ЗАО «КанонФарма Продакшн»

КЛИЕНТ

ЗАО «КанонФарма Продакшн» — производственная фармацевтическая компания, выпускающая лекарственные средства для российского рынка. Фармацевтическое производство в России — одна из наиболее жёстко регулируемых отраслей, где наряду с обеспечением качества продукции (GMP), требованиями Минздрава, Росздравнадзора, также действует система обязательной маркировки лекарственных средств «Честный знак» с применением двумерного штрихкода DataMatrix. Это означает, что производственные линии должны быть оснащены специализированным оборудованием для нанесения и считывания кодов маркировки, интегрированным с информационными системами учёта и передачей данных в национальную систему мониторинга.

Производственная инфраструктура компании включает в себя технологическое оборудование для всех стадий производства лекарственных форм, системы контроля качества, лабораторное оборудование, системы маркировки и сериализации, складское оборудование, системы корпоративного учёта, ERP, систему качества. Большая часть этого оборудования — это не обычные ИТ-системы, а промышленные системы с собственными протоколами, контроллерами, специфическим ПО.

ЗАДАЧА

Перед нами была поставлена задача провести категорирование объектов критической информационной инфраструктуры (КИИ) в сфере здравоохранения на линиях производства лекарственных средств. Категорирование — обязательная процедура для субъектов КИИ в соответствии с Федеральным законом № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», Постановлением Правительства № 127 и приказами ФСТЭК. По итогам процедуры каждому объекту КИИ присваивается категория значимости (I, II, III или «без категории»), от которой зависит перечень требований по защите. Для фармацевтического производства корректное проведение категорирования — прямое регуляторное требование.

ОТРАСЛЬ

Фармацевтическая промышленность, производство лекарственных средств. Отрасль относится к сфере здравоохранения в терминологии 187-ФЗ и является одной из ключевых сфер КИИ. Регулирование: 187-ФЗ, постановления Правительства № 127 и № 452, приказы ФСТЭК № 235, № 239, приказ ФСБ № 367, а также отраслевые требования (Минздрав, Росздравнадзор, GMP, требования к маркировке). Фармацевтическое производство — это пересечение промышленного и медицинского регулирования, что создаёт особую сложность комплаенса.

ПРОБЛЕМАТИКА

Клиент обратился с двумя взаимосвязанными проблемами.

1. Первая — отсутствие в штате специалистов с необходимыми знаниями особенностей категорирования объектов КИИ. Категорирование — это не формальное заполнение анкет, а содержательная работа: нужно правильно идентифицировать объекты, определить процессы, оценить последствия нарушения их работы в пяти измерениях (социальная значимость, политическая, экономическая, экологическая, значимость для обеспечения обороноспособности), провести экономическое обоснование, правильно заполнить акты категорирования и направить их во ФСТЭК в установленные сроки. Ошибки в категорировании приводят либо к завышению требований (и избыточным затратам на защиту), либо к занижению (и регуляторным рискам).
2. Вторая проблема — наличие сложного специфического оборудования на производстве, попадающего под категорирование. Это не типовые ИТ-системы, а промышленные комплексы: линии производства таблеток, капсул, жидких форм, системы асептического розлива, системы маркировки и сериализации с нанесением кода DataMatrix, системы автоматизированного контроля качества. Каждая такая линия — это совокупность механического оборудования, промышленных контроллеров (ПЛК), SCADA-систем, специализированного ПО, интерфейсов передачи данных. Чтобы правильно провести категорирование, нужно понимать технологический процесс, влияние отдельных элементов на критичные производственные параметры, зависимости между системами.
3. Третья сложность — специфика маркировки. Процесс нанесения двумерного штрихкода DataMatrix и передачи данных в систему «Честный знак» — это критический процесс для фармацевтического производителя: без корректной маркировки продукция не может быть выпущена в гражданский оборот. При этом сам процесс требует непрерывного взаимодействия производственного оборудования с информационными системами и внешней системой мониторинга. Сбои или компрометация на этом участке приводят к блокировке выпуска продукции.
4. Четвёртый фактор — необходимость экономического обоснования. Акты категорирования требуют подтверждённых числовых оценок возможного ущерба, что требует совместной работы с финансовой службой, производством, сбытом. Для многих компаний это отдельная сложная задача — собрать и согласовать цифры.

Боль ЛПР — директора по ИТ, директора по ИБ, генерального директора — заключалась в сочетании регуляторного риска (невыполнение требований 187-ФЗ грозит предписаниями, штрафами, вниманием ФСТЭК) и операционного риска (любая ошибка в категорировании приведёт к проблемам при последующих этапах — построении системы безопасности значимых объектов).

РЕШЕНИЕ

Мы подошли к категорированию как к комплексному проекту, сочетающему нормативную экспертизу, понимание фармацевтического производства и финансово-экономическое обоснование.

1.  На первом этапе изучалось специфическое оборудование, участвующее в производстве лекарственных средств. Наши специалисты провели выездные обследования производственных линий, интервью с технологами, инженерами КИПиА, специалистами по автоматизации, ИТ-специалистами. Описывались технологические процессы, идентифицировались объекты информатизации, фиксировались их функции, связи между системами, зависимости бизнес-процессов от ИТ.
2. Отдельное внимание уделялось процессу нанесения двумерного штрихкода DataMatrix для маркировки лекарственных средств. Изучались: оборудование для нанесения кодов (принтеры, лазерные маркираторы), системы проверки корректности нанесения (машинное зрение), модули сериализации и агрегации, системы передачи данных в «Честный знак». Это сложный участок, потому что он интегрирует технологические, информационные и регуляторные компоненты, и корректно отнести его к объектам КИИ требует экспертизы в нескольких областях одновременно.
3. На втором этапе составлялся перечень возможных объектов КИИ. Для каждого объекта описывались: назначение, состав, границы, процессы, которые он обеспечивает, возможные последствия нарушения его работы — от остановки производственной линии до срыва поставок социально значимых препаратов.
4. На третьем этапе проводилась оценка показателей категорирования по пяти группам критериев согласно ПП № 127: социальная значимость, политическая, экономическая, экологическая, значимость для обеспечения обороны страны, безопасности государства и правопорядка. По каждому показателю собирались аргументы и числовые оценки.
5. Четвёртый этап — экономическое обоснование. Совместно с комиссией по категорированию субъекта мы провели работу по оценке возможного ущерба: прямые убытки от простоев производства, убытки от блокировки выпуска продукции, репутационные и иные последствия. Эта работа требовала взаимодействия с финансовой службой и производственным блоком, сбора исходных данных, построения сценариев. Результатом стали обоснованные оценки, подтверждающие присвоенные категории значимости.
6. Пятый этап — оформление актов категорирования и сопроводительных документов в соответствии с формой, установленной ФСТЭК. Документы проверялись на корректность заполнения, полноту обоснования, согласованность оценок. Акты направлялись во ФСТЭК России в установленные сроки.

На всех этапах мы работали в связке с комиссией по категорированию субъекта — коллегиальным органом, формируемым на стороне заказчика. Наша роль — методическая, экспертная, документальная; формальное решение о категории принимается комиссией субъекта. Такой формат работы обеспечивает и корректность процедуры с точки зрения 187-ФЗ, и передачу компетенций на сторону заказчика.

РЕЗУЛЬТАТЫ

Закрыли стратегическую задачу по категорированию объектов КИИ с положительным результатом от ФСТЭК России. Это означает, что направленные акты категорирования были приняты регулятором без существенных замечаний, что подтверждает корректность проведённой процедуры и корректность присвоенных категорий.

С точки зрения бизнеса достигнуты следующие эффекты.

1. Во-первых, закрыт базовый регуляторный риск по 187-ФЗ: компания имеет оформленные акты категорирования, что является обязательным требованием для субъектов КИИ.
2. Во-вторых, сформирована корректная отправная точка для следующих этапов работы по КИИ — построения системы безопасности значимых объектов в соответствии с приказом ФСТЭК № 239. Правильная категория — это основа корректного перечня требований; ошибка на этапе категорирования привела бы к ошибкам на следующих этапах, потенциально с многомиллионными последствиями.
3. В-третьих, осуществлена передача компетенций комиссии заказчика: в процессе совместной работы внутренние специалисты получили методическое понимание процедуры, что облегчит ежегодный пересмотр актов и реагирование на изменения инфраструктуры.

Для ЛПР закрыты ключевые боли: директор по ИБ получил зафиксированное соответствие требованиям 187-ФЗ по этапу категорирования; директор по ИТ — структурированное описание инфраструктуры производства с точки зрения информационной безопасности; генеральный директор — снижение регуляторного риска и основу для следующих проектных этапов по защите КИИ.

Отдельный результат — специфика фармацевтического производства и системы маркировки DataMatrix оказалась корректно отражена в актах категорирования. Это важный задел: при последующем построении системы защиты участок маркировки получит адекватный уровень внимания и бюджета, соответствующий его реальной критичности для бизнеса.

Перспективы развития сотрудничества — консалтинг в сфере импортозамещения для субъектов КИИ. Это закономерное продолжение проекта: после категорирования субъекты КИИ обязаны проектировать и внедрять систему безопасности значимых объектов на основе преимущественно российских решений в соответствии с изменениями в нормативной базе. Подбор отечественных СЗИ, совместимых с фармацевтическим производственным оборудованием, миграция с импортных продуктов, сопровождение переходного периода — следующий логичный этап работы с клиентом.