссия: Решение о категории объекта КИИ принимают врачи, а не безопасник. Часто оборудование считают незначимым.
- Типовые перечни ломают логику: Медоборудование теперь категорируем по умолчанию, а корпоративные сети — "вне закона".
- Утечки от людей: 90% утечек — не хакеры, а фотки экрана на телефон и пересылка в личные мессенджеры.
- Пароль как рычаг: Зафиксированный пароль на стене — это не косяк, а инструмент, чтобы продавить внедрение парольной политики.
- Мониторинг vs Реальность: Обнаружение вируса антивирусом — не инцидент, если это не прописано в вашей политике ИБ.
- Исключите из границ: Чтобы избежать уголовки, "пострадавшие" серверы должны быть выведены за границы значимого объекта КИИ.
- Удар молнии = инцидент: Факт нарушения функционирования (даже из-за молнии) требует уведомления ФСБ, причину выясняют позже.
- Электронный обходной: Дешевый лайфхак — блокировать доступ уволенных автоматически через 1С (электронный обходной лист).
- Сначала утвердить: Плохой документ лучше, чем отсутствующий. Наличие документа спасает от штрафа, качество правят позже.
- Узкие границы: Категорируйте только самое критичное (узкий круг), чтобы лишние хосты не создавали проблем при проверках.
- «Инцидент» — три события и три регулятора (ст. 21 и ст. 19 152-ФЗ)
- Защита — это то, что сделано ДО утечки: суды смотрят превентив
- Рабочая группа реагирования: собрать заранее, а не в кризис
- Кейсы РЖД и Минтруда: за подрядчика отвечает заказчик
- Инциденты разные: Утечка, компвзлом и понятие для КоАП — юридически разные события. Не путайте, о чем уведомлять.
- Опасное уведомление: Подав уведомление о "подозрении" и отозвав его, вы рискуете попасть под статью за сокрытие информации.
- Отчет против вас: Внешний отчет по расследованию (если в нем есть недочеты) станет главным доказательством в суде против вас.
- Новый взгляд суда: Суды переходят от "факта утечки" к анализу конкретных мер защиты, которые вы (не) предприняли.
- Прокуратура страшнее: Прокуратура может привлечь к проверке ФСБ и Росгвардию, проверяя всё в комплексе.
- Ответ — строго на вопрос: Отвечайте надзорным органам максимально коротко. Спросили про антивирус — отвечайте "Да" или "Нет".
- Компенсация не освобождает: Выплата компенсаций клиентам не снимает с вас административного штрафа.
- Пишите 272 УК: При подаче заявления в полицию используйте общую статью 272 УК, а не квалифицируйте сами (272.1, 274.1).
- Траты на обучение: Подтверждение расходов на киберучения сотрудников — весомый аргумент в вашу защиту.
- Деньги = Уголовка: Если утечка связана с куплей-продажей баз, это прямой путь к уголовному делу, а не к штрафу.
Что вы получаете
Что говорят участники
По своей специальности занимаюсь ИБ в крупной многофилиальной областной больнице. И тема «КИИ и ИСПДн в медицине, 187-ФЗ vs 152-ФЗ» не могла меня не привлечь. Это не какой-то там очередной бесплатный вебинар от Код ИБ, которые почти всегда привлекают внимание хорошими спикерами и прекрасной подачей темы квалифицированным модератором на надежной площадке трансляции с опытной командой поддержки. Этот практикум КИИ на 4 часа является готовым кратким концентрированным курсом где подробно и системно прошлись по ключевым актуальным элементам КИИ и ПДн в медицине/здравоохранении. Понадавали кучу ссылок и доп.информации. Грамотные компетентные отзывчивые «говорливые» спикеры - Алексей Мунтян, Николай Александров, Иван Земцов - были изюминкой этого Практикума! Спасибо за выбор и за качественную работу! А за качественную работу не жалко и заплатить – Практикум КИИ платный, но этого того стоит! Конечно я до последнего думал идти или не идти - всё вроде знаю, и 520ч ИБ проходил 3г назад, и постоянно вебинары посещаю. Но здесь всё так концентрировано и точечно по делу рассказали. Мне очень понравилось! Очень откровенные и квалифицированные были спикеры! Рассказывали подноготную взаимодействия с РКН, Прокуратурой, интеграторами/подрядчиками, взаимодействие ИБ с ИТ и с Руководством. Курс нацелен не только на ИБ специалистов. Но и на системных администраторов, Директоров ИТ и владельцев фирмы/ген.директоров – спикеры способны с любым наладить надежный и полезный контакт.
Спасибо большое за такой классный практикум! Я настолько в своем познании преисполнился, весь груз непонимания был сброшен. Специалисты все четко и по полочкам пояснили, с разных точек зрения. Еще раз спасибо огромное!
Участвовал в практикуме по "КИИ в медицине: два контура — 187-ФЗ и защита ПДн". В первую очередь меня интересовали ответы на практические вопросы в области деятельности по безопасности КИИ и дальнейших шагов после получения категории. Все ответы я получил из первых уст. Спасибо спикерам и организаторам за подобный формат.
Как проходил практикум
Практикум состоялся 25 июня 2026. Полные видеозаписи всех сессий доступны участникам и в составе базового курса КИИ.
