Software & Systems

Известно, что к любой информационной системе предъявляются три основных требования –функциональность, информационная безопасность, совместимость.

В последние годы остро встал вопрос защиты персональных данных граждан, обрабатываемых в информационных системах. Особое место среди систем этого класса занимают медицинские информационные системы (МИС).

Типовая МИС [1, 2] предназначена для поддержки деятельности лечебно-профилактического учреждения (ЛПУ) и отличается от других программных продуктов прежде всего тем, что в ней хранится и обрабатывается персональная и конфиденциальная информация. Юридически медицинские сведения о пациентах относятся к информации, составляющей профессиональную тайну, доступ к ней ограничен и регламентируется действующим законодательством [3]. В соответствии с этим в МИС обязательно должен быть реализован ряд мер по обеспечению безопасности как информации, так и информационной системы в целом, в противном случае использование данной МИС неправомерно. Любой пользователь ЛПУ, получающий доступ к МИС, несет полную (моральную, административную и уголовную) ответственность за обеспечение кон­фиденциальности информации, которую он вносит, использует или передает другим пользователям, то есть обеспечение безопасности и конфиденциальности данных – одно из ключевых требований к современной МИС и его реализация в информационно-комму­никационных и вычислительных системах является актуальной задачей [4].

Таким образом, для использования МИС в учреждениях системы здравоохранения необходимо решение ряда программных, организационно-тех­нических вопросов, в первую очередь связанных с соблюдением врачебной тайны и защитой персональных данных [5].

Более конкретно под безопасностью информации будем понимать состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних или внешних угроз, а также защиту информации (данных) от утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), копирования и блокирования. Под гарантированно защищенной системой – систему, удовлетворяющую критериям политики безопасности в организации, использующей МИС.

Далее представлены разработанные авторами технология, алгоритмы и комплекс средств обеспечения безопасности информации в МИС ExterNET.

Комплексная информационная система Exter­NET функционирует в локальной сети много- профильного стационара Ферганского филиала Республиканского научного центра экстренной медицинской помощи. Она представляет собой интегрированную информационную и функциональную среду, объединяющую модули различных классов МИС, и обеспечивает создание в ЛПУ единого информационного пространства, автоматизирует и оптимизирует организацию лечебно-диагностических процессов и других сторон жизнедеятельности медицинского учреждения от документооборота и ресурсного учета до ведения электронной истории болезни, клинических записей о пациенте, интеграции с медицинским оборудованием, осуществляет информационную, интеллектуальную поддержку деятельности всех служб медицинского учреждения, а также поддержку принятия врачебных и управленческих решений.

Целью авторов были разработка и внедрение в медицинскую практику моделей, технологии и средств обеспечения безопасности электронной информации (информационной безопасности (ИБ)), то есть создание системы безопасности медицинской информации и информационных систем, обеспечивающей решение задач по защите от несанкционированного получения информации (конфиденциальность), изменения (целостность) и удержания (доступность).

Современные технологии предлагают множество различных решений проблемы безопасности конфиденциальной информации, основанных на тех или иных механизмах и так или иначе смещенных в сторону того или иного составляющего вектора. Для определения оптимума уровня информационной безопасности необходимо четко представлять степень взаимодействия всех ее составляющих и влияние их на работу конечного пользователя МИС. Вместе с тем следует учитывать применимость того или иного решения в конкретной ситуации функционирования информационной системы.

Кроме того, БД МИС содержит критически важную информацию, от которой зачастую может зависеть жизнь человека, следовательно, ключевым фактором при создании МИС должны стать обеспечение целостности и сохранности данных, возможность слежения за состоянием системы и ее защищенностью.

Подход к обеспечению безопасности информации должен быть комплексным, то есть необходимо разработать базовую платформу програм- мно-технических и организационных мер защиты, на которую затем наращивать отдельные модули для решения конкретных задач.

При разработке системы безопасности учитывалось, что целью реализации угроз является нарушение определенных для объекта характеристик безопасности (конфиденциальность, целостность, доступность) или создание условий для их нарушения, а именно:

–      несанкционированное ознакомление, модификация и блокировка целевой информации, хранимой и обрабатываемой в МИС;

–      несанкционированное ознакомление с конфигурационными файлами и настройками средств защиты информации;

–      несанкционированная модификация конфигурационных файлов и настроек средств защиты информации;

–      нарушение режимов функционирования программно-технических средств МИС.

Возможными каналами реализации угроз информационной безопасности являются каналы доступа, образованные с использованием штатных средств МИС и специально разработанных технических средств и программного обеспечения.

Авторами разработана политика безопасности информации системы Externet в сети Ферганского филиала Республиканского научного центра экстренной медицинской помощи, предусматривающая принципы, механизмы, набор правил и норм поведения как пользователей, так и учреждений по сбору, обработке, защите и распространению информации. При этом, помимо собственного опыта, использовались международные стандарты ИБ, такие как ISO17799, ISO15408, COBIT, а также директивные документы и рекомендации.

Среди моделей политик безопасности можно выделить два основных класса: дискреционные (произвольные) и мандатные (нормативные). В данном случае за основу взята ролевая модель, в которой управление доступом осуществляется как на основе матрицы прав доступа для ролей, так и с помощью правил, регламентирующих назначение ролей пользователям и их активацию во время сеансов. Ролевая модель наиболее полно удовлетворяет требованиям по защите медицинской информации в условиях клиники и представляет собой особый тип политики, основанной на компромиссе между гибкостью управления доступом, характерной для дискреционных моделей, и жесткостью правил контроля доступа, присущей мандатным моделям.

В информационной системе медицинского учреждения объектами защиты являются:

–      информация в БД СУБД;

–      ресурсы файлового сервера ЛПУ;

–      резервные копии БД СУБД и архивные копии ресурсов файлового сервера;

–      управляющая информация операционной системы, СУБД, АРМ администратора МИС и администратора ИБ;

–      технологический процесс сбора, обработки, хранения и передачи информации в МИС;

–      аппаратно-программный комплекс, обеспечивающий работу МИС.

Современный опыт решения проблем информационной безопасности показывает, что для достижения наибольшего эффекта при организации защиты информации необходимо руководствоваться рядом принципов.

Первым и наиболее важным является принцип непрерывности совершенствования и развития системы информационной безопасности, то есть обеспечение информационной безопасности не может быть разовым мероприятием.

Второй принцип – комплексное использование всего арсенала имеющихся средств защиты во всех структурных элементах лечебного учреждения, а также на всех этапах технологического цикла обработки информации.

Для обеспечения защиты информации и программ в МИС ExterNET применялись правовые, организационно-административные, технические (аппаратно-программные) и другие средства.

Правовые средства препятствуют несанкционированному использованию информации и являются сдерживающим фактором для потенциальных нарушителей.

Организационно-административные средства регламентируют процессы функционирования МИС, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой и пользователей с администраторами системы.

Технические средства выполняют следующие функции защиты: создание препятствий на возможных путях проникновения и доступа потенциальных нарушителей к МИС, идентификацию и аутентификацию пользователей, разграничение прав доступа к ресурсам, регистрацию событий, криптографическую защиту информации.

Программно-технические меры системы безопасности МИС предоставляют средства распределения прав доступа, гарантируя возможность получения доступа пользователя только к той информации и программам, которые необходимы для выполнения функциональных обязанностей.

Исходя из особенностей функционирования МИС, допущенные к ней физические лица имеют разные полномочия на доступ к информационным, программным, аппаратным и другим ресурсам МИС в соответствии с принятой политикой информационной безопасности (правилами).

При функционировании МИС информационная безопасность обеспечивается специальными программными средствами – подсистемой информационной безопасности (ПИБ), выполняющей следующие основные функции:

–      организация санкционированного доступа к данным;

–      мониторинг опасных событий;

–      управление свойствами пользователя МИС;

–      ведение журналов безопасности.

Организация санкционированного доступа к данным относится к общесистемным механизмам. Остальные функции возложены на администратора информационной безопасности МИС. Поскольку МИС ExterNET имеет модульную структуру, в разработанной программе реализована многоуровневая система защиты, а именно:

1-й уровень – защита на уровне аппаратных средств рабочих станций и серверов, активизируемая на каждом компьютере МИС до загрузки операционной системы;

2-й уровень – создание замкнутого интерфейсного окружения и защита на уровне локальных компьютерных ресурсов;

3-й уровень – защита на уровне общих ресурсов компьютерной сети, включая блокирование несанкционированного межсетевого доступа.

Отметим, что МИС обязана предоставлять врачам и другим пользователям необходимую им информацию в соответствии с их функциональными обязанностями и не должна препятствовать в получении этой информации. Вместе с тем закон защищает право граждан на неразглашение информации о состоянии их здоровья. Для этого доступ пользователей к системам, содержащим такую информацию, должен быть авторизованным. При этом для каждого пользователя должен быть определен уровень доступа, то есть очерчен круг функций и информационных ресурсов, к которым он получает доступ. Особое внимание должно уделяться разделению доступа пользователей МИС к различным фрагментам данных и защите информации от несанкционированного доступа, а также от утраты и искажения данных.

Особенность медицинской предметной области обусловливает в разработанной медицинской информационной системе применение двухуровневой модели групп доступа, условно изображенной на рисунке 1.

Совместное применение двух видов групп, одна из которых учитывает уровни прав доступа, а другая медицинскую специальность, которые обрабатываются в Access Control List (ACL – списках контроля доступа) абсолютно всех объектов МИС от сервера до отдельно взятого поля электронного документа в БД МИС, позволяют одновременно обеспечить и максимальную защищенность системы, и максимально эффективную и простую в эксплуатации систему безопасности.

На практике выполнение указанных требований должно осуществляться в МИС собственной системой безопасности, имеющей наивысший приоритет перед любыми другими процессами в МИС. Иными словами, в МИС не должно быть программных или аппаратных модулей, которые могли бы получить доступ к данным или программам МИС в обход системы безопасности. На рисунке 2 представлена схема взаимодействия технических, организационных и программных компонент ПИБ для обеспечения информационной безопасности в МИС ExterNET.

Работа в МИС ExterNET ведется в многопользовательском режиме с разграничением прав доступа. Разграничение доступа обеспечивается за счет идентификации субъектов.

При входе в систему и выдаче запросов на доступ проводится аутентификация пользователей МИС, которая располагает необходимыми данными для идентификации, аутентификации, а также препятствует несанкционированному доступу к ресурсам.

При входе в систему пользователь вводит логин и пароль, после чего система определяет роль (полномочия) данного пользователя и запускает соответствующий модуль. Модуль разрешает доступ только к тем данным, которые необходимы для работы конкретного пользователя согласно матрице доступа. Данную функцию выполняет список контроля доступа ACL, являющийся базовым объектом ПИБ. В нем указаны группы, которым разрешен доступ, и уровень этого доступа. Чтобы обеспечить безопасность данных, система ExterNET ограничивает доступ к информации даже внутри одной группы пользователей. Так, лечащий врач имеет доступ к своим историям болезни и к архивным историям болезни тех пациентов, которых он курировал; заведующий отделением – только к историям болезни пациентов своего отделения; врач-консультант получает доступ к историям болезни заданных (администратором безопасности) отделений и только при наличии соответствующего направления в электронной истории болезни.

Особенность архитектуры системы в том, что данные хранятся на центральном сервере, который размещается в защищенном помещении. На компьютерах пользователей системы персональные данные не хранятся. Серверное оборудование и АРМ медицинского персонала объединены в локальную вычислительную сеть и обеспечивают надежную работу информационной системы.

Все попытки входа в систему фиксируются в электронных журналах. Так можно выявить, кто и когда обращался к системе, отследить попытки подбора пароля и другие потенциально опасные события.

Отметим важную отличительную особенность разработанного программного обеспечения – возможность его использования специалистами учреждения системы здравоохранения, не имеющими специальных знаний в области защиты информации.

Алгоритм работы технологии распределения прав доступа в МИС выглядит следующим образом.

·      При старте МИС выполняется аутентификация пользователя. При этом в зависимости от настроек аутентификация может выполняться только локально или в синхронизации с сервером.

·      В момент первого после аутентификации обращения к серверу создается сеанс связи с сервером. Во время его инициализации система определяет, в какие группы входит данный пользователь, и однозначно ассоциирует пользователя с этими группами. Все дальнейшие действия ИС ExterNET, включая открытие БД, отображение ее элементов дизайна или других программных элементов, а также отображение документов в этих БД, осуществляются только исходя из текущего списка групп доступа, ассоциированных с данным пользователем в данную сессию связи с сервером. Для этого в каждый объект МИС встроен ACL, в котором хранится список групп доступа и сопоставленный каждой группе уровень прав доступа.

·      При последовательном запросе клиентом объектов МИС на стороне сервера осуществляется проверка на наличие или отсутствие необходимых прав доступа к объекту. Учитывая высший приоритет системы безопасности, несанкционированный доступ к такому объекту (серверу, БД, представлению, программе, документу или отдельно взятому полю) становится теоретически и практически невозможным.

При этом в системе на уровне ядра предусмотрены функции протоколирования несанкционированного доступа и программной обработки исключительных ситуаций в коде системы, которые одновременно позволяют администратору видеть все подозрительные с точки зрения безопасности запросы и, с другой стороны, обеспечивают требуемый уровень стабильности и производительности работы приложений системы.

В качестве организационного мероприятия по предотвращению утраты данных рекомендуется резервное копирование. Защита от утечки данных во время резервного копирования обеспечивается двойным шифрованием с разделением доступа к ключам и данным, регламентом резервного ко- пирования и хранения резервных копий БД, разделяющим полномочия копирующего, паролирующего и хранящего копию, и разделением прав доступа – администратор БД и администратор системы.

Защита информации от несанкционированного доступа должна обеспечиваться блокированием доступа к информации:

–      для СУБД – со стороны как персонала, так и тех задач системы, которым данная информация не требуется в силу функционального назначения;

–      на рабочем месте – со стороны пользователей, не обладающих соответствующими полномочиями на доступ к различным информационным ресурсам;

–      по каналам связи – со стороны сетевых пользователей и тех задач системы, которым данная информация не требуется в силу функционального назначения.

Рекомендуются также мероприятия по предотвращению нарушения конфиденциальности, а так­же вредоносного изменения информации в случае проникновения в систему постороннего лица. Данные мероприятия призваны обеспечить выполнение требований инструкции по парольной защите информации.

В заключение отметим, что реализация в условиях клинической практики описанных регламентов, программно-технических, нормативных, организационных и иных средств, предусмотренных в политике безопасности информации системы ExterNET, позволила обеспечить защиту не только медицинской информации, но и программного обеспечения, что с юридической точки зрения является необходимым условием пригодности данной МИС к эксплуатации в ЛПУ.

Литература

1.     Назаренко Г.И., Гулиев Я.И., Ермаков Д.Е. Медицинские информационные системы: теория и практика. Физматлит, 2005. 320 с.

2.     Гулиев А.В., Романов Ф.А., Дуданов И.П., Воронин А.В. Медицинские информационные системы. Петрозаводск: ПетрГУ, 2005. 404 с.

3.     Домарев В.В. Защита информации в медицинских информационных системах: врачебная тайна и современные информационные технологии, клиническая информатика и телемедицина. 2004. Т. 1. № 2. С. 147–154.

4.     Калачаева А., Морозов А., Абдуманонов А., Хошимов В., Халилов А. Алгоритмы и стандарты компьютерных технологий обеспечения безопасности информации в МИС «ExterNET» // Актуальные проблемы организации экстренной медицинской помощи: тр. VII Республ. науч.-практич. конф. Ташкент, 2007. С. 269–273.

5.     Гулиев Я.И., Фохт И.А., Фохт О.А., Белякин А.Ю. Медицинские информационные системы и информационная безопасность. Проблемы и решения // Программные системы: Теория и приложения: тр. Междунар. конф. Переславль-Залесский, 2009. С. 175–206.