Утечки данных в медорганизациях: как защититься ^New

Андрей Головин, ведущий аналитик «СёрчИнформ»

Утечки данных в сфере здравоохранения остаются серьезной проблемой. Медицинские организации хранят огромные массивы чувствительной информации: данные пациентов, диагнозы, результаты анализов, сведения о лечении и пр. Именно поэтому больницы и клиники становятся привлекательной мишенью для мошенников. В 2025 году почти четыре из десяти российских медорганизаций столкнулись с утечками. О том, какие данные утекают чаще всего, кто на них зарабатывает и почему оборотные штрафы не решают проблему целиком – читайте в материале.

Утечек стало больше?

По данным исследования «СёрчИнформ», в 2025 году с утечками информации по вине сотрудников столкнулись 38% медицинских организаций. Годом ранее таких было 30%, в 2023-м — 72%.

Резкое снижение в 2024 году объяснимо. Организации готовились к закону об «оборотных штрафах». Это стимулировало компании принимать ИБ-меры, а сотрудников ответственнее относиться к информационной безопасности. Но эффект оказался недолгим: показатель снова растет.

В 84% случаев медики нарушают правила неумышленно. Типичные сценарии — врач отправляет выписку пациенту с личного телефона, регистратор пересылает результаты анализов не тому адресату, медсестра фотографирует назначения, чтобы свериться с ними позже. Злого умысла нет, но данные уже за периметром организации.

Чаще всего утекают персональные данные — их пытались вынести в 73% организаций, столкнувшихся с инцидентами. Реже — внутренние регламенты и служебная переписка (37%) и финансовая информация (10%).

Главный канал утечек данных — мессенджеры: через них уходили данные в 62% организаций. Далее идут электронная почта (41%), флешки и другие устройства хранения (29%), фотографии экрана на смартфон (23%) и социальные сети (21%).

Как утекают данные из больниц

Сотрудники, которые сливают данные, представляют угрозу для компаний по всему миру. В отличие от хакера, такой нарушитель уже внутри. Он может изучить инфраструктуру, понять, какие средства защиты используются, и передать эту информацию вовне. Может воспользоваться легитимными доступами или выгрузить данные с компьютера коллеги.

В медицине риск усиливает масштаб доступа. С медицинской информационной системой работают врачи, средний медперсонал, регистратура, бригады скорой помощи. Каждая учетная запись — потенциальная точка утечки.

К примеру, сведения о состоянии здоровья являются самой ценной информацией. Так как это одновременно и персональные данные, и врачебная тайна. Поэтому спрос на такие данные устойчивый. Судебная практика показывает самый массовый сценарий: сотрудники медорганизаций за деньги сообщают ритуальным агентствам о смерти пациентов и передают контакты родственников. Агенты приезжают к семье раньше конкурентов.

Вот несколько дел последних двух лет.

Владимирская область. Заведующий паллиативным отделением Вязниковской районной больницы получал взяткиот предпринимательницы из ритуального бизнеса за сведения о смерти пациентов и контакты их родственников. В сентябре 2025 года суд оштрафовал врача на 500 тыс. рублей, предпринимательницу — на 400 тыс. В декабре по той же схеме осудилифельдшера скорой помощи, который имел доступ к базе вызовов и систематически передавал данные об умерших. Итог — 10 эпизодов по ч. 2 ст. 137 УК РФ и штраф 150 тыс. рублей.

Приморье. Бывший врач станции скорой помощи Владивостока продавала ритуальной компании сведения о погибших — по 4 тыс. рублей за каждого. Компания заключила с родственниками как минимум 58 договоров. Суд назначилврачу четыре года лишения свободы по ч. 5 ст. 290 УК РФ (получение взятки в крупном размере).

Пермь. Медсестра скорой помощи за деньги передаваларитуальному агентству данные об умерших и их родственниках. Суд признал ее виновной по ч. 2 ст. 137 УК РФ, назначил штраф и обязал компенсировать моральный вред. В январе 2026 года суд взыскал компенсацию и с самого агента — по 25 тыс. рублей в пользу каждого из трех заявителей.

Также среди мошенников востребованы данные — ФИО, дата рождения, СНИЛС, паспортные данные. Они есть в любой организации, но в медицине к ним почти всегда прилагается диагноз.

Данные о здоровье позволяют мошенникам персонализировать атаку. Родственникам звонят и сообщают, что у человека обострилась болезнь и срочно нужно что-то сделать — оплатить лечение, купить лекарство, перевести деньги. Когда звонящий называет реальный диагноз, жертва перестает сомневаться.

Чем грозит медучреждению утечка данных

Здравоохранение — одна из самых зарегулированных отраслей. Медорганизации обрабатывают огромные массивы персональных данных, многие из них — субъекты КИИ. С 30 мая 2025 года за утечку персональных данных организации грозит штраф до 15 млн рублей, за повторную утечку — оборотный штраф до 3% выручки, но не более 500 млн рублей. С декабря 2024 года действует ст. 272.1 УК РФ: за незаконное использование и передачу компьютерной информации, содержащей персональные данные — штраф до 700 тыс. рублей или лишение свободы. С 1 марта 2026 года ИТ-системы бюджетных медучреждений подпадают под новый приказ ФСТЭК №117.

Ужесточение уже подстегнуло спрос на средства защиты данных (DLP- и DCAP-системы). Отечественные системы защиты от утечек информации (DLP) используют 21% медорганизаций. В 2025 году 23% организаций увеличили бюджеты на ИБ. Больше трети тратят на средства защиты до 500 тыс. рублей в год.

Субъектам КИИ с 2025 года запрещено использовать импортные СЗИ, а переход на российское системное и прикладное ПО часто требует внедрения новых или обновления имеющихся ИБ-средств. Также 38% организаций увеличили бюджеты на ИБ из-за роста цен на ПО и оборудование.

С чего начать защиту

Универсального рецепта нет. Набор мер зависит от понимания задачи руководством, целей ИБ, бюджета, численности персонала и актуальных угроз. Но базовый минимум для медорганизации можно сформулировать так:

• Разграничить доступ к файлам по содержимому. Документ с диагнозом должны открывать только те сотрудники, которым он нужен для работы.
• Ограничить пересылку по неспециализированным каналам. В первую очередь — в мессенджерах, через которые уходит большая часть данных. Ограничения должны быть гибкими, чтобы не мешать рабочей переписке с пациентами.
• Собирать доказательную базу. В случае инцидента беззафиксированных доказательств нарушитель отделывается выговором, а дело не дойдет до суда.
• Обучать персонал. Если 84% нарушений неумышленные, регулярные занятия по цифровой гигиене для врачей, медсестер и регистраторов снижают риск утечки информации.\

Утечка медицинских данных бьет и по пациентам, и по медорганизациям. Первые рискуют стать жертвой мошенников, вторые — получить многомиллионный штраф и потерять доверие пациентов. Поэтому комплексное сочетание современных технологических решений, грамотно выстроенных организационных процессов и соблюдение требований законодательства позволяют существенно снизить риски.

© СёрчИнформ (SearchInform), 2026
© Издание 12NEWS (ИП Маринин А.Л.), 2026