Судебный акт #1 (Решение) по делу № 2-1534/2024 (2-5389/2023;) ~ М-4231/2023 от 22.12.2023

Дело №2-1534/2024

РЕШЕНИЕ

ИМЕНЕМ РОССИЙСКОЙ ФЕДЕРАЦИИ

22 марта 2024 года                                                                                            г.Смоленск

Ленинский районный суд г.Смоленска

в составе:

председательствующего: Кудряшова А.В.

при секретаре:     Дедовой Е.Е.,

рассмотрев в открытом судебном заседании гражданское дело по иску прокурора Ленинского района г.Смоленска в интересах неопределенного круга лиц к Министерству здравоохранения Смоленской области, ОГАУЗ «Смоленский областной информационно-аналитический центр», ОГБУЗ «Смоленский областной институт патологии» о возложении обязанности по разработке организационных и технических мер, направленных на защиту информации в соответствии с классом защищенности и категории значимости объекта,

у с т а н о в и л:

прокурор Ленинского района г.Смоленска в интересах прав, свобод и законных интересов неопределенного круга лиц, уточнив требования, обратился в суд с иском к ответчикам о возложении на ОГБУЗ «Смоленский областной институт патологии» обязанности по разработке организационных и технических мер, направленных на защиту информации в соответствии с классом защищенности и категории значимости объекта, сославшись на неисполнение названным учреждением здравоохранения, являющимся оператором персональных данных и субъектом критической информационной инфраструктуры, названной обязанности, что, в свою очередь, может повлечь создание условий для неправомерных действий.

Представитель прокуратуры Гончарук Э.А. в судебном заседании поддержала заявленные исковые требования, отметив, что разработка организационных и технических мер, направленных на защиту информации в соответствии с классом защищенности и категории значимости объекта, на момент разрешения спора ОГБУЗ «Смоленский областной институт патологии» не осуществлена.

Представители Министерства здравоохранения Смоленской области Алексеева О.А. и ОГАУЗ «Смоленский областной информационно-аналитический центр» Кирпенко А.А. в ходе судебного разбирательства возражали против удовлетворения иска, указав, что надлежащим ответчиком по делу является ОГБУЗ «Смоленский областной институт патологии».

Представители ОГБУЗ «Смоленский областной институт патологии» Киселева И.В. и Купченко А.В. в судебном заседании сослались на принятие учреждением организационных и технических мер, направленных на защиту информации в соответствии с классом защищенности и категории значимости объекта.

Суд, заслушав объяснения участников процесса, исследовав письменные доказательства, приходит к следующим выводам.

В силу ч.1 ст.91 Федерального закона от 21.11.2011 №323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» информационное обеспечение в сфере здравоохранения осуществляется посредством создания, развития и эксплуатации федеральных государственных информационных систем в сфере здравоохранения, информационных систем в сфере здравоохранения Федерального фонда обязательного медицинского страхования, в том числе развития и эксплуатации государственной информационной системы обязательного медицинского страхования, и территориальных фондов обязательного медицинского страхования, государственных информационных систем в сфере здравоохранения субъектов Российской Федерации, медицинских информационных систем медицинских организаций, информационных систем фармацевтических организаций.

Согласно п.1 ч.1 ст.13 Федерального закона от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации» государственные информационные системы - федеральные информационные системы и региональные информационные системы, созданные на основании соответственно федеральных законов, законов субъектов Российской Федерации, на основании правовых актов государственных органов.

Пунктом 8 ст.2 Федерального закона от 26.07.2017 №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» под субъектами критической информационной инфраструктуры понимаются государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат    информационные    системы,    информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно- энергетического комплекса, в области атомной энергии, оборонной, ракетно- космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей.

В соответствии с ч.4. ст.6, ч.1 ст.16 Федерального закона «Об информации, информационных технологиях и о защите информации» обладатель информации при осуществлении своих прав обязан соблюдать права и законные интересы иных лиц; принимать меры по защите информации; ограничивать доступ к информации, если такая обязанность установлена федеральными законами. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на: обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации; соблюдение конфиденциальности информации ограниченного доступа; реализацию права на доступ к информации.

По правилам ч.1 ст.19 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

На основании п.10 Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования, утв. приказом ФСТЭК России от 21.12.2017 №235, руководитель субъекта критической информационной инфраструктуры создает или определяет структурное подразделение, ответственное за обеспечение безопасности значимых объектов критической информационной инфраструктуры, или назначает отдельных работников, ответственных за обеспечение безопасности значимых объектов критической информационной инфраструктуры.

Целью Стратегии развития здравоохранения в Российской Федерации на период до 2025 года, утв. Указом Президента Российской Федерации от 06.06.2019 №254, является в числе прочего создание единого цифрового контура в здравоохранении на основе единой государственной информационной системы в сфере здравоохранения (ЕГИСЗ).

В рамках реализации данного Указа Правительством Российской Федерации и исполнительными органами субъектов Российской Федерации организована работа по построению на базе ЕГИСЗ и иных информационных систем единого цифрового контура. Для достижения указанных целей Министерством здравоохранения Российской Федерации с исполнительными органами субъектов Российской Федерации заключены соглашения о предоставлении субсидии в рамках реализации федерального проекта «Создание единого цифрового контура в здравоохранении на основе ЕГИС», о реализации региональных проектов «Создание единого цифрового контура в здравоохранении на ЕГИС».

Постановлением Администрации Смоленской области от 29.11.2013 №983 утверждена областная государственная программа «Развитие здравоохранения в Смоленской области», которой предусмотрено мероприятие по созданию единого цифрового контура в здравоохранении на основе ЕГИЗС. Данная региональная программа направлена на достижение целей и показателей федерального проекта «Создание единого цифрового контура в здравоохранении на основе ЕГИЗС» национального проекта «Здравоохранения».

Государственная информационная система в сфере здравоохранения Смоленской области (ГИСЗ Смоленской области) создана на основании постановления Администрации Смоленской области от 30.06.2023 №361, согласно п.3.1 которого Министерство здравоохранения Смоленской области является координатором и государственным заказчиком создания, развития и эксплуатации ГИСЗ Смоленской области, а также осуществляет от имени Смоленской области правомочия и обязанности обладателя информации, содержащейся в ГИСЗ Смоленской области.

ОГАУЗ «Смоленский областной информационно-аналитический центр» является оператором ГИСЗ Смоленской области, а также оператором инфраструктуры, обеспечивающей функционирование ГИСЗ Смоленской области (ввод в эксплуатацию, вывод из эксплуатации, эксплуатацию центрального сегмента ГИСЗ Смоленской области, защищенной сети передачи данных и обеспечение информационной безопасности) (п.п.3.2, 3.3 постановления Администрации Смоленской области от 30.06.2023 №361).

По делу установлено, что ОГБУЗ «Смоленский институт патологии» в соответствии с актом передачи от ДД.ММ.ГГГГ как учреждение здравоохранения (бюджетная некоммерческая организация) является правопреемником Смоленского областного патологоанатомического бюро.

Согласно п.п.1.4-1.6 Устава ОГБУЗ «Смоленский институт патологии», утв. распоряжением Администрации Смоленской области от ДД.ММ.ГГГГ №№-р/адм, учредителем и собственником имущества учреждения является субъект Российской Федерации - Смоленская область, а органами, осуществляющими полномочия собственника имущества ОГБУЗ «Смоленский институт патологии», являются Администрация Смоленской области, Департамент имущественных и земельных отношений Смоленской области и Департамент Смоленской области по здравоохранению (после переименования - Министерство здравоохранения Смоленской области), осуществляющий также функции и полномочия учредителя ОГБУЗ «Смоленский институт патологии».

Приказом Департамента Смоленской области по здравоохранению от ДД.ММ.ГГГГ №№ утверждены целевые показатели выполнения регионального проекта «Создание единого целевого контура в здравоохранении на основании единого государственной информационной системы здравоохранения (ЕГИСЗ)» на 2023г. и перечень медицинских организаций Смоленской области, участвующих в реализации данного проекта, в который под №№ значится ОГБУЗ «Смоленский областной институт патологии».

ОГБУЗ «Смоленский областной институт патологии» также поименовано в приказе Министерства здравоохранения Смоленской области от ДД.ММ.ГГГГ №№ «Об утверждении целевых показателей выполнения регионального проекта «Создание единого целевого контура в здравоохранении на основании единого государственной информационной системы здравоохранения (ЕГИСЗ)» на 2024г.» в качестве медицинской организации Смоленской области, участвующей в реализации названного регионального проекта (№№).

По информации ОГАУЗ «Смоленский областной информационно-аналитический центр» в 2022г. в связи с реализацией цифрового контура и необходимостью передачи ЭМД «Свидетельство о смерти» ОГБУЗ «Смоленский областной институт патологии» передано 24 комплекта АРМ, серверное оборудование, а также организовано подключение для передачи сведений. ОГБУЗ «Смоленский областной институт патологии» является оператором персональных данных и субъектом критической информационной инфраструктуры, что обязывает данное Учреждение проводить организационно-технические мероприятия по защите информации в соответствии с классом защищенности ИСПДн и категории значимости объекта КИИ. ОГБУЗ «Смоленский областной институт патологии» ДД.ММ.ГГГГ завершило категорирование объектов КИИ, в соответствии с которым в собственности Учреждения находится 7 незначимых объектов КИИ.

Согласно приказу ОГБУЗ «Смоленский областной институт патологии» от ДД.ММ.ГГГГ №№-ЛП, изданному во исполнение указания Департамента Смоленской области по здравоохранению от ДД.ММ.ГГГГ №№ и в соответствии с решением Комиссии по информационной безопасности Департамента Смоленской области по здравоохранению от ДД.ММ.ГГГГ, полномочия по обеспечению информационной безопасности ОГБУЗ «Смоленский областной институт патологии», в том числе по обнаружению, предупреждению ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты, возложены на заместителя директора по экономическим вопросам Купченко А.В.

В ДД.ММ.ГГГГ. прокуратурой Ленинского района г.Смоленска по поручению прокуратуры Смоленской области проведена проверка исполнения ОГБУЗ «Смоленский областной институт патологии» государственной программы на создание и развитие информационных систем в сфере здравоохранения, в ходе которой выявлены нарушения ст.19 Федерального закона от 27.07.2006 №152-ФЗ, ст.16 Федерального закона от 27.07.2006 №149-ФЗ и п.10 упомянутых выше Требований от 21.12.2017, выразившиеся в отсутствии разработанных организационных и технических мер, направленных на защиту информации в соответствии с классом защищенности и категории значимости объекта, отсутствие ответственного специалиста по безопасности, прошедшего обучение по направлению «Информационная безопасность».

УФСБ РФ по Смоленской области направлено в адрес ОГБУЗ «Смоленский областной институт патологии» представление от ДД.ММ.ГГГГ №№ об устранении причин и условий, способствовавших совершению административного правонарушения, с указанием на то, что ДД.ММ.ГГГГ в связи с обнаружением признаков административного правонарушения, предусмотренного ч.6 ст.13.12 КоАП РФ, в отношении лица, ответственного за обеспечение информационной безопасности в ОГБУЗ «Смоленский областной институт патологии» – заместителя директора по экономическим вопросам Купченко А.В. составлен протокол об административном правонарушении №№.

В данном представлении отмечено, что в Учреждении при обработке персональных данных нарушаются требования приказа ФСБ России от ДД.ММ.ГГГГ №№, а именно: в нарушение подп. «в» п.6 не определен перечень лиц, имеющих право доступа в помещения, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключей, аутентифицирующей и парольной информации СКЗИ, в рабочее и нерабочее время, а также в нештатных ситуациях; в нарушение подп. «а» п.7 не осуществляется хранение съемных машинных носителей персональных данных в сейфах (металлических шкафах), оборудованных внутренними замками с двумя или более дубликатами ключей и приспособлениями или кодовыми замками; в нарушение подп. «б» п.7 не осуществляется поэкземплярный учет машинных носителей персональных данных, который достигается путем ведения журнала учета носителей персональных данных с использованием регистрационных (заводских) номеров; в нарушение подп. «б» п.8 документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационных системах, необходим для выполнения ими служебных (трудовых) обязанностей, не поддерживается в актуальном состоянии; в нарушение подп. «б» п.9 не сформирована и не утверждена совокупность предложений о возможностях, которые могут использовать при создании способов, подготовке и проведении атак, требуемый класс СКЗИ с учетом актуальных угроз не определен. Причинами совершения административного правонарушения является недостаточное знание лицом, ответственным за обеспечение информационной безопасности в ОГБУЗ «Смоленский областной институт патологии» отдельных положений нормативных актов Российской Федерации в области защиты информации, ненадлежащее исполнение им своих должностных обязанностей, а также слабый контроль со стороны руководителя Учреждения за соблюдением требований законодательства о защите информации.

Письмом от ДД.ММ.ГГГГ №№ ОГБУЗ «Смоленский областной институт патологии» уведомило УФСБ РФ по Смоленской области об устранении причин и условий, способствовавших совершению административного правонарушения, а именно: определен перечень лиц, имеющих право доступа в помещения, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключей, аутентифицирующей и парольной информации СКЗИ, в рабочее и нерабочее время, а также в нештатных ситуациях; заведен журнал учета машинописных носителей персональных данных; актуализирован перечень лиц, доступ которых к персональным данным, обрабатываемых в информационных системах, необходим для выполнения ими служебных обязанностей; разработана совокупность предложений о возможностях, которые могут использовать при создании способов, подготовке и проведении атак на информационные ресурсы Учреждения. Одновременно сообщено, что в 2024г. планируется провести обучение лица, ответственного за обеспечение информационной безопасности в Учреждении, а также осуществить закупку сейфов для хранения съемных персональных данных, оборудованных внутренними замками с двумя дубликатами ключей и приспособлениями для опечатывания замочных скважин.

ДД.ММ.ГГГГ между АНО ДПО ЦПК «АИС» и ОГБУЗ «Смоленский областной институт патологии» заключен договор №№ об оказании платных образовательных услуг по программам профессиональной переподготовки «Информационная безопасность. Обеспечение защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, криптографическими и некриптографическими методами» и «Информационная безопасность. Основы обеспечения безопасности значимых объектов КИИ» с периодом обучения с ДД.ММ.ГГГГ по ДД.ММ.ГГГГ и с ДД.ММ.ГГГГ по ДД.ММ.ГГГГ соответственно.

Исходя из объяснений представителей ОГБУЗ «Смоленский областной институт патологии», на момент принятия настоящего судебного решения обучение работника Учреждения по указанным программам профессиональной переподготовки не завершено.

При таком положении, поскольку выявленные нарушения законодательства в области защиты информации и требований государственной программы на создание и развитие информационных систем в сфере здравоохранения ОГБУЗ «Смоленский областной институт патологии» в полном объеме не устранены, суд возлагает на Учреждение обязанность по разработке в срок до ДД.ММ.ГГГГ организационных и технических мер, направленных на защиту информации в соответствии с классом защищенности и категории значимости объекта.

В удовлетворении иска к Министерству здравоохранения Смоленской области и ОГАУЗ «Смоленский областной информационно-аналитический центр» надлежит отказать, поскольку последние являются ненадлежащими ответчиками по делу.

На основании изложенного, руководствуясь ст.ст.194, 198 ГПК РФ, суд

решил:

исковые требования прокурора Ленинского района г.Смоленска, предъявленные в интересах неопределенного круга лиц, удовлетворить частично.

Возложить на ОГБУЗ «Смоленский областной институт патологии» обязанность по разработке в срок до ДД.ММ.ГГГГ организационных и технических мер, направленных на защиту информации в соответствии с классом защищенности и категории значимости объекта.

В удовлетворении иска к Министерству здравоохранения Смоленской области, ОГАУЗ «Смоленский областной информационно-аналитический центр», отказать.

Решение может быть обжаловано в апелляционном порядке в Смоленский областной суд через Ленинский районный суд г.Смоленска в течение одного месяца.

    Судья                                                       А.В. Кудряшов

«КОПИЯ ВЕРНА»подпись судьи                         А.В. Кудряшовсекретарь судебного заседания Ленинского районного суда г. Смоленска Е.Е. Дедованаименование должности уполномоченного работника аппарата федерального суда общей юрисдикции                                                           2024.

УИД: 67RS0002-01-2023-227634-69

Подлинный документ подшит в материалы дела № 2-1534/2024