Аутентификация и идентификация пациентов и врачей

Это инженерные рекомендации, а не юридическая консультация. Детали подтверждайте у квалифицированного юриста.

Кратко

Любой вход в телемедицинскую систему отвечает на два разных вопроса: кто этот человек (идентификация) и тот ли он, за кого себя выдаёт, прямо сейчас (аутентификация). Путать их – самая частая ошибка при проектировании безопасности медицинских систем. На первый вопрос для российской телемедицины во многом ответил закон: участников телемедицинской консультации идентифицируют и аутентифицируют через ЕСИА, то есть через «вход через Госуслуги» (ч. 6 ст. 36.2 323-ФЗ, п. 7 приказа Минздрава 193н). Врач должен числиться в Федеральном регистре медицинских работников (ФРМР), а документы он подписывает усиленной квалифицированной электронной подписью (УКЭП). Второй вопрос закон оставляет вам: приказ ФСТЭК № 21 требует мер идентификации и аутентификации и блокировки сеанса по бездействию, но не называет ни числа факторов, ни таймаута – их задаёт ваша модель угроз. Биометрию (сравнение лица с паспортом, вход по лицу) можно применять только через Единую биометрическую систему (ЕБС) или аккредитованную систему (572-ФЗ). В статье разберём, как распределить уровни доверия между пациентами и врачами, выбрать факторы, устойчивые к фишингу, настроить сессии на общих рабочих станциях и выстроить восстановление доступа так, чтобы оно незаметно не стало самым лёгким путём в систему.

Зачем это читать

Аутентификация – входная дверь ко всем медданным на вашей платформе, и атакующие это знают: украденные и слабые учётные данные – один из главных путей к утечкам в медицине. В телемедицине ставки выше вдвойне: тот же вход определяет, действительно ли на видеосвязи нужный пациент и вправе ли консультировать этот врач. Ошибка оборачивается инцидентом, о котором нужно за 24 часа уведомить Роскомнадзор, штрафом до 15 млн ₽ за утечку данных о здоровье, а в худшем случае – консультацией не того пациента или не тем врачом. Статья для основателей, продакт-менеджеров и техлидов без профильного образования в ИБ, которым нужно принять конкретные решения о входе, подтверждении личности и восстановлении доступа. Здесь идентификация разобрана с точки зрения безопасности, а интеграционная сторона – в статье об идентификации через ЕСИА, SSO и регистрах ФРМР/ФРМО.

Два разных вопроса: личность и аутентификация

Сначала разведём два понятия, которые в обиходе смешивают. Подтверждение личности – однократная проверка того, кто человек, когда он впервые заводит аккаунт; так банк проверяет паспорт перед открытием счёта. Аутентификация – подтверждение при каждом входе, что за экраном тот же человек, которому принадлежит аккаунт; так вы вводите PIN-код при каждой оплате картой.

Система может быть сильна в одном и слаба в другом, и ломается она тогда по-разному. Платформа, которая строго проверяет личность, а потом защищает аккаунт угадываемым паролем, – крепкая дверь с хлипким замком. Платформа, которая требует аппаратный ключ при каждом входе, но позволила завести аккаунт на вымышленное имя, – отличный замок, повешенный не на ту дверь. Медицине нужны оба контура, и настраивать их нужно осознанно.

Российское регулирование разносит эти вопросы по разным документам, и полезно видеть, кто за что отвечает:

• Идентификация участников телемедицины – 323-ФЗ (ч. 6 ст. 36.2) и 193н (п. 7): пациента и медработника идентифицируют и аутентифицируют через ЕСИА. Это обязательное условие законной консультации.
• Право врача консультировать – регистры ЕГИСЗ: врач в ФРМР, организация в ФРМО (п. 9 193н), плюс лицензия на нужные работы и услуги и аккредитация специалиста.
• Юридическая значимость действий врача – УКЭП: консультацию документируют с УКЭП медработника (ч. 7 ст. 36.2), электронные медицинские документы подписывают только УКЭП (приказ Минздрава 209н).
• Стойкость входа в саму систему – 152-ФЗ (ст. 19), ПП 1119 и приказ ФСТЭК № 21. Среди мер приказа есть отдельная группа «Идентификация и аутентификация субъектов доступа и объектов доступа» (ИАФ): аутентификация работников оператора (ИАФ.1), внешних пользователей, то есть пациентов (ИАФ.6), и управление средствами аутентификации, включая действия при их утрате и компрометации (ИАФ.4).

Закон определяет, что аутентифицировать и через какую систему подтверждать личность участников консультации, а стойкость входа оставляет вашему анализу угроз: сколько факторов и каких, приказ № 21 не говорит. Дальше – о том, как решить, что значит «достаточно стойко».

Нажмите, чтобы увеличить

Проверка пациента: достаточно, но не слишком

Цель для пациента – с достаточной уверенностью довести нужного человека до нужной медкарты и не превратить регистрацию в мучение, из-за которого её бросают до первой консультации. Удобно мыслить ступенями:

• Без медицинской части – каталог врачей, статьи, оплата подписки: хватит телефона или email с подтверждением, а Sber ID и VK ID ускорят регистрацию.
• Телемедицинская консультация – ЕСИА обязательна. Sber ID и VK ID её не заменяют, сколько бы данных они ни передавали.
• Юридически значимые действия пациента – гражданин подтверждает сведения в ЕГИСЗ простой электронной подписью через ЕСИА или усиленной подписью (п. 39 «б» Положения о ЕГИСЗ).

Рабочая схема: подтвердить пациента через ЕСИА при регистрации или перед первой консультацией, затем привязать устройство и вести собственную сессию, а для чувствительных действий, например открытия записей и документов, запрашивать повторное подтверждение. Вход через ЕСИА переносит на вашу платформу проверку личности, которую уже провела государственная система, и это надёжнее любой анкеты. Исключение было только у участников экспериментального правового режима (ЭПР) по ПП № 1164: им разрешили альтернативную идентификацию по данным мобильного оператора или банковскому идентификатору. Трёхлетний срок режима с 01.08.2023 истёк, продление на момент написания не подтверждено, так что строить продукт на этом исключении не стоит.

Отдельно о двух ловушках. Первая: вопросы-викторины не годятся как основная проверка. «Девичья фамилия матери», «последние цифры паспорта», «адрес регистрации» утекали столько раз, что атакующему их часто проще найти, чем настоящему пациенту вспомнить. Вместо викторины используйте ЕСИА или подтверждённый канал.

Вторая: сопоставление с медкартой – вопрос безопасности пациента, а не только защиты данных. Если пациент регистрируется сам, а система привязывает его к чужой карте (другой «Ивановой Марии Сергеевны» с близкой датой рождения), вы показываете одному пациенту историю болезни другого, то есть раскрываете врачебную тайну. Опирайтесь на устойчивые идентификаторы, которые есть в обеих системах (СНИЛС, номер полиса ОМС), а при неоднозначном совпадении проверяйте вручную.

Для услуг повышенного риска – психиатрии, коррекции лечения с выпиской рецепта – возникает соблазн усилить проверку селфи с паспортом и сравнением лиц. В России это биометрия, и для неё есть отдельный закон (572-ФЗ): идентифицировать человека по биометрии можно только через ЕБС, а аутентифицировать – через ЕБС или аккредитованную систему, которая использует векторы из ЕБС; исходные образцы такая система хранит не дольше 10 дней. Биометрическая аутентификация без аккредитации – штраф 1–2 млн ₽ (ч. 4 ст. 13.11.3 КоАП). Отказ пациента сдавать биометрию не может быть поводом отказать ему в услуге (ст. 3 572-ФЗ; ч. 8 ст. 14.8 КоАП – 200–500 тыс. ₽). Отсюда важное следствие для видео: видеосвязь сама по себе не биометрическая идентификация. Врач видит пациента, но система не вправе «узнавать» его по лицу своими силами. Повышайте планку через ЕСИА и повторное подтверждение, без самодельного распознавания лиц.

Проверка и аутентификация врача: планка выше

Учётная запись врача – более ценная цель: одна скомпрометированная запись открывает сотни медкарт, поэтому требования в обоих контурах строже. Личность врача подтверждают сверкой с авторитетными источниками: запись в ФРМР, организация в ФРМО (п. 9 193н), лицензия на нужные работы и услуги и действующая аккредитация специалиста. Как превратить эти регистры в рабочий справочник, разбирает статья об идентификации через ЕСИА, SSO и ФРМР/ФРМО; здесь речь только о самом входе.

Почти во всех серьёзных внедрениях у врача вообще нет отдельного пароля на вашей платформе. Он входит через единый вход (SSO) своей клиники, то есть через её систему учётных записей, по SAML 2.0 или OpenID Connect, часто через Keycloak, развёрнутый в российском контуре, а платформа доверяет этому входу. Так лучше и для безопасности, и для удобства: второй фактор обеспечивает клиника, и уволившегося врача она отключает в одном месте. Цена решения: ваш вход теперь ровно настолько надёжен, насколько надёжен вход клиники, поэтому при подключении проверяйте, есть ли у неё второй фактор и как быстро она блокирует учётные записи. Требование идентификации через ЕСИА (п. 7 193н) касается и медработника. Практичный вариант – при онбординге один раз связать учётную запись врача в SSO клиники с его личностью, подтверждённой через ЕСИА.

Одно действие врача закон регулирует прямо – подпись. Консультацию документируют с УКЭП медработника (ч. 7 ст. 36.2 323-ФЗ), электронные медицинские документы подписывают только УКЭП (приказ 209н), а электронный рецепт подписывает УКЭП врач, внесённый в ФРМР, из организации, внесённой в ФРМО (приказ 1094н). Подпись и вход – разные вещи: SSO отвечает на вопрос, кто открыл рабочее место, УКЭП – кто юридически отвечает за документ. Закрытый ключ УКЭП, как правило, хранится на защищённом носителе или в средстве удалённой подписи и разблокируется PIN-кодом, так что подпись сама по себе требует и владения, и знания. Рецепт после телемедконсультации возможен только при коррекции лечения, назначенного на очном приёме по тому же обращению (п. 38–39 193н); подробнее – в статье об электронных рецептах.

Многофакторная аутентификация и требования 2026 года

Многофакторная аутентификация (MFA) – подтверждение личности минимум двумя разными видами доказательств: тем, что вы знаете (пароль), тем, что у вас есть (телефон или аппаратный ключ), или тем, что вы есть (отпечаток пальца или лицо). Атакующий, укравший один фактор (скажем, пароль, утёкший с другого сайта, где пользователь его тоже использовал), всё равно не войдёт.

Ни 152-ФЗ, ни ПП 1119, ни приказ ФСТЭК № 21 не говорят «многофакторная аутентификация обязательна»: приказ требует мер группы ИАФ, а способ оставляет на выбор по модели угроз и уровню защищённости. Для информационных систем государственных клиник с 01.03.2026 действует приказ ФСТЭК № 117 с риск-ориентированным выбором мер. В июле 2026 года опубликован проект приказа ФСТЭК на замену № 21: с показателем зрелости защиты, регулярной оценкой и мерами для API, контейнеров и ИИ. На 24.09.2026 он не подписан, и о его требованиях к аутентификации стоит судить по финальному тексту.

С инженерной точки зрения MFA для любого доступа персонала к медданным нужно внедрять уже сейчас, не дожидаясь прямого требования. Этого ждут клиники и их безопасники, и это самый дешёвый способ защититься от кражи паролей. К тому же на проверке трудно объяснить отсутствие второго фактора, если кража учётных данных записана в вашей модели угроз как актуальная. Цена ошибки конкретна: утечка данных о здоровье стоит юрлицу 10–15 млн ₽ (ч. 16 ст. 13.11 КоАП), повторная – до 500 млн ₽, плюс уведомления Роскомнадзору за 24 и 72 часа. Требования 2026 года подробно разобраны в статье о защите ПДн в 2026 году.

Не все вторые факторы равны

Главное практическое решение – какой именно второй фактор выбрать. Факторы сильно различаются по устойчивости к фишингу, то есть к атаке, при которой поддельная страница входа выманивает у пользователя код. От слабого к сильному:

Главное в этой таблице – passkey, удобная для обычного пользователя форма стандартов FIDO2 и W3C WebAuthn. Это криптографический ключ, который хранится на телефоне или ноутбуке пациента и разблокируется отпечатком пальца или лицом. Ключ математически привязан к вашему настоящему домену, поэтому сайт-двойник воспользоваться им не сможет. Для пациента passkey часто проще пароля (вводить ничего не нужно) и при этом гораздо надёжнее. Биометрия здесь не покидает устройство и не передаётся вашей системе: телефон лишь разблокирует ключ. Для персонала и администраторов с доступом ко всем пациентам золотым стандартом остаются аппаратные ключи; есть и российские FIDO2-токены, например линейка Рутокен MFA.

Частая ошибка – считать «у нас есть MFA» закрытым вопросом. SMS-коды – тоже MFA, и они заметно лучше одного пароля, но это самый уязвимый к фишингу второй фактор: код выманивают по телефону, а SIM-карту перевыпускают по поддельным документам. Оставьте SMS запасным вариантом для пациентов, которым недоступно ничего другого, а остальных переводите на passkey.

Нажмите, чтобы увеличить

Таймауты сессии и реальная работа клиники

Выбор способа аутентификации касается не только входа: от него зависит, сколько может жить сессия, прежде чем пользователю придётся снова подтвердить себя. Приказ ФСТЭК № 21 требует блокировать сеанс доступа после установленного времени бездействия пользователя (мера УПД.10), но само время оставляет оператору, и здесь требования сталкиваются с тем, как на самом деле работают клиники.

Для клинического доступа мы берём такую отправную точку: повторная аутентификация не реже раза в смену (порядка 12 часов) независимо от активности и блокировка после 15–30 минут простоя; для привилегированных ролей и общих рабочих станций – ближе к нижней границе, с повторным входом по обоим факторам. Цифры не случайны: незаблокированная сессия – незапертая дверь. Выбранные значения зафиксируйте в модели угроз и организационно-распорядительных документах: именно о них спросят на проверке.

Здесь и возникает конфликт. Врач, который весь день принимает пациентов на общей рабочей станции, будет постоянно натыкаться на 15-минутный выход по простою, а люди предсказуемо обходят то, что им мешает: держат сессии открытыми, делятся логинами, заклеивают считыватель. Защита, которую врачи обходят, хуже защиты, настроенной под их работу. Поэтому таймаут оставляют прежним, а повторный вход делают почти незаметным: касание пропуском или токеном, passkey с входом по отпечатку за секунду и быстрое переключение пользователей, чтобы общий компьютер в кабинете выпускал одного врача и впускал следующего без полной перезагрузки. Уровень доверия задайте по риску, а инженерные усилия потратьте на то, чтобы повторный вход стал безболезненным.

Посчитаем. Допустим, клиническая станция блокируется после 15 минут простоя, и врач за 8-часовую смену 18 раз отходит к документам. Без быстрого повторного входа каждое возвращение – это полный вход «пароль плюс код», скажем, 25 секунд:

18 входов/день × 25 секунд = 450 секунд = 7,5 минуты/день только на вход

В клинике из 30 врачей это почти четыре врачебных часа в день на одни входы, поэтому такие клиники и обходят таймаут. Если заменить 25-секундный вход на 2-секундный passkey или касание токеном, те же 18 повторных входов займут 36 секунд в сумме. Таймаут остаётся прежним, а неудобство почти исчезает. Уровень доверия – решение по безопасности, скорость повторного входа – инженерное решение, и нужны оба.

Step-up-аутентификация для чувствительных действий

Действия в телемедицинском приложении несут разный риск, поэтому и подтверждения требуют разного. Step-up-аутентификация (дополнительная проверка по ходу сессии) запрашивает ещё один фактор только в момент чувствительного действия – подписания заключения, выгрузки полной медкарты, смены реквизитов для выплат, – даже если пользователь уже вошёл. Повседневная сессия остаётся лёгкой, а опасные действия получают свежую и строгую проверку.

Такой подход снимает большую часть конфликта с таймаутами. Для обычного просмотра и консультаций сессия остаётся комфортной, а повторный вход, устойчивый к фишингу, система требует именно тогда, когда врач открывает чужую медкарту вне своего расписания или выгружает архив. Подписание протокола или рецепта и так требует отдельного действия с ключом УКЭП. Заодно ограничивается ущерб: если сессию всё-таки перехватили, атакующий не выполнит самые рискованные действия, не пройдя step-up.

Восстановление доступа: дверь, которую все забывают запереть

Самое неприятное: реальную стойкость аутентификации обычно определяет процесс восстановления доступа, потому что атакующий идёт самым слабым путём. Можно требовать аппаратные ключи и passkey, но если по кнопке «я потерял телефон» аккаунт сбрасывается по дате рождения и номеру паспорта, которые есть в бесчисленных утечках, то фактический уровень доверия равен тому, что требует восстановление, а не вход. Приказ ФСТЭК № 21 недаром включает в группу ИАФ управление средствами аутентификации, в том числе действия при их утрате и компрометации (ИАФ.4): восстановление входит в обязательные меры, это не второстепенная служебная страница.

Чтобы восстановление не превратилось в чёрный ход, нужны два правила.

Первое: восстановление должно соответствовать уровню доверия аккаунта, который оно возвращает. Если врачи входят через SSO клиники со вторым фактором, их доступ восстанавливают через ИТ-службу клиники или её провайдера SSO с повторной проверкой, без самообслуживания. Для пациентов восстановление может быть проще, но и оно должно идти через канал, подтверждённый при регистрации, а не через викторину. Если аккаунт пациента привязан к ЕСИА, надёжный путь восстановления у вас уже есть: повторный вход через Госуслуги.

Второе, и эта ловушка характерна именно для медицины: сообщения о восстановлении никогда не должны раскрывать врачебную тайну. Письмо или SMS «сбросьте пароль» со словами «по поводу вашего приёма у дерматолога д-ра Ивановой» сообщает о факте обращения, враче и специальности любому, у кого есть доступ к этому ящику или телефону, а это может быть не пациент. Врачебную тайну составляет уже сам факт обращения за медицинской помощью (ст. 13 323-ФЗ), а сведения о здоровье – специальная категория персональных данных (ст. 10 152-ФЗ); специальность приёма сюда тоже относится. Делайте сообщения о восстановлении и уведомления общими («есть обновление по вашему аккаунту, войдите, чтобы посмотреть») и прячьте клинические детали за входом. Такую проблему часто находят при разборе утечек, а исправить её несложно.

Нажмите, чтобы увеличить

Типичные ошибки

Ошибки аутентификации, которые мы чаще всего видим в телемедицинских продуктах. Все они предотвратимы:

• Считать, что SMS – это MFA и вопрос закрыт. Это лучше, чем ничего, и хуже всего остального. Предлагайте passkey, а SMS оставьте крайним запасным вариантом.
• Считать Sber ID или VK ID заменой ЕСИА. Удобный вход ускоряет регистрацию, но для телемедицинской консультации идентификация идёт через ЕСИА.
• Строить самодельную биометрию. Сравнение селфи с паспортом своими силами – биометрия вне ЕБС и аккредитации, то есть нарушение 572-ФЗ и штраф. Повышайте планку через ЕСИА.
• Восстановление слабее входа. Аппаратные ключи при входе ничего не дают, если восстановление принимает утёкшую дату рождения. Выровняйте их.
• Врачебная тайна в уведомлениях и сообщениях о восстановлении. SMS «Ваша консультация у психотерапевта подтверждена» – уже раскрытие. Делайте сообщения общими.
• Игнорировать работу на общих станциях. 15-минутная блокировка при 25-секундном входе гарантирует, что её будут обходить. Сочетайте таймаут со входом за секунды.
• Доверять SSO клиники больше, чем он того заслуживает. Принимая SSO клиники, вы наследуете стойкость её входа: проверяйте её второй фактор и закладывайте быстрое отключение учётных записей.

Где здесь Фора Софт

Фора Софт разрабатывает видеософт с 2005 года: телемедицину, видеоконференции, стриминг, электронное обучение и видеонаблюдение. Аутентификация – то место, где работа с видео в реальном времени встречается с регуляторными требованиями. Вход и идентификацию мы проектируем от требований: ЕСИА для участников консультации по ч. 6 ст. 36.2 323-ФЗ и 193н, ФРМР и УКЭП для врачей, меры группы ИАФ и блокировка сеанса по приказу ФСТЭК № 21, ограничения 572-ФЗ на биометрию. Затем выбираем решение, которое закрывает требование с наименьшими неудобствами для пациентов и врачей. На практике это ЕСИА плюс passkey для пациентов, SSO клиники и step-up для врачей, таймауты, настроенные под работу клиники, и восстановление доступа, проверенное на утечку врачебной тайны. Цель – вход, который устраивает проверяющих и не мешает пациентам и врачам.

Главное

• Подтверждение личности (кто вы) и аутентификация (докажите, что это вы, при каждом входе) – отдельные контуры; настраивайте оба осознанно.
• Участников телемедконсультации идентифицируют через ЕСИА (ч. 6 ст. 36.2 323-ФЗ, п. 7 193н); врач числится в ФРМР, документы подписывает УКЭП.
• Приказ ФСТЭК № 21 требует мер идентификации и аутентификации (ИАФ) и блокировки сеанса (УПД.10), но не задаёт ни числа факторов, ни таймаута. MFA для персонала внедряйте сами и уже сейчас.
• Выбирайте факторы, устойчивые к фишингу: passkey для пациентов, аппаратные ключи для персонала; SMS – крайний случай.
• Биометрия – только через ЕБС или аккредитованную систему (572-ФЗ); видеосвязь сама по себе не биометрическая идентификация.
• Восстановление доступа – реальная поверхность атаки: сделайте его не слабее входа и уберите из сообщений даже факт обращения.

Что читать дальше

• Идентификация через ЕСИА, SSO и регистры ФРМР/ФРМО – интеграционная сторона идентификации.
• Требования к защите ПДн в 2026 году: ПП 1119, приказы ФСТЭК и что это значит для видео – откуда берутся меры аутентификации.
• Моделирование угроз телемедицинской платформы – почему атакующие первым делом охотятся за учётными данными.