Персональные данные в медицинской организации

27.02.2026

Персональные данные в медицинской организации — это не однородный массив информации, подпадающий под единый правовой режим, а совокупность сведений, одновременно охраняемых несколькими самостоятельными отраслями законодательства. Такие персональные данные охватывают сведения о состоянии здоровья пациента, диагнозе, схеме лечения и самом факте обращения за медицинской помощью — все они относятся к специальным категориям персональных данных, обращение с которыми законодатель регулирует значительно строже, чем обращение с обычными данными.

Одновременно медицинская организация несёт обязанности в сфере информационной безопасности, выходящие далеко за пределы требований Федерального закона № 152-ФЗ: медицинские информационные системы прямо поименованы в числе объектов критической информационной инфраструктуры, а использование иностранных мессенджеров и зарубежных облачных сервисов формирует самостоятельный риск нарушения требований о локализации данных и запрета на их несанкционированную трансграничную передачу. Персональные данные в медицинской организации, правовая защита которых выстроена без учёта всей совокупности этих режимов, остаются источником реальной регуляторной уязвимости — даже при наличии технической инфраструктуры безопасности.

Опыт ЮФ Инмар в комплексном проекте для медицинской клиники

Персональные данные в медицинской организации стали отправной точкой проекта юридической фирмы Инмар для частной клиники: клиент обратился с задачей, которая на первый взгляд выглядела сугубо технической — привести документацию на сайте в соответствие с требованиями законодательства, разместить корректную политику конфиденциальности и формы согласий.

Опыт команды Инмар подсказывал, что за таким запросом, как правило, стоит более серьёзная правовая ситуация, и первым шагом стал полноценный правовой аудит — комплексный анализ всей совокупности процессов обработки персональных данных пациентов и состояния системы информационной безопасности. Именно аудит персональных данных медицинской организации позволяет выявить реальную картину соответствия требованиям законодательства — в отличие от точечной проверки отдельных документов, которая неизбежно оставляет системные нарушения в тени.

Результаты аудита подтвердили предположение. Организация не была поставлена на учёт в Роскомнадзоре в качестве оператора персональных данных. Внутренние документы — политика обработки персональных данных, регламенты работы с данными пациентов, журналы учёта согласий — отсутствовали либо не соответствовали актуальным требованиям.

Трудовые договоры с медицинским и административным персоналом не содержали положений о конфиденциальности персональных данных и ответственности за их разглашение. Медицинская информационная система клиники не проходила процедуру категорирования как объект критической информационной инфраструктуры, а у руководства организации не было понимания, что подобная обязанность вообще существует.

В ходе аудита выявлены системные нарушения, связанные с трансграничной передачей персональных данных и требованиями о локализации: врачи клиники использовали для общения с пациентами иностранные мессенджеры, серверная инфраструктура которых расположена за пределами Российской Федерации, а ряд применявшихся программных решений нарушал требование о локализации персональных данных российских граждан на территории России.

Трансграничная передача медицинских данных через подобные сервисы является нарушением сразу двух норм 152-ФЗ — о локализации и о запрете трансграничной передачи без правового основания, — и каждый факт такой передачи может быть квалифицирован как самостоятельный эпизод. Правовые особенности этого института мы подробно рассматриваем в публикации о трансграничной передаче персональных данных.

По итогам аудита команда Инмар приступила к построению комплексной системы правовой защиты — именно системы, а не набора отдельных документов. Были разработаны политика обработки персональных данных и политика информационной безопасности, подготовлены формы согласий на обработку специальных категорий персональных данных, созданы журналы учёта согласий и обращений субъектов персональных данных, разработан регламент реагирования на инциденты с учётом сжатых сроков уведомления Роскомнадзора.

Параллельно были подготовлены проекты трудовых договоров с персоналом, включающих обязательства о соблюдении конфиденциальности и режима медицинской тайны, расписки об ознакомлении с внутренними регламентами. В части КИИ специалисты Инмар провели правовой анализ медицинской информационной системы клиники, определили обязательства по категорированию и обозначили дорожную карту по их исполнению.

Персональные данные в медицинской организации требуют единой правовой системы защиты — именно этот принцип лежит в основе подхода фирмы в рамках сопровождения соответствующих проектов.

Нормативное регулирование: многоуровневый правовой режим

Отношения по охране здоровья и оборот медицинской информации

Базовым отраслевым нормативным актом является Федеральный закон № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации». Статья 13 этого закона устанавливает режим врачебной тайны — конфиденциальность сведений о факте обращения за медицинской помощью, о состоянии здоровья, диагнозе и иных данных, полученных при медицинском обследовании.

Разглашение врачебной тайны влечёт гражданско-правовую ответственность организации и, при наличии умысла у конкретного работника, уголовную по статье 137 УК РФ. Режим врачебной тайны существует параллельно с законодательством о персональных данных и не поглощается им: его нарушение возможно даже при формальном соблюдении всех процедур обработки персональных данных — например, при передаче сведений родственникам пациента без его явного согласия.

Общие принципы защиты информации, циркулирующей в деятельности медицинской организации, определяет Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Статья 16 этого закона устанавливает обязанность обладателя информации принимать правовые, организационные и технические меры, обеспечивающие информационную безопасность и конфиденциальность информации ограниченного доступа. Эта норма является самостоятельным правовым основанием для построения системы защиты информации — вне зависимости от того, применяются ли в конкретной ситуации нормы специального законодательства.

Ответственность за нарушение правил защиты информации предусмотрена статьёй 13.12 КоАП РФ. В практике правовой защиты данных связка «152-ФЗ — медицинская организация» означает наиболее строгий из возможных режимов обработки персональных данных: специальные категории, уведомительный режим, жёсткие технические требования и короткие сроки реагирования на инциденты — всё это одновременно. Именно поэтому «152-ФЗ медицинская организация» — один из самых частых поисковых запросов практикующих юристов здравоохранения, которым необходимо быстро сориентироваться в пересечении отраслевого и общего законодательства о данных.

Медицинская организация как субъект КИИ

Здравоохранение прямо поименовано в статье 2 Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» как сфера, в которой функционируют объекты КИИ. Это означает, что любая медицинская организация, в том числе частная клиника, стоматологическая клиника, косметологическая клиника, оказывающая медицинские услуги, является субъектом КИИ и обязана провести категорирование собственных информационных систем, а в отношении систем, признанных значимыми, обеспечить их защиту по требованиям Приказа ФСТЭК России № 239 от 25 декабря 2017 года и подключиться к ГосСОПКА.

Регулирование КИИ в здравоохранении обязывает клинику выстраивать защиту медицинских информационных систем не как технический проект, а как юридически оформленный комплекс мер с задокументированными результатами на каждом этапе.

Порядок категорирования установлен Постановлением Правительства РФ от 8 февраля 2018 года № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры» (действует в редакции от 7 ноября 2025 года). Постановление Правительства № 1281 от 19 сентября 2024 года упростило процедуру: необходимость формировать отдельный перечень объектов КИИ до начала категорирования упразднена, а сам процесс выстраивается на основе типовых отраслевых перечней.

Для здравоохранения Министерство здравоохранения РФ совместно с ФСТЭК России утвердило такой перечень (последняя редакция — 1 июля 2024 года), включающий пять типовых групп объектов: государственные информационные системы в сфере здравоохранения, медицинские информационные системы, информационные системы фармацевтических организаций, системы автоматизации медицинской деятельности и информационно-телекоммуникационная инфраструктура, обеспечивающая медицинскую деятельность. Медицинская информационная система частной клиники, включая функционал ведения электронных медицинских карт и записи пациентов, прямо охватывается этим перечнем.

Медицинская информационная система, КИИ и требования 152-ФЗ образуют для клиники единый правовой контур: невозможно обеспечить надлежащую защиту персональных данных пациентов, не выполнив одновременно обязательства субъекта критической информационной инфраструктуры. Электронная медицинская карта является одновременно объектом КИИ и хранилищем специальных категорий персональных данных, что обязывает оператора персональных данных обеспечивать её защиту в рамках обоих правовых режимов одновременно.

Отраслевые особенности категорирования объектов КИИ в сфере здравоохранения в настоящее время проходят процедуру утверждения: Минздрав подготовил проект постановления Правительства с четырьмя критериями значимости применительно к медицинской отрасли; до его принятия категорирование проводится с учётом Методических рекомендаций Минздрава от апреля 2021 года.

Категорирование КИИ в медицине — это не разовое мероприятие, а непрерывный процесс: изменение состава информационных систем клиники, расширение функционала МИС или подключение новых сервисов обязывает оператора пересматривать результаты категорирования и при необходимости актуализировать документацию.

Персональные данные в медицинской организации: специальные категории и особый режим обработки

Персональные данные в медицинской организации в части сведений о состоянии здоровья относятся к специальным категориям, определённым статьёй 10 Федерального закона № 152-ФЗ «О персональных данных». Закон прямо запрещает обработку таких данных по умолчанию: к специальным категориям относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни, а также биометрические персональные данные.

Всё, что медицинская организация получает в ходе оказания услуг — диагноз, анамнез, результаты анализов, сведения о назначенных препаратах, — безусловно относится к этой категории. Персональные данные пациентов, обрабатываемые в ходе оказания медицинской помощи, представляют собой наиболее чувствительную разновидность специальных категорий: их утечка или неправомерное раскрытие затрагивает не только правовые, но и социальные интересы человека. Таким образом, обработка персональных данных в медицинских организациях подчиняется принципиально иному правовому режиму, нежели обработка стандартных клиентских данных в иных секторах.

Обработка медицинских персональных данных допускается лишь при наличии явного письменного согласия субъекта, либо в строго ограниченных законом исключениях: для защиты жизни или здоровья пациента, который по объективным причинам не может дать согласие; в медико-профилактических целях; для установления медицинского диагноза при условии соблюдения профессиональной тайны.

Форма согласия для специальных категорий значительно строже стандартной: она должна включать конкретный перечень обрабатываемых сведений, цели обработки, срок действия согласия и указание на право его отзыва. Согласие на обработку персональных данных, относящихся к сведениям о здоровье, должно быть получено отдельно от общего согласия на оказание медицинских услуг — объединение этих документов в одну форму является типичной ошибкой, которую Роскомнадзор квалифицирует как нарушение принципа конкретности цели обработки. Применение типовых форм согласий, не учитывающих специфику обработки медицинских данных, является нарушением, которое Роскомнадзор фиксирует при проверках как одно из наиболее распространённых.

Персональные данные пациента в медицинской организации приобретают дополнительное измерение, когда клиника работает с несовершеннолетними. Статья 351.1 ТК — норма, которую нередко упускают из виду при построении системы кадрового документооборота, — устанавливает прямой запрет на допуск к деятельности в сфере медицинского обеспечения несовершеннолетних лиц, имеющих или имевших судимость за преступления, указанные в статье 331 ТК РФ.

Исполнение этого требования обязывает клинику при приёме персонала на работу, связанную с несовершеннолетними пациентами, запрашивать и хранить справки об отсутствии судимости. Сведения о судимости прямо отнесены статьёй 10 152-ФЗ к специальным категориям персональных данных. Это означает, что педиатрическая клиника обрабатывает специальные категории не только в отношении пациентов, но и в отношении собственных сотрудников, — и обязана обеспечить надлежащий правовой режим этой обработки: отдельную систему хранения, ограниченный доступ, документарное обоснование цели и срока хранения.

Справка об отсутствии судимости, запрашиваемая во исполнение статьи 351.1 ТК РФ, должна храниться с соблюдением тех же требований к безопасности, что и медицинские данные пациентов: её утечка или несанкционированный доступ к ней влечёт для клиники самостоятельный состав нарушения законодательства о персональных данных.

Требования к техническим и организационным мерам детализируются Постановлением Правительства РФ № 1119 от 1 ноября 2012 года и Приказом ФСТЭК России № 21 от 18 февраля 2013 года. Организация, обрабатывающая специальные категории персональных данных более чем одного пациента, обязана обеспечить не ниже третьего уровня защищённости информационной системы.

Набор обязательных мер по каждому уровню включает управление доступом, регистрацию событий безопасности, защиту машинных носителей, обеспечение целостности и разработку модели угроз безопасности информации — и предполагает наличие как технических решений, так и организационной документации. Отсутствие последней лишает любую, даже технически грамотную систему юридически значимого подтверждения при проверке.

Дополнительный уровень отраслевых требований создаёт Приказ Министерства здравоохранения РФ от 24 декабря 2018 года № 911н: медицинская информационная система обязана обеспечивать конфиденциальность, целостность и доступность обрабатываемой информации. Это требование исполняется наряду с требованиями ФСТЭК, а не вместо них.

Наконец, криптографическая защита данных пациентов при их передаче подпадает под требования ФСБ России: использование несертифицированных инструментов шифрования, в том числе встроенных в иностранные мессенджеры, является самостоятельным нарушением.

Уведомление об инцидентах: 24-часовой рубеж

Федеральный закон № 266-ФЗ от 14 июля 2022 года кардинально изменил режим реагирования на инциденты. Согласно действующей редакции статьи 21 152-ФЗ, оператор обязан уведомить Роскомнадзор о факте неправомерной или случайной утечки персональных данных в течение двадцати четырёх часов с момента обнаружения, а в течение семидесяти двух часов — представить расширенное уведомление с результатами внутреннего расследования. Клиника, обнаружившая несанкционированный доступ к базе данных пациентов, обязана уведомить регулятора практически немедленно — и это требование невозможно исполнить без заблаговременно разработанного и доведённого до персонала регламента реагирования.

Актуальные правовые проблемы: телемедицина, трансграничная передача и искусственный интеллект

Защита персональных данных в медицинской организации при переходе на телемедицину

Персональные данные в медицинской организации, использующей телемедицинские каналы, не утрачивают ни одного из своих специальных правовых режимов — однако приобретают дополнительные технические требования. Платформа телемедицины должна быть сертифицирована по требованиям ФСТЭК, передача данных — осуществляться с применением сертифицированных криптографических средств, а серверы — располагаться на территории Российской Федерации.

Использование зарубежных видеоконференц-платформ или мессенджеров для проведения медицинских консультаций нарушает одновременно требования о локализации персональных данных, запрет на несанкционированную трансграничную передачу и требования к криптографической защите. Жалоба пациента на использование подобного сервиса является достаточным основанием для внеплановой проверки надзорных органов, и риск здесь отнюдь не гипотетический.

Локализация персональных данных на российских серверах — это не рекомендация, а прямое требование статьи 18 152-ФЗ, за нарушение которого Роскомнадзор блокирует сервисы и привлекает оператора к административной ответственности независимо от технических причин передачи данных за рубеж.

Защита персональных данных в медицинской организации при использовании дистанционных каналов требует прежде всего правовой архитектуры: договора с платформой, оформленного как поручение на обработку персональных данных, политики использования мессенджеров и видеосвязи, обязательного инструктажа медицинского персонала. Отсутствие этих документов при обнаруженном факте использования зарубежного сервиса лишает организацию любой возможности для правовой защиты при проверке.

Телемедицина, персональные данные пациентов и требования информационной безопасности образуют в совокупности правовой треугольник, в котором слабое звено неизбежно тянет за собой нарушения по всем трём направлениям одновременно.

Искусственный интеллект в медицине: персональные данные в новом технологическом контексте

Применение инструментов искусственного интеллекта в медицинской деятельности — от диагностических алгоритмов до систем поддержки врачебных решений — формирует самостоятельный правовой риск в части обработки и защиты данных пациентов. Требование о локализации персональных данных граждан России на серверах, расположенных в Российской Федерации, исключает возможность обработки медицинских данных зарубежными системами искусственного интеллекта: применение иностранных моделей к массивам данных о пациентах нарушает требования статьи 18 152-ФЗ независимо от иных характеристик конкретного решения.

Вместе с тем использование российских моделей не снимает с медицинской организации обязанностей по надлежащей обработке медицинских персональных данных — оно лишь переносит их в новый технологический контекст. Обработка специальных категорий персональных данных системой ИИ требует явного согласия пациента, в котором прямо указан этот способ обработки.

Договор с разработчиком или поставщиком ИИ-решения должен содержать условия о поручении на обработку персональных данных по статье 6 152-ФЗ с чётко закреплёнными обязательствами обработчика по безопасности. Техническая архитектура системы — хранение обучающих данных, журналирование операций, изоляция персональных данных разных пациентов — обязана соответствовать требованиям Приказа ФСТЭК № 21.

Клиника, внедряющая искусственный интеллект без этой правовой обвязки, несёт те же риски, что и клиника без политики конфиденциальности, — только масштаб потенциального нарушения существенно выше в силу объёма обрабатываемых данных.

Судебная практика и позиция регуляторов

Персональные данные в медицинской организации — предмет устойчивого регуляторного внимания: по данным публичной отчётности Роскомнадзора, медицинские организации стабильно присутствуют в числе проверяемых секторов, а нарушения при обработке персональных данных в медицинских организациях — прежде всего ненадлежащее оформление согласий на обработку специальных категорий — составляют одну из наиболее распространённых категорий выявляемых нарушений.

Действующая редакция статьи 13.11 КоАП РФ предусматривает дифференцированные санкции: за незаконную обработку персональных данных для юридических лиц — до 300 000 рублей, при повторном нарушении — до 500 000 рублей; за неправомерную передачу или предоставление доступа к информации, включающей специальные категории персональных данных, — от 10 до 15 миллионов рублей, неисполнение обязанности по уведомлению об инциденте образует самостоятельный состав.

При этом Роскомнадзор рассматривает каждого пострадавшего субъекта как отдельный эпизод нарушения — для клиники с обширной базой пациентов совокупный размер санкций может быть весьма значительным. Связка «Роскомнадзор — медицинская организация» сегодня находится в зоне повышенного регуляторного фокуса: ведомство планомерно увеличивает долю проверок отрасли здравоохранения в ежегодном плане надзорных мероприятий, и любое обращение пациента с жалобой может стать отправной точкой для полноценной проверки.

Статья 13.12 КоАП РФ применяется в тех случаях, когда нарушение связано с несоблюдением требований к защите информации: использование несертифицированных средств защиты, отсутствие документально подтверждённой модели угроз, несоответствие системы защиты требованиям ФСТЭК.

Практика ФСТЭК свидетельствует о том, что типичными основаниями для возбуждения административных дел служат отсутствие акта классификации информационной системы, применение несертифицированных криптографических средств и неисполнение обязанностей по категорированию объектов КИИ. ФСТЭК, медицинская организация и её обязанности по защите КИИ оказались неразрывно связаны: ведомство последовательно распространяет практику проверок на частные клиники, которые ранее считали себя вне периметра отраслевого надзора по 187-ФЗ. Сегодня термин «ФСТЭК медицинская организация» — устойчивое сочетание в практике корпоративных юристов здравоохранения, означающее обязательную точку соприкосновения регулятора и медицинского учреждения как субъекта КИИ.

Статья 13.12.1 КоАП РФ предусматривает три состава нарушений в сфере безопасности значимых объектов КИИ: штрафы для юридических лиц составляют от 50 000 до 100 000 рублей за нарушение требований к системе безопасности и от 100 000 до 500 000 рублей за нарушения в сфере информирования об инцидентах и обмена данными о них.

Уголовная ответственность по статье 274.1 УК РФ дифференцирована в зависимости от тяжести деяния: нарушение правил эксплуатации систем КИИ, повлёкшее причинение вреда, — до 6 лет лишения свободы; те же деяния, совершённые с использованием служебного положения, — от 3 до 8 лет; при наступлении тяжких последствий — от 5 до 10 лет лишения свободы. Руководитель частной клиники, допустивший серьёзный инцидент безопасности в медицинской информационной системе, которая не прошла категорирование, несёт личную уголовно-правовую ответственность.

Отдельного внимания заслуживает регуляторная практика, связанная с нарушением конфиденциальности медицинских данных. Конфиденциальность медицинских данных охраняется одновременно нормами 152-ФЗ, 323-ФЗ и 149-ФЗ, что при единственном инциденте создаёт конкуренцию составов и возможность кратного увеличения санкций.

Утечка медицинских данных — даже вследствие технической ошибки, а не умышленных действий — обязывает оператора уведомить Роскомнадзор в течение 24 часов и одновременно оценить наступление последствий по 187-ФЗ, если инцидент затронул медицинскую информационную систему, признанную объектом КИИ.

Практические последствия для медицинской организации

Персональные данные в медицинской организации порождают для её руководства три взаимосвязанных типа управленческого риска. Регуляторный риск реализуется через плановые и внеплановые проверки Роскомнадзора и ФСТЭК — в том числе инициированные жалобой пациента. Это касается в первую очередь персональных данных пациента в медицинской организации: жалоба о незаконном разглашении сведений о состоянии здоровья, включая переписку через иностранный мессенджер, с высокой вероятностью повлечёт проверку и выявление комплекса нарушений, затрагивающих одновременно несколько норм КоАП.

Репутационный риск в медицинской отрасли принципиально отличается от иных секторов: утечка сведений о диагнозе, схеме лечения или самом факте обращения в клинику по чувствительному профилю способна необратимо подорвать доверие пациентов. Для клиники, работающей в сегменте премиум-медицины, этот риск финансово значимее любых административных санкций.

Системный операционный риск возникает для организаций, медицинские информационные системы которых не прошли категорирование и не имеют задокументированной системы защиты: компьютерный инцидент ставит такую организацию в ситуацию одновременного нарушения по 152-ФЗ, 149-ФЗ и 187-ФЗ. Частная клиника, персональные данные пациентов которой хранятся в незащищённой или ненадлежащим образом категорированной системе, несёт все эти риски в полном объёме — вне зависимости от формы собственности и масштаба деятельности.

Снижение этих рисков требует системного, а не «лоскутного» подхода. На уровне правовой документации это означает разработку политики обработки персональных данных и политики информационной безопасности как взаимосвязанных документов, подготовку форм согласий, специально адаптированных к обработке медицинских персональных данных, с учётом всех каналов взаимодействия с пациентом, включая дистанционные, создание регламента реагирования на инциденты с процедурами, позволяющими исполнить 24-часовой срок уведомления Роскомнадзора.

На кадровом уровне — включение в трудовые договоры и должностные инструкции обязательств по соблюдению режима медицинской тайны, для клиник, работающих с несовершеннолетними, — организация отдельного процесса запроса, проверки и хранения справок об отсутствии судимости как специальной категории персональных данных сотрудников, включая оформление согласия на обработку этих сведений и установление предельных сроков хранения.

В части договорной работы — надлежащее оформление отношений с лабораториями, страховыми организациями, IT-провайдерами и разработчиками искусственного интеллекта через договоры поручения на обработку персональных данных по статье 6 152-ФЗ, содержащие исчерпывающий перечень поручаемых действий и обязательства по безопасности данных. В части КИИ — проведение процедуры категорирования медицинской информационной системы с опорой на типовой отраслевой перечень Минздрава, разработка модели угроз и построение системы защиты по требованиям ФСТЭК.

Персональные данные в медицинской организации, надлежащим образом защищённые в правовом отношении, — это не только инструмент управления регуляторными рисками, но и элемент конкурентного позиционирования: для пациента, доверяющего клинике наиболее чувствительные сведения о себе, прозрачная и профессионально выстроенная система защиты данных является значимым фактором выбора.

Персональные данные в медицинской организации: от правового анализа к готовой системе

Персональные данные в медицинской организации — это встроенный элемент единой правовой системы информационной безопасности, объединяющей нормы законодательства об охране здоровья граждан, о защите информации, о персональных данных и о безопасности критической информационной инфраструктуры. Врачебная тайна, обязанности субъекта КИИ, требования к локализации данных, режим специальных категорий персональных данных — всё это составляет единый контекст, в котором осуществляется защита персональных данных в медицинской организации, и все эти режимы действуют одновременно и не могут быть выполнены по отдельности.

Построение надлежащей системы требует понимания взаимодействия всех этих режимов, практического опыта и постоянного отслеживания изменений регуляторной среды — от поправок в 152-ФЗ до обновлений типового перечня объектов КИИ в здравоохранении.

Юридическая фирма Инмар предоставляет медицинским организациям полный спектр юридических услуг в области защиты персональных данных: аудит соответствия, разработку комплексного пакета правовой документации, консультирование по вопросам телемедицины и применения искусственного интеллекта, представление интересов при проверках контролирующих органов.

Практика Инмар во Владивостоке и других регионах позволяет предлагать решения, адаптированные как к специфике небольших частных клиник, так и к задачам многопрофильных медицинских центров. Юридические услуги медицинской организации в части защиты персональных данных и информационной безопасности наиболее эффективны именно на этапе построения системы, а не в момент проверки или инцидента — когда возможности для манёвра уже ограничены.