Модель нарушителя

Наименование нарушителя

Уровень возможностей (согласно ФСТЭК)

Тип нарушителя

Описание возможностей нарушителя

Пациент

B.1

Внешний

Может попытаться использовать уязвимости в системе для изменения своих данных (например, медкарты), получить доступ к чужим данным через личный кабинет или обойти систему аутентификации.

Работник регистратуры

B.1

Внутренний

Может несанкционированно изменить или удалить данные пациентов, создать дублирующие или фальшивые записи, передать данные третьим лицам (например, мошенникам или конкурентам).

Врач

B.1

Внутренний

Может некорректно вводить данные в информационную систему (ИС), что приведет к утечкам конфиденциальной информации. Может передавать данные пациентов за пределы организации, использовать уязвимости в ИС для личной выгоды (например, изменения диагноза).

Сотрудник IT отдела

B.2

Внутренний

Обладает доступом ко всем системам. Может злоупотреблять привилегиями, изменять данные пациентов, устанавливать бэкдоры для удаленного доступа, отключать журналы аудита или предоставлять доступ к системе сторонним лицам.

Работник отдела кадров

B.1

Внутренний

Может неправомерно передавать данные о больничных листах или других персональных данных сотрудников и пациентов, копировать данные без ведома системы защиты, использовать устаревшие или слабо защищенные системы доступа.

Внешний хакер

B.1 или B.2 или B.3

Внешний

Может попытаться взломать информационные системы поликлиники для кражи данных пациентов (личные данные, результаты анализов), изменения счетов, шантажа или продажи данных на черном рынке. Возможны атаки типа DDoS для блокировки работы ИС.

Конкурент

B.2

Внешний

Может нанести репутационный ущерб через распространение ложной информации о поликлинике, попытаться переманить специалистов или получить доступ к конфиденциальным данным для разработки конкурентных преимуществ.

Может пытаться получить доступ к информации о пациентах или коммерческой деятельности через кибератаки, внедрение шпионского ПО, фишинговые атаки на сотрудников с целью компрометации учетных данных.

Поставщик

B.2

Внешний

Может поставлять некачественные материалы, задерживать поставки или неправильно выставлять счета за услуги и товары.

Персонал надзорных органов

B.2

Внешний

Может злоупотребить доступом к конфиденциальной информации при проведении проверок, передавать данные конкурентам или публиковать их, нарушая правила информационной безопасности. Может использовать социальную инженерию для получения доступа к системе.