12NEWS: Эксперты Infosecurity рассказали о защите КИИ и данных при внедрении ИИ в фарме

Компания Infosecurity (ГК Softline) приняла участие в Дне технологий «Фарма 2026: ИТ-суверенитет в эпоху ИИ». Эксперты Александр Метальников и Евгений Завричко выступили с докладами об актуальных требованиях к критической информационной инфраструктуре (КИИ) и подходах к защите данных при внедрении искусственного интеллекта в фармацевтической отрасли.

Мероприятие собрало ИТ- и ИБ-экспертов, а также представителей фармацевтических организаций для диалога о технологическом суверенитете и развитии отрасли. Основными темами дискуссий стали регуляторные изменения в сфере защиты КИИ, специфика работы с искусственным интеллектом на всех этапах создания лекарств и обеспечение безопасности исследовательских данных.

Рассказывая о регуляторных требованиях, Александр Метальников обратил внимание фармкомпаний на необходимость проверить состав объектов КИИ и корректность категорирования. При оценке значимости необходимо учитывать взаимосвязи систем, сценарии кибератак и масштаб их последствий. Разделение объекта на небольшие подсистемы или исключение систем на стадии разработки может исказить оценку.

После категорирования организациям необходимо разработать модель угроз и документацию, спроектировать и внедрить систему защиты. В плане развития инфраструктуры также нужно учитывать переход на доверенные программно-аппаратные комплексы и задачи импортозамещения ПО. Кроме того, с марта 2027 года вводится регулярная оценка защищенности значимых объектов КИИ.

Вторым ключевым вектором дискуссий стало безопасное применение ИИ, сценарии которого в фарминдустрии охватывают весь путь от доклинических исследований до контроля производства и логистики. Евгений Завричко рассказал о рисках, связанных с использованием нейросетей, и важности разграничения ответственности между бизнесом, ИТ- и ИБ-подразделениями. Для каждого сценария в компании важно определить, какие данные использует ИИ-модель и с какими системами взаимодействует.

Особое внимание спикер уделил феномену «теневого ИИ», когда сотрудники без ведома руководства загружают во внешние сервисы фрагменты исследовательских данных, производственной документации или внутреннего кода. Когда сотрудники пользуются нейросетями без согласованных правил, они могут отправить во внешний сервис конфиденциальные сведения — например, настройки систем или ключи доступа. Кроме того, код, предложенный нейросетью, может содержать ошибки или уязвимости, поэтому его нужно проверять перед запуском.

Как именно ИИ-сервис хранит и использует отправленные данные, зависит от его условий и настроек. Чтобы снизить риски, компании важно понимать, какими ИИ-сервисами пользуются сотрудники, и объяснить, какие данные туда можно отправлять.