Информационная безопасность медицинских изделий.
В одной из первых комплексных работ, посвященных телемедицинским технологиям в России, обращалось внимание на необходимость обеспечения информационной безопасности сетей, вовлеченных в оказание телемедицинских услуг <12>. Однако анализ действующего законодательства свидетельствует о том, что на сегодня данный вопрос учитывается не в должной мере.
<12> Наумов В.Б., Савельев Д.А. Правовые аспекты телемедицины / Под ред. Р.М. Юсупова, Р.И. Полонникова. СПб., 2002. С. 53.
Согласно ч. 4 ст. 38 ФЗ-323 разрешается обращение только зарегистрированных медицинских изделий. Регистрация осуществляется в порядке, установленном Постановлением Правительства РФ от 27 декабря 2012 г. N 1416 "Об утверждении Правил государственной регистрации медицинских изделий" (далее - Постановление N 1416). Одним из ключевых этапов регистрации медицинских изделий является прохождение экспертизы качества, эффективности и безопасности <13>.
<13> Приказ Минздрава России от 21 декабря 2012 г. N 1353н (ред. от 03.06.2015) "Об утверждении Порядка организации и проведения экспертизы качества, эффективности и безопасности медицинских изделий" // СПС "КонсультантПлюс".
Исходя из определений, сформулированных в Постановлении N 1416, безопасность медицинского изделия - это отсутствие недопустимого риска причинения вреда жизни, здоровью человека и окружающей среде при использовании медицинского изделия по назначению в условиях, предусмотренных производителем (изготовителем). Исследование безопасности основывается на результатах технических, клинических испытаний и токсикологических исследований. Такое определение безопасности не учитывает устойчивость медицинского изделия к уязвимостям в смысле возможного дистанционного взлома устройства, безопасности передачи данных такими устройствами.
Ввиду того что проблема информационной безопасности не стояла так явно на момент принятия нормативных правовых актов, регулирующих процедуру государственной регистрации, порядок проведения экспертизы качества, эффективности и безопасности медицинских изделий (2012 г.), скорее всего, она не принималась во внимание. В то же время с учетом быстрого распространения подключенных медицинских изделий, которые могут использоваться гражданами самостоятельно, а также при оказании им телемедицинских услуг соответствующие особенности медицинских изделий должны учитываться при проведении их экспертизы.
Какие меры необходимо принять для обеспечения информационной безопасности умных медицинских изделий? В качестве первоочередных необходимо назвать выработку стандартов информационной безопасности медицинских изделий с учетом распространенных рисков, угроз и уязвимостей в информационной безопасности умных медицинских изделий.
Международная организация по стандартизации (далее - ISO) уже опубликовала линейку стандартов, ориентированных на информационное здравоохранение <14> и управление информационной безопасностью. Часть стандартов принята и в России, однако аналог Стандарта ISO 27799:2016 "Информатика в здравоохранении. Менеджмент информационной безопасности по стандарту ISO/IEC 27002" в России отсутствует.
<14> Application of risk management for IT-networks incorporating medical devices. Part 1: Roles, responsibilities and activities IEC 80001-1:2010. URL: https://www.iso.org/standard/44863.html (дата обращения: 29.11.2018).
Еще одним ориентиром может быть Регламент Европейского союза 2017/745 от 5 апреля 2017 г. <15>. В ст. 17 Регламента указывается, что устройства с информационными системами или информационные системы как устройства сами по себе должны быть спроектированы и произведены в соответствии с наиболее современным состоянием техники с учетом вопросов информационной безопасности. Кроме того, предусматривается обязанность производителей устанавливать минимальные требования, касающиеся аппаратной части изделий, информационных систем и средств их защиты, включая меры по защите против несанкционированного доступа к изделиям.
<15> Regulation of the European Parliament and of the Council of 5 April 2017 on medical devices No. 2017/745 // EUR-lex. URL: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32017R0745 (дата обращения: 29.11.2018).
Учитывая вышесказанное, применительно к медицинским изделиям потребуется как минимум внесение изменений:
- в ФЗ-323 в части требований, предъявляемых к медицинским изделиям;
- Постановление Правительства N 1416 в части включения обязательного соответствия медицинского изделия требованиям информационной безопасности;
- Приказ Минздрава от 21 декабря 2012 г. N 1353н "Об утверждении Порядка организации и проведения экспертизы качества, эффективности и безопасности медицинских изделий";
- Приказ Минздрава России от 6 июня 2012 г. N 4н "Об утверждении номенклатурной классификации медицинских изделий" в части классификации медицинских изделий в зависимости от потенциального риска их применения. Представляется, что установление возможности подключения медицинского изделия к беспроводным сетям повышает риск его применения.
В качестве первоочередных требований к информационной безопасности умных медицинских изделий можно назвать следующие. Например, требования к операционным системам устройств "Интернета вещей", программным интерфейсам приложений, иным средствам взаимодействия программного обеспечения устройств "Интернета вещей", пользовательским приложениям. Требования должны касаться стандартов защиты информации, безопасности обмена информацией, порядка аутентификации пользователей <16>. Помимо этого, могут быть предусмотрены требования к идентификации. Для умных медицинских изделий предпочтительно использовать двухфакторную систему (с помощью СМС-сообщения, телефонного вызова, USB-устройства или программного приложения), в целях обеспечения более надежной защиты.
<16> Архипов В.В., Наумов В.Б., Пчелинцев Г.А., Чирко Я.А. Открытая концепция регулирования Интернета вещей // Информационное право. 2016. N 2 // СПС "КонсультантПлюс".
Учитывая, что умные медицинские изделия теперь могут использоваться для оказания пациентам медицинских услуг, должны быть выработаны требования и к информационным системам медицинских учреждений. Например, это могут быть механизмы обнаружения и предотвращения вторжений, использование систем сетевой защиты, в том числе антивирусов, регулярное осуществление резервного копирования информации. Первые шаги в этом направлении в России уже сделаны. Так, 26 июля 2017 г. принят Федеральный закон N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации", в котором одними из субъектов критической информационной инфраструктуры выступают государственные учреждения, юридические лица, функционирующие в сфере здравоохранения.
