Каждый пятый инцидент — внутренний доступ
В российских медорганизациях заметная доля утечек связана с действиями сотрудников и подрядчиков, а не только с внешними атаками.
InfoWatch, первое полугодие 2025 годаУПРАВЛЯЕМЫЙ ДОСТУП К ВЕБ-СИСТЕМАМ КЛИНИКИ
Доступ к данным пациентов не должен оставаться у того, кто уже уволился
Врачи, регистратура, филиалы и подрядчики каждый день заходят в медицинскую информационную систему (МИС), CRM и лабораторные порталы. BusinessProxy даёт им доступ к нужному веб-приложению, а не ко всей сети клиники: каждый вход виден в журнале, а доступ закрывается в один клик — при увольнении, смене роли или окончании договора.
- Только нужное приложение — не вся сеть клиники.
- Каждый вход в журнале: кто, когда и с какого устройства.
- Отзыв доступа подрядчика — один клик, без выезда ИТ на места.
Без VPN-клиента и агента ОС. Личный трафик идёт мимо BusinessProxy.
ПриложениеМИС/CRM
ПользователиКолл-центр
Расписание09:00–20:00
operator@clinic.ruChrome · личный ноутбук10:42активна
agency@vendor.ruChromium · подрядчик09:18отозвана
branch-2@clinic.ruуправляемый Chrome08:57активна
Пользователь→
Расширениебраузера→
BusinessProxy→
КоннекторApp Gateway→
Веб-приложение
ПОЧЕМУ ОБ ЭТОМ ЗАГОВОРИЛИ ИМЕННО СЕЙЧАС
Медицина — в числе самых уязвимых отраслей по утечкам данных
Риск для клиники часто начинается не с хакерской атаки, а с доступа, который остался у человека, подрядчика или филиала после изменения роли.
Медицина остаётся в зоне повышенного риска
Клиники, лаборатории и подрядчики работают с ценными данными пациентов, поэтому забытый веб-доступ быстро становится управленческой проблемой.
Отраслевые обзоры утечек медицинских данныхДанные о здоровье — особая категория
Для клиники важен доказуемый контроль доступа: кто заходил, когда, к какому приложению и можно ли быстро закрыть активную сессию.
Федеральный закон № 152-ФЗ, ст. 10ГДЕ ИМЕННО КЛИНИКА ТЕРЯЕТ КОНТРОЛЬ
Пять каналов доступа, которые опасно оставлять открытыми
Опасен не только взлом. Опасен доступ к данным пациентов, который остался у человека или подрядчика после того, как он больше не должен их видеть.
Бывший врач или администратор
Сотрудник уволился, а вход в медицинскую информационную систему (МИС) или CRM через браузер и личное устройство остался. Учётку внутри системы закрыть забыли или закрыли не везде.
BusinessProxy: доступ идёт через управляемую сессию, которой распоряжается клиника. Сотрудник уволен — сессия отозвана, новый вход не открывается.
Подрядчик или интегратор
Лаборатория, телемедицина, ИТ-подрядчик или разработчик МИС получил доступ «на время проекта», но доступ живёт дольше договора.
BusinessProxy: внешнему исполнителю выдаётся доступ к одному приложению на срок задачи, а не бессрочная учётка. Работы закончены — маршрут закрывается из панели.
Общие учётки регистратуры
Один логин используют несколько сотрудников. Когда спросят «кто именно заходил» — ответить нечем.
BusinessProxy: персональная проверяемая сессия поверх доступа к приложению и журнал «кто, когда, к какому приложению».
Филиалы и удалённые рабочие места
Филиалу нужен доступ к МИС, но VPN открывает больше, чем нужно, и его сложно сопровождать на каждом рабочем месте.
BusinessProxy: публикуется конкретное приложение, а не вся сеть; новое рабочее место подключается без выезда ИТ.
Сохранённые сессии
Человек уже не работает, но браузерная сессия или обходной вход всё ещё живы.
BusinessProxy: активные сессии видны в панели и отзываются централизованно.
У НАС ЭТО ВРОДЕ БЫ ЗАКРЫТО
Почему привычные меры не закрывают веб-доступ
Пароли и роли внутри МИС
Они остаются в браузере, в общих чатах и на личных устройствах; при увольнении их отзывают вручную и не всегда полностью.
Договор о неразглашении с подрядчиком
Он работает после нарушения, но не закрывает сам доступ к медицинской системе.
Ручное отключение при увольнении
Зависит от того, вспомнят ли про каждую систему. Достаточно одной забытой учётки или сессии, чтобы доступ остался.
Общий корень один:доступом владеет человек, а не клиника. BusinessProxy переводит доступ в управляемую сессию, которой распоряжается клиника.
VPN не равен внешнему веб-доступу
Почему не VPN для внешних пользователей
«У нас уже есть VPN» — и часто это часть проблемы, а не решение.
| VPN | BusinessProxy |
|---|---|
| Часто даёт устройству сетевой маршрут к внутреннему сегменту | Открывает только нужное веб-приложение |
| Нужен VPN-клиент и профиль на устройстве | Работает через браузерное расширение — без VPN-клиента и агента ОС |
| Без отдельного журналирования виден в основном факт подключения | Видна сессия: кто, когда и к какому приложению подключён |
| Отзыв зависит от дисциплины с учётками, сертификатами и профилями | Доступ и сессия закрываются из панели |
| Личный трафик может попасть в маршрут VPN | Личный трафик идёт напрямую, мимо BusinessProxy |
| Внешнему пользователю часто дают больше сетевого доступа, чем нужно | Пользователь получает доступ только к разрешённым приложениям |
ЗАЧЕМ ЭТО КЛИНИКЕ, А НЕ ТОЛЬКО ИТ-ОТДЕЛУ
При проверке важно показать, что доступом управляют
Данные о здоровье пациентов — особая категория персональных данных, и ответственность за их утечку выше, чем за обычные сведения. При запросе надзорного органа или разборе инцидента клинике важно не только сменить пароли, но и показать доказуемый контроль доступа: кто заходил, когда, к какому приложению и была ли возможность быстро отозвать сессию.
APP GATEWAY
Внутренняя МИС/CRM без открытия входящих портов
Если ваша МИС/CRM или внутренняя панель не доступна из интернета, BusinessProxy App Gateway подключается через исходящий коннектор внутри вашей сети. Пользователь видит только опубликованное веб-приложение — внутренние адреса и частные IP-адреса остаются скрыты.
Для малых клиник — пакетный расчёт.Один пакет закрывает команду и несколько внутренних веб-приложений.
Trial
14 дней для проверки: один коннектор, одно тестовое приложение и до 3 тестовых пользователей.
Small Clinic Private App
от 9 900 ₽/мес.: до 5 пользователей и до 3 внутренних веб-приложений.
Clinic Network / Standard
для сетей, филиалов и 30+ пользователей: пользователи по Lite/Teams + App Gateway.
Enterprise
SSO, SIEM, DPA, dedicated/on-prem, индивидуальные требования ИБ.
КОНТРОЛЬ СЕССИИ
Контроль сессии без контроля всего устройства
BusinessProxy управляет рабочей браузерной сессией и маршрутом к приложению, не забирая личное устройство под полный контроль.
Журнал доступа
кто, когда, с какого устройства и к какому приложению подключался.
Отзыв доступа
сессия и маршрут закрываются из панели.
Доступ по расписанию
можно ограничить рабочие часы и срок действия доступа.
Водяные знаки
имя пользователя и время в рабочей сессии снижают риск анонимной съёмки экрана.
Личный трафик вне маршрута
личные сайты, звонки и приложения не проходят через BusinessProxy.
КОМУ ПОДХОДИТ
Когда BusinessProxy уместен
- сетям клиник с филиалами
- лабораториям с внешними партнёрами
- стоматологиям и медцентрам с 5–10 пользователями
- колл-центрам, работающим с записью пациентов
- подрядчикам, внешнему маркетингу, интеграторам
- временным сотрудникам и BYOD-пользователям
- клиникам с веб-доступной МИС/CRM
КОГДА НЕ ПОДХОДИТ
Когда лучше выбрать другой класс решений
- нужен RDP/SSH или сетевые диски
- нужно контролировать всё устройство
- нужен DLP/MDM/EDR
- у системы нет входа через браузер
- пользователю нужен доступ к сетевым папкам, серверам или рабочим станциям
- нужна глубокая TLS-инспекция содержимого страниц
ДЛЯ ИТ И ИБ
Что можно проверить за 14 дней
За пробный период можно проверить схему подключения, состав журнала, отзыв активной сессии и границы данных, которые проходят через BusinessProxy.
- схему подключения и работу коннектора
- какие события попадают в журнал и какие данные в нём хранятся
- какие данные проходят через маршрут и что остаётся только в журнале событий
- как закрывается доступ и сессия
- какие данные видны в журнале администратора
- как ограничить прямой обходной доступ к МИС/CRM на время пробного периода
ПРОБНЫЙ ПЕРИОД 14 ДНЕЙ
Проверка App Gateway для клиники — 14 дней, бесплатно
Подключим один коннектор, одно тестовое веб-приложение и до 3 тестовых пользователей. Вместе с вашими ИТ/ИБ проверим, как работает доступ к МИС/CRM без VPN.
Запустить пробный период →Критерии успеха
- новый пользователь подключается за 10–15 минут
- 100% входов через BusinessProxy попадает в журнал
- отзыв активной сессии обычно занимает до 1 минуты
- личный трафик не проходит через BusinessProxy
- в журнале видны события доступа, а не содержимое медицинской системы
ТАРИФЫ
Тарифы для медицины
Для внутренних приложений используется App Gateway. Для малых клиник доступен пакетный расчёт на команду и несколько веб-приложений.
Small Clinic Private App
5 пользователей, 1–3 внутренних веб-приложения
от 9 900 ₽/мес.Clinic Network Access
30+ внешних/BYOD пользователей, филиалы, колл-центр
от 490 ₽ за активного пользователя/мес.Clinic Team
внутренняя команда, политики, аудит
от 900 ₽ за место/мес.Healthcare Enterprise
SSO, SIEM, DPA, dedicated/on-prem
по запросуFAQ
Частые вопросы перед пробным периодом
Это VPN?
Нет. BusinessProxy не подключает устройство ко всей сети. Он даёт управляемую браузерную сессию к разрешённым веб-приложениям.
Вы читаете содержимое МИС/CRM?
Маршрут App Gateway передаёт HTTP-запросы и ответы транзитом между браузером и вашим коннектором. В BusinessProxy остаются события доступа и технические данные, необходимые для работы сервиса и журнала. Данные пациентов не используются для аналитики или рекламы.
Можно подключить внутреннюю МИС без публикации в интернет?
Да, через App Gateway и исходящий коннектор внутри вашей сети.
Что нужно установить пользователю?
Браузерное расширение для Chrome/Chromium. VPN-клиент и агент ОС не нужны.
Можно закрыть доступ подрядчику?
Да. Администратор отзывает сессию и закрывает маршрут доступа из панели.
Это заменяет DLP/MDM/EDR?
Нет. BusinessProxy управляет доступом к веб-приложениям и сессиями, но не контролирует всё устройство.
А если пользователю нужен RDP/SSH?
Тогда нужен другой инструмент: VPN/ZTNA/VDI или отдельное решение для удалённого администрирования.
ЧЕКЛИСТ ДОСТУПОВ
Проверьте, где у клиники может остаться лишний веб-доступ к данным пациентов
Чеклист поможет быстро пройтись по МИС, CRM, лабораторным порталам, подрядчикам, филиалам и общим учёткам. Если 3+ пункта сложно проверить за 15 минут, отправьте заявку на короткий разбор.
Получить чеклист →ЧЕКЛИСТ ДОСТУПА
Получите чеклист контроля доступа к веб-сервисам клиники
Проверьте, где у бывших сотрудников, подрядчиков, филиалов или общих учёток может остаться вход в МИС, CRM и лабораторные порталы.
СЛЕДУЮЩИЙ ШАГ
Начните с пробного периода или запросите схему для ИТ/ИБ
Для руководителя клиники — заявка на проверку App Gateway. Для ИТ/ИБ — схема подключения и границы ответственности.