Комплексний аудит систем контролю витоків даних на об'єктах медичного спрямування

Левицька М. В. Комплексний аудит систем контролю витоків даних на об'єктах медичного спрямування : пояснювальна записка кваліфікаційної роботи : 125 Кібербезпека / наук. кер. С. Даков. Київ, 2025. 173 с.

Кваліфікаційна робота складається зі вступу, трьох розділів, загальних висновків, списку використаних джерел та додатків, має 54 сторінки основного тексту, 9 таблиць, 5 рисунків та 9 додатків. Список використаних джерел містить 20 найменувань і займає 3 сторінки.
Мета кваліфікаційної роботи полягає підвищенні ефективності систем захисту персональних даних, шляхом розробки рекомендацій щодо удосконалення систем контролю витоків персональних даних в об'єктах критичної інфраструктури медичного спрямування з урахуванням вимог міжнародних стандартів (HIPAA, GDPR та NIST CSF 2.0) і сучасних методів захисту інформації.
Для досягнення поставленої мети необхідно вирішити наступні завдання:
− дослідити проблему витоків персональних даних у медичних ОКІ, зокрема аналіз актуальних інцидентів і кіберзагроз у медичних закладах;
− провести аналіз ризиків та сформувати матрицю ризиків витоку персональних даних відповідно до вимог GDPR;
− дослідити нормативні вимоги щодо захисту персональних даних, визначені стандартами HIPAA, GDPR та NIST CSF 2.0;
− розглянути існуючі методи, засоби і технології захисту інформації в медичних ОКІ;
− розробити модель загроз та модель потенційного порушника безпеки для ІС ОКІ медичного спрямування;
− сформувати High-Level Design (HLD) та надати конкретні рекомендації щодо впровадження нових та покращення існуючих заходів та засобів захисту персональних даних відповідно до HIPAA та NIST CSF 2.0.
Об'єктом дослідження кваліфікаційної роботи є процес забезпечення захисту персональних даних в інформаційних системах медичних закладів, які є об'єктами критичної інфраструктури.
Предметом дослідження є методи, засоби, стандарти та практичні рекомендації щодо підвищення рівня захисту персональних даних у медичних інформаційних системах.
Практична цінність роботи полягає у розробці комплексних методичних рекомендацій, спрямованих на удосконалення та посилення захисту персональних даних у медичних установах. У межах дослідження створено моделі загроз, порушників і ризиків, запропоновано архітектуру HLD-захисту відповідно до вимог міжнародних стандартів HIPAA, GDPR і NIST CSF 2.0, а також сформовано покрокову дорожню карту для впровадження необхідних заходів безпеки. Крім того, розроблено авторську методологію оцінювання зрілості систем захисту персональних даних та наведено дієві рекомендації щодо виявлення, реагування та усунення інцидентів витоку інформації.
Методами дослідження кваліфікаційної роботи є:
− аналіз наукових джерел та НПА;
− аналіз документів та звітів про інциденти КБ;
− порівняльний аналіз міжнародних стандартів (HIPAA, GDPR, NIST CSF 2.0);
− узагальнення зарубіжної та вітчизняної практики;
− формалізація моделі загроз і моделі порушника; − розробка рекомендацій щодо впровадження заходів кіберзахисту.
У роботі проаналізована існуюча література та нормативні акти з питань захисту персональних даних у медичних закладах, виконано детальний аналіз документів, порівняльний аналіз міжнародних стандартів та вітчизняного законодавства, досліджено та узагальнено вітчизняну і зарубіжну практику щодо захисту персональних даних пацієнтів у медичних об'єктах критичної інфраструктури.
Проведено аналіз ризиків та сформована матриця ризиків витоку персональних даних відповідно до вимог GDPR. Побудовані модель загроз та модель потенційного порушника інформаційної безпеки, які наведені у додатках.
Розроблено рекомендації щодо удосконалення систем контролю витоків персональних даних із застосуванням міжнародних стандартів HIPAA, GDPR та NIST CSF 2.0. Сформовано High-Level Design (HLD) рішення, що містить чіткі вказівки щодо впровадження нових та удосконалення існуючих заходів і засобів захисту персональних даних.
Розроблені рекомендації призначені для керівників і співробітників медичних закладів, спеціалістів у сфері інформаційної безпеки та осіб, відповідальних за обробку і захист персональних даних у медичних об'єктах критичної інфраструктури.