Курсовая с практикой на тему Разработка плана аудита иб для медицинского центра по защите персональных данных

Содержание:

ВВЕДЕНИЕ 3

1. Система проведения аудита 4

2. План проведения аудита в медицинском центре 11

ЗАКЛЮЧЕНИЕ 16

СПИСОК ИСТОЧНИКОВ 17

Введение:

Клиники, медицинские центры, другие учреждения здравоохранения сталкиваются с большим количеством персональных данных, как сотрудников, так и клиентов. Многие документы попадают в категорию врачебной тайны. Поэтому информационная безопасность в медицине переходит на новый уровень. Медучреждения переходят на электронный документооборот, автоматизируется ведение электронного учета или медицинских карт пациентов. Нельзя сказать, что вопросом оптимизации регистратур или безопасности баз данных заинтересовались в системе здравоохранения только сейчас. С развитием информационных технологий ускорился и переход медучреждений на новый уровень обработки и хранения персональных данных. В мед организации проблемы информационной безопасности стоят особенно остро, т. к. речь идет не только об активах, но и о врачебной тайне.

Систематический анализ системы менеджмента информационной безопасности позволяет руководству мед организации успешно проходить проверки надзорных органов в плане сохранения персональных данных. Чтобы выявить слабые места в системе информационной безопасности, необходим аудит. При построении системы менеджмента информационной безопасности необходимо учитывать специфику медорганизации.

Объект исследования: медицинский центр.

Предмет исследования: Разработка плана аудита для медицинского центра по защите персональных данных.

Цель исследования: разработать план аудита для медицинского центра по защите персональных данных.

Задача исследования:

— изучить особенности проведения аудита;

— разработать план. аудита для медицинского центра по защите персональных данных.

Заключение:

Целью закона «О персональных данных» №152-ФЗ является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Персональные данные обрабатываются всеми юридическими, а также физическими лицами без исключения. И во многих случаях характер обработки ПД подпадает под требования Закона. Субъектами персональных данных могут быть работники, клиенты, обучающиеся, руководители организации, акционеры. В отношении каждого из них можно идентифицировать десятки правовых ситуаций, требующих правильного решения.

Привлекательность медицинских центров для киберпреступников объясняется тем, что их информационные системы содержат различную конфиденциальную информацию, включая личные данные пациентов, номера банковских карт (кредитных, дебетовых), медицинские сведения.

Если система безопасности функционирует правильно, можно говорить о выполнении в полной мере всех ее функций. Медицинские учреждения выступают операторами персональных данных, а это означает, что обеспечение безопасности входит в зону их ответственности.

Законодательство запрещает предоставлять третьим лицам и распространять персональные данные без согласия пациента.

Для контроля выполнения этих требований требуется проводить аудит соответствия обработки персональных данных требованиям закона, подзаконным нормативно-правовым актам, политике оператора в отношении обработки персональных данных и внутренним локальным актам оператора.

Фрагмент текста работы:

1. Система проведения аудита

Система менеджмента информационной безопасности сохраняет конфиденциальность, целостность и доступность информации за счет применения процесса управления рисками и дает заинтересованным сторонам уверенность в том, что риски надлежащим образом управляются.

Важно, чтобы система менеджмента информационной безопасности организации составляла часть процессов и структуры управления организации и была интегрирована с ними. Также важно, чтобы информационная безопасность учитывалась при проектировании процессов, информационных систем и средств управления. Предполагается, что система менеджмента информационной безопасности будет адаптироваться к потребностям организации.

Сфера информационной безопасности образовалась, получила широкое развитие и всеобщую популяризацию в связи с постоянно растущим числом информационных атак в совокупности с необходимостью защиты от них и всевозможных рисков. Само по себе, определение риска информационной безопасности можно обобщенно рассматривается как возможность того, что может произойти определенное неблагоприятное событие, имеющее определенный размер наносимого ущерба и ожидаемую вероятность наступления с негативными последствиями [7]. Основными рисками информационной безопасности являются:

• риск утечки конфиденциальной информации;

• риск потери и/или недоступности важных данных;

• риск нарушения целостности информации и/или важных данных;

• риск неправомочной эксплуатации информационных ресурсов;

• риск распространения дискредитирующей во внешней среде информации, угрожающей репутации организации и т. п. [7].

При построении системы менеджмента информационной безопасности