Размер шрифта:
Изображения:
Цвет:
26 декабря 2019,  11:21

Пациентов сливали в Сеть. Почему медицинские данные белгородцев попали в открытый доступ?

«БелПресса» выясняла, готова ли система здравоохранения области к электронному документообороту

Пациентов сливали в Сеть. Почему медицинские данные белгородцев попали в открытый доступ?Фото: Ярослав Макаров
  • Статья
  • Статья

На электронный документооборот все российские медучреждения должны перейти к 15 апреля 2020 года – соответствующее поручение дал президент Владимир Путин. Значит ли это, что электронные медкарты пациентов будут надёжно защищены?

Опасный сервер

Ещё в сентябре «БелПрессе» стало известно, что медицинские данные тысяч белгородцев оказались в открытом доступе. Об этом на условиях анонимности рассказал местный IT-специалист. Его хобби – искать уязвимости в информационных системах. Если в открытом доступе встречаются персональные или иные конфиденциальные данные, то он сообщает напрямую ответственным. Но на этот раз он посчитал, что медицинские отчёты – это не та информация, которую можно хранить в открытом виде.

Тем более что в данном случае речь идёт о тысячах белгородцев, в чём мы имели возможность убедиться. Если бы эти данные попали в недобрые руки, их могли: а) удалить, б) изменить, в) украсть и продать. А ещё их могли бы выложить в соцсети, чтобы любой желающий, например, узнал уровень гемоглобина у соседа. Один из вариантов использования базы данных – шантаж людей, которые не хотят огласки своих проблем.

«Доступ ограничен»

В областном департаменте здравоохранения в ответ на наш официальный запрос сообщили, что с безопасностью электронных данных пациентов всё в порядке. Доступ к обрабатываемым и хранимым данным разграничен, на компьютерах есть антивирусные программы, специалисты используют межсетевые экраны (они защищают данные от несанкционированного доступа и закрывают уязвимые места) и делают резервные копии данных. Доступ в помещения с компьютерами ограничен, а каналы передачи данных шифруются. За последние пять лет жалоб от белгородцев на распространение данных, составляющих врачебную тайну, не было.

«Доступ к электронной медицинской карте белгородца имеют только врачи медицинских организаций Белгородской области, работающие в региональной медицинской информационной системе и имеющие персональный логин с паролем, – сообщили в ведомстве. – Передача данных между медицинскими организациями осуществляется только по защищённым каналам».

Правда, в департаменте признали, что пока не используют системы, способные контролировать утечки данных. Реализация этого функционала запланирована на 2020 год.

Полученный ответ звучал бы вполне убедительно, если бы не одно «но». Как минимум месяц в открытом доступе находились данные из поликлиник и больниц Белгородской области. Беглый просмотр показал, что это лабораторные анализы: кровь, моча, кал. На бланках из лаборатории были указаны имена, отчества и фамилии пациентов, даты их рождения, дата и время обследования, имя врача и название медучреждения. Общий объём электронных файлов составил около 25 гигабайт.

Судя по времени создания папок и файлов, их выгружали постепенно, каждый день: по всей видимости, для обмена с другими медучреждениями. И, что самое страшное, при желании эти сведения можно было удалить или внести в них изменения.

 

Скриншот одного из нескольких тысяч анализов, попавших в Сеть Скриншот одного из нескольких тысяч анализов, попавших в Сеть

Человеческий фактор

«Это явно человеческий фактор, – прокомментировал ситуацию IT-специалист Сергей Мирошников. – Файловый сервер был доступен из интернета. Использовалась устаревшая версия протокола обмена файлами, от которой компания – разработчик операционной системы рекомендовала отказаться ещё в 2016 году. Возможно, сервер в обход файрвола (межсетевого экрана) был помещён в так называемую демилитаризованную зону – область, куда специально выдвигаются серверы или другие участники Сети и в которую есть доступ из интернета. У подключившегося гостя была возможность править и удалять файлы. Это недопустимо. Эти ошибки видны просто при беглом осмотре. Возможно, есть и другие уязвимости в программном обеспечении».

Проще говоря, данные о состоянии здоровья белгородцев стали доступны всем из‑за банальной халатности или некомпетентности какого‑то медучреждения. Какого именно – неизвестно.

По словам Сергея Мирошникова, для минимизации рисков нужно заранее просчитать места уязвимости в хранении данных:

«Я знаю, как хранят коммерческую информацию. Прописывают, на каких серверах она находится и при каких обстоятельствах к ней можно получить доступ – вплоть до учётных данных и списка разрешённых устройств, с которых она будет доступна. Медицинская информация должна храниться ещё строже. В описанном случае с открытыми данными, видимо, виноваты люди, которые в принципе не представляют, что такое компьютерная безопасность. Возможно, их работа даже не связана с информационными технологиями».

P. S. Мы не стали провоцировать злоумышленников и не публиковали текст до того, как уязвимость закроют. Сейчас данные белгородцев защищены – будем надеяться, что навсегда.

Наталия Козлова

Ваш браузер устарел!

Обновите ваш браузер для правильного отображения этого сайта. Обновить мой браузер

×