Профессиональная тайна: как обезопасить факс в офисе

Короткий ответ: в кабинете врача, адвокатской конторе или административной службе утечки документов, переданных по факсу, почти никогда не связаны с перехватом на линии. Они происходят из-за лотка приёма, поставленного в проходном коридоре, из-за списка номеров, который никто никогда не проверял, из-за титульного листа, на котором уже указано имя пациента или клиента, и из-за отсутствия правила о том, кто забирает документы из аппарата. Профессиональная тайна — статья 226-13 Уголовного кодекса Франции, статья 4 Национального внутреннего регламента адвокатской профессии, статья R. 4127-4 Кодекса общественного здравоохранения для врачей — не заканчивается в тот момент, когда документ выходит из аппарата. Поэтому обеспечение безопасности факса — это прежде всего работа с планировкой и процедурами: переставить аппарат, ограничить доступ, стандартизировать титульный лист, заблокировать адресную книгу, и лишь затем думать о шифровании и электронном приёме.

Реальный риск находится не там, где его ищут

Когда речь заходит о конфиденциальности факса, возражение всегда звучит одинаково: «всё равно это идёт открытым текстом по телефонной сети». В принципе это верно, но на практике именно этот риск наименьший. Прослушивание коммутируемой линии предполагает физический доступ к абонентской линии или судебное предписание. Не этот сценарий заполняет досье CNIL.

Реально фиксируемые инциденты выглядят скорее так. Заключение по результатам визуализирующего исследования, которое двенадцать часов лежит в лотке многофункционального устройства, установленного в зале ожидания групповой практики. Комплект состязательных бумаг, направленный в канцелярию суда, уходит на старый номер коллеги, вышедшего на пенсию, — номер, с тех пор переданный строительной фирме. Титульный лист, на котором крупными буквами написано «Результаты серологии — г-жа Дюпон», полдня лежит сверху стопки. Стажёр, который забирает документы из аппарата «чтобы помочь» и раскладывает их по столам.

Ни одно из этих событий не относится к кибербезопасности. Все они относятся к организации работы. И все они представляют собой, в смысле GDPR, нарушение безопасности персональных данных: несанкционированное раскрытие данных, которое должно быть занесено в реестр нарушений и, если риск для людей высок, доведено до CNIL в течение 72 часов и сообщено заинтересованным лицам. Когда речь идёт о медицинских данных, этот порог достигается быстро.

Составьте карту цепочки: от выходного лотка до ящика стола

Прежде чем что-либо менять, нужно описать то, что происходит на самом деле. Это упражнение занимает час и выполняется в ходе обхода помещений, а не на совещании.

Задайте себе вопросы в порядке движения входящего документа:

1. Где стоит аппарат? В запирающейся комнате, в секретариате, в пространстве, через которое проходят пациенты или клиенты?
2. Кто видит лоток? Можно ли прочитать ожидающий документ из кресла в зале ожидания, от стойки регистрации, из коридора?
3. Кто забирает документы и как часто? Поимённо назначенный сотрудник или «тот, кто мимо проходит»?
4. Что происходит с документом после раздачи? Его сканируют и уничтожают, подшивают в бумажное дело или он валяется на столе?
5. Где заканчивает свой путь бумага? Обычная корзина, общий бак для макулатуры или защищённое уничтожение?
6. Что аппарат хранит в памяти? Многие МФУ сохраняют образ последних принятых документов и подробный журнал, доступные с экрана или через веб-интерфейс устройства, зачастую защищённый заводским паролем, который никто не менял.

Последний вопрос всегда удивляет. Офисное МФУ — это компьютер с диском: при обновлении парка техники или возврате арендованного аппарата диск уезжает вместе со всем содержимым. Неизменная рекомендация CNIL и ANSSI — стереть или уничтожить носители до возврата.

Пять организационных мер, которые решают 80 % проблемы

Переставьте аппарат, а не людей

Самая эффективная мера одновременно и самая простая: конфиденциальный факс никогда не должен попадать в пространство, доступное посторонним. Закрытая комната, кабинет секретаря с дверью, на худой конец — специальная тумба с контролируемым доступом. Когда перепланировка невозможна, обычная запираемая тумба на колёсиках, поставленная под аппарат, позволяет складывать туда документы сразу по их выходе и обходится дешевле, чем полдня консультаций.

Разделите конфиденциальные и обычные потоки

Два номера лучше одного. «Общий» номер, сообщаемый поставщикам, управляющим компаниям, логистическим службам; «конфиденциальный» номер, зарезервированный для коллег, лабораторий, судебных инстанций, сообщаемый крайне избирательно и никогда не печатаемый на публичных документах. Первый может выводиться на аппарат у стойки приёма, второй должен попадать в защищённое пространство или, что лучше, в защищённый именной почтовый ящик.

Обезвредьте титульный лист

Титульный лист — слепая зона. Он спроектирован так, чтобы его читали издалека, и в этом-то и проблема, поскольку именно он остаётся сверху стопки. Правильный титульный лист содержит отправителя, получателя по должности или инициалам, число страниц и упоминание о конфиденциальности. Он не содержит ни причины обращения, ни полного имени пациента, ни характера обследования, ни читаемого номера дела.

Типовая формулировка, которую стоит раз и навсегда вставить в шаблон:

Настоящий документ защищён профессиональной тайной. Если он предназначен не вам, его чтение, воспроизведение и распространение запрещены. Просим уничтожить все страницы и немедленно уведомить отправителя по указанному выше номеру.

Заблокируйте список номеров

Ошибка в номере — главная причина инцидентов, и мы посвятили ей отдельную статью: см. порядок действий в течение 72 часов. В качестве профилактики достаточно трёх правил: использовать только сохранённые и проверенные записи, запретить ручной ввод для чувствительных отправлений и раз в год чистить адресную книгу, сверяя каждую запись с официальным справочником соответствующей организации. Прошитый журнал контроля, в который заносятся дата, получатель и отметка о проверке, остаётся самым надёжным форматом для документирования такой чистки — журналы учёта формата A4 прекрасно справляются с этой задачей и хранятся годами.

Относитесь к бумаге как к данным

Полученный и отсканированный документ больше не должен существовать на бумаге. Уничтожение должно быть немедленным и необратимым: шредер с перекрёстной резкой уровня не ниже P-4, поставленный рядом с аппаратом, а не в другом конце коридора, радикально меняет поведение сотрудников. Общий бак для макулатуры уничтожением не является.

Чего GDPR конкретно ждёт от организации

Факс не запрещён, вопреки тому, что порой приходится слышать. Это такая же обработка данных, как и любая другая, подпадающая под статьи 5 и 32 GDPR: целостность, конфиденциальность, технические и организационные меры, соразмерные риску. «Соразмерные» — ключевое слово: от кабинета из двух человек не ждут системы уровня больничного центра, но ждут, что там подумали и записали.

Что вы должны быть в состоянии показать при проверке:

Для медицинских работников добавляется специальный режим хостинга медицинских данных и защищённых систем обмена сообщениями. Доктрина цифрового здравоохранения, продвигаемая Agence du Numérique en Santé, уже несколько лет подталкивает к использованию MSSanté для обмена между специалистами: факс там допускается как запасное решение, а не как основной канал. Тема раскрыта в нашей статье о медицинском факсе и данных о здоровье.

Особый случай: общие помещения и удалённая работа

Две конфигурации заслуживают отдельного внимания.

Групповая практика или коворкинг. Когда несколько специалистов или несколько структур делят секретариат и один аппарат, профессиональная тайна от этого общей не становится. Секретарь, работающий на несколько сторон, должен быть связан письменным соглашением о конфиденциальности, а организация работы должна предусматривать сортировку на источнике: папки разного цвета по специалистам, закрытые именные лотки или, за неимением лучшего, непрозрачные конверты. Непрозрачные папки с клапаном для каждого специалиста стоят несколько евро и предотвращают случайное прочтение коллегой, которому не положено знать содержание дела.

Удалённая работа. Получать факсы на личный почтовый адрес, просматриваемый с домашнего компьютера, — плохая идея, ставшая обыденной в последнее время. Если электронный приём необходим — а он часто необходим, — он должен осуществляться на рабочем аккаунте, с двухфакторной аутентификацией, на выделенном устройстве. Физический ключ безопасности FIDO2 для двухфакторной аутентификации остаётся самым надёжным способом защитить такой ящик, а экранный фильтр конфиденциальности не даёт прочитать содержимое сбоку в поезде или в коворкинге.

Что меняет электронный приём

Переход от бумажного аппарата к онлайн-сервису факса скорее смещает риски, чем устраняет их, но смещает в правильную сторону: трудноконтролируемая проблема организации пространства заменяется проблемой управления учётными записями, которой можно управлять.

Выигрыш реален. Больше нет документов, ожидающих в лотке. Появляется трассируемость отправлений и получений с отметками времени. Именные и отзываемые права доступа. Возможность архивировать документ прямо в электронное дело без промежуточного этапа оцифровки — тему мы разбираем в нашем руководстве об архивировании факсов и их доказательственной силе.

Новые же точки внимания вполне классические: где размещены данные, под какой юрисдикцией, сколько времени провайдер хранит переданные документы, предлагает ли он договор об обработке данных, соответствующий статье 28 GDPR, и — для медицинских данных — есть ли у него сертификация Hébergeur de Données de Santé? Эти вопросы задают до подписания договора, а не после инцидента. Наш FAQ подробно разбирает критерии проверки провайдера, а страница доступные страны уточняет охваченные направления.

Часто задаваемые вопросы

Можно ли оставить полученный факс на всю ночь в лотке?

Нет, если документ содержит персональные данные, а помещение не запирается на ключ. Практическое правило: либо аппарат находится в запертой комнате в отсутствие сотрудников, либо документы забирают перед закрытием. Устройство, печатающее ночью в незащищённом пространстве, — постоянный риск.

Нужно ли шифровать факсы?

Классическая факсимильная связь не поддерживает сквозного шифрования. Это сильный аргумент в пользу электронных решений, где передача между вами и провайдером идёт по TLS, а хранение может быть зашифровано. Для обмена между медицинскими работниками защищённая система сообщений предпочтительнее факса всякий раз, когда она доступна обеим сторонам.

Что делать со стопкой старых бумажных факсов?

Три варианта: подшить в дело, если документ имеет доказательственную ценность; оцифровать по надёжной процедуре и затем уничтожить; либо уничтожить сразу, если срок хранения истёк. Сортировка ведётся дело за делом, никогда не навалом. Об оцифровке см. наши правила о достоверной копии.

Защищает ли юридически отметка о конфиденциальности внизу страницы?

Материально она ничему не препятствует, но даёт два полезных эффекта: она затрудняет оправдание недобросовестного третьего лица и демонстрирует, что вы приняли организационную меру, а это учитывается при оценке вашей добросовестности со стороны CNIL или судьи.

Нужно ли специально обучать персонал?

Да, и это может занять двадцать минут в год. Письменная памятка на одну страницу, вывешенная рядом с аппаратом, полезнее ежегодного обучения, забытого на следующий день. Практическое руководство по GDPR для малых предприятий, оставленное в секретариате, помогает выстроить объяснение без жаргона.

Коротко

• Утечки по факсу происходят из-за планировки и привычек, а не из-за телефонной линии.
• Разместите аппарат в пространстве, недоступном для посторонних, либо сразу перекладывайте документы в запираемую тумбу.
• Разделите «общий» номер и «конфиденциальный» номер ограниченного распространения.
• Титульный лист никогда не должен раскрывать причину обращения, вид обследования или полное имя.
• Отправляйте только с проверенных записей адресной книги и чистите её раз в год.
• Уничтожайте бумагу на месте шредером с перекрёстной резкой, а не в баке для макулатуры.
• Стирайте диск МФУ перед любым возвратом или перепродажей.
• Фиксируйте каждую ошибку с получателем в реестре нарушений, даже без уведомления.
• В электронном варианте проверяйте хостинг, договор об обработке по статье 28 и сертификацию HDS для медицинских данных.