HeTree/MevakerConcSen huggingface dataset:
מנהלת המחלקה הוסיפה כי החל במאי 2021 המחלקה .
מגבירה את מאמציה לבצע מעקב אחר תיקון הליקויים כתנאי לקבלת רישיון, במסגרת מדיניות .
חדשה שהמחלקה מטמיעה באופן הדרגתי.
מנהלת המחלקה לבקרות על קופות החולים במשרד הבריאות מסר ה לצוות הביקורת כי לפי .
עמדת המשרד, האחריות לתיקון הליקויים מוטלת על הקופה, וגם במקרים של ליקויים לתיקון .
מיידי הקופה היא שנדרשת להתייחס לליקוי ולוודא שהוא תוקן.
עולה מכך שהמשרד כמאסדר אינו מבצע מעקב סדור אחר תיקון ליקויים שהועלו בדוחות .
הבקרה, ובכך לא מוודא את אי-הישנותם, לשם צמצום סיכוני הסייבר שאליהם חשופים .
58 את הבקרות בקופות החולים ביצעהאגף לרפואה קהילתית במשרד הבריאות .
האגף הוקם בשנת 2008 ומופקד, בין .
היתר, על בקרה על הפעילות ועל קביעת הסטנדרטים של השירותים הרפואיים שנותנות קופות החולים בקהילה.
59 הבקרותהעלו ליקויים בתחום אבטחת המידע ובהם חוסר הפרדה בין מכשירים רפואיים לבין יתר הרשת, בעיות .
הרשאות של משתמשים, היעדר סקירת סיכונים וליקויים ביכולת להתאושש מאסון.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מומלץ כי משרד הבריאות ישלב באופן סדור בבקרות שהוא מבצע במרכזים הרפואיים .
ובקופות החולים בדיקה הן של נושא אבטחת מידע והן של מכשור רפואי.
אלה בבקרות תניע את המוסדות הרפואיים לתקן ליקו יים שעלו ותשפר את עמידתם .
בנוהלי אבטחת המידע של משרד הבריאות, וכן תאפשר למשרד הבריאות כמאסדר .
לגבש תמונת מצב מקיפה בעניין אתגרי אבטחת המידע (ובכלל זה של מכשור רפואי) .
בשטח ובעניין הדרכים הראויות להתמודד עימם בהתאם לכך.
יבצע הליך סדור של מעקב אחר תיקון הליקויים שעלו בבקרות.
פרסום מידע רגיש במסגרת דוחות הבקרה באתר המרשתת של משרד הבריאות .
עקרון השקיפות נועד להבטיח את תקינות פעילותו של המינהל הציבורי.
מגבירה את אחריות הממשל לפעולותיו, מאפשרת לאזרחים לפקח על מעשי הממשל, מפחיתה .
אי-תקינות שלטונית ומאפשרת הפצת מידע לציבור.
לצד זאת היקף השקיפות היא סוגיה .
הנדרשת לאיזון בין הצורך בה לבין הסיכון בחשיפת מידע.
כך למשל בנוגע לחשיפה של מידע .
אישי - סעיף 9()(א3) לחוק חופש המידע, התשנ"ח -1998 , קובע כי רשות ציבורית (ובכלל זה .
משרד ממשלתי) לא תמסור מידע אשר גילויו מהווה פגיעה בפרטיות 60 .
גם פרסום ליקויים (ובפרט החולשות) שהועלו בבקרות בתחום אבטחת מידע נדרש לאיזון בין .
הצורך בשקיפות לבין מזעור הסיכון שבחשיפה, שכן הדבר עלול לחשוף נקודות חולשה .
באבטחה של מערכות הארגון וכך לעודד תקיפת סייבר בנקודות אלו.
באתר המרשתת של המשרד מפורסמים בין השאר דוחות שהוכנו בשנים 2019 ו-2020 , בבתי .
חולים כלליים-ממשלתיים, בבתי חולים של הכללית, בבתי חולים ציבוריים, בבתי חולים פרטיים .
עלה כי כ-20 דוחות כללו, בין היתר, ממצאים בתחום אבטחת המידע, ובכלל זה חולשות .
שהתגלו במוסדות הרפואיים ובקופות החולים בתחום זה.
בעקבות פניית צוות הביקורת למשרד הבריאות ציינו נציגיו כי בבדיקה שביצע המשרד אכן נמצאו .
כמה דוחות שפורסמו ובהם פרק אבטחת מידע מלא ללא הסרת מידע רגיש כנדרש.
כי הפרסום בוצע בעקבות טעות אנוש ובשל כך שהדוחות לא עברו כנדרש לאישור ממונה .
אבטחת המידע של המשרד לפני פרסומם.
בעקבות פניית צוות הביקורת הוסרו הדוחות מהאתר.
אשר לדוחות הבקרה על קופות החולים, נציגי המשרד ציינו כי פרסומם התבצע לאחר בקרה .
על המידע ובחינה שלו באופן שלא יגרום נזק, וכי הפרסום לא הזיק לארגונים.
משרד מבקר המדינה מציין את תיקון הליקוי תוך כדי ביצוע הביקורת.
60 החוק מאזן את חשיפת המידעגם עם שיקולים נוספים וקובע כי רשות ציבורית לא תמסור מידע שיש חשש שגילויו .
יביא לפגיעה בביטחון המדינה, ביחסי החוץ שלה, בביטחון הציבור או בביטחונו או בשלומו של אדם.
על משרד הבריאות להעביר מידע שיש בכוונתו לפרסם לציבור לאישור ממונה אבטחת .
המידע של המשרד לפני פרסומו, ובפרט בנוגע למידע רגיש המכיל ליקויים בתחום .
כמו כן מומלץ שלפני שהמשרד מפרסם לציבור דוחות בקרה הכוללים .
ליקויים בתחום אבטחת המידע הוא יביא לידיעת ממוני אבטחת המידע של המוסדות .
הרפואיים, את הכוונה לפרסם מידע זה.
אחריות חטיבת המרכזים הרפואיים הממשלתיים .
לתחום אבטחת מידע וסייבר .
החלטת הממשלה משנת 2014 בנושאהקמת רשות מרכזים רפואיים ממשלתיים 61 קבעה כי .
הרשות תשמש גוף מטה העוסק בסוגיות ניהול רוחביות הנוגעות לבתי החולים ה ממשלתיים .
הכלליים , ובין היתר לנושא מערכות מידע.
כשנה לאחר מכן ביטלה הממשלה את החלטתה .
משנת 2014 , וקבעה כי במקום הרשות תוקם חטיבה במשרד הבריאות אשר תהיה אחראית על .
המרכזים הרפואיים הממשלתיים 62.
בהתאם לכך, משנת2016 פועלת במשרד חטיבת מרכזים .
רפואיים ממשלתיים (להלן - החטיבה).
על פי חוזר מנכ"ל בנושא "חטיבת המרכזים הרפואיים הממשלתיים במשרד הבריאות" אחריות .
החטיבה היא לשאת באחריות כוללת לניהול המרכזים הרפואיים (הכלליים, הגריאטריים .
ולבריאות הנפש) 63 במכלול ההיבטים הקשורים לפעילות המרכז הרפואי ובכללם היבטים .
הנוגעים למערכות המידע 64 .
יצוין שכאשר המשרד מפרסם בשגרה חוזרים ונהלים החטיבה .
אחראית ליישומם במרכזים הרפואיים הממשלתיים.
עלה כי אף שבהחלטות הממשלה האמורות נקבע כי החטיבה תשמש גוף מטה בתחום .
מערכות מידע, ואף שמחוזר מנכ"ל עולה כי אחריות החטיבה כלפי אופן תפקודם של .
המרכזים הרפואיים כוללת ומתייחסת גם להיבטים של מערכות מידע, בפועל - בחטיבה .
פועל אגף מערכות מידע, המעסיק כ-200 עובדי מחשוב, אולם העיסוק בתחום אבטחת .
המידע הוא בידי יחידת הסייבר המגזרית במשרד, והחטיבה אינה מעורבת בכך.
דברים זה לחטיבה אין תמונת מצב מיטבית בדבר איכות אבטחת המידע בכל אחד .
מהמרכזים הרפואיים שבאחריותה.
יצוין שבדצמבר 2019 כתבה מנהלת חטיבת המרכזים הרפואיים הממשלתיים דאז למנכ"ל משרד .
הבריאות כי מתן אחריות ליישום הגנת סייבר לגורם שאינו הגוף האחראי לפיתוח המערכות, .
לתחזוקתן ו לתפעולן (החטיבה) עלול לגרום לסיכון ממשי של תקינות המערכות ושל אפקטיביות .
61 החלטת הממשלה1622" , הקמת רשות מרכזים רפואיים ממשלתיים" ( 25.
14 ), בה נקבע כי תוקם רשותמרכזים .
רפואיים ממשלתית אשר תפעל כיחידת סמך מקצועית ותרכז את תפקידי הניהול והפיקוח על התנהלות בתי חולים .
ממשלתיים כיחידות סמך ממשלתיות.
62 החלטת הממשלה337" , חיזוק הרפואה הציבורית ואסדרת תחום ביטוחי הבריאות והתכניות לשירותי בריאות נוספים .
- אישור החלטת ועדת השרים לענייני חברה וכלכלה " ( 5.
63 11 ,כלליים5 ,גריאטריים8 .
64 חוזר מנכ"ל 4/2017 ( "בנושא "חטיבת המרכזים הרפואיים הממשלתיים במשרד הבריאות 19.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם ההגנה עליהן.
עוד היא ציינה את חוסר היכולת של החטיבה לפקח על הנעשה בתחום הגנת .
הסייבר במרכזים הרפואיים, בשל חוסר ב כוח אדם המוכשר לכך.
היא התריעה כי במצב הקיים .
קשה לוודא שדרישות אסדרתיות חדשות מיושמות באופן שוטף, קשה להבטיח תקינות סבירה .
של פעילויות בקרת סייבר, וקשה לבצע תחקור אירועי סייבר כנדרש.
שכל אלה מהווים גורמי סיכון ממשיים, וחשוב לטפל בהם בהקדם.
היא המליצה להטיל על .
האגף למערכות מידע בחטיבה את האחריות ליישום, לתפעול ו לבקרה של ה נוגע לפעילויות .
הדרושות להגנה מאיומי סייבר , ובכלל זה – ההנחיה של המרכזים הרפואיים הממשלתיים וכן .
הפיקוח עליהם והמעקב אחריהם.
מומלץ שהמשרד יבחן את הממשקים שבין חטיבת המרכזים הרפואיים הממשלתיים לבין .
יחידת הסייבר המגזרית ויבחן בידי מי נכון להפקיד את האחריות לטיפול בנושא אבטחת .
המידע בכלל המרכזים הרפואיים הממשלתיים, גם נוכח החלטת הממשלה 337 .
כן מומלץ שהמשרד יעמוד על המשמעות של הפרדת תחומי האחריות בין שני הגופים .
ויבחן אם יש צורך לעדכן ולשפר ממשקים אלו או לשנות את מבנה האחריות לתחום .
אבטחת המידע והגנת סייבר במרכזים הרפואיים הממשלתיים.
פעילות היחידה המגזרית במשרד הבריאות .
פעולות היחידה המגזרית במשרד הבריאות: מאז הקמת היחידה המגזרית במשרד הבריאות .
בשנת 2016 היא ביצעה מגוון פעולות, ובהן הקמה וניהול של חדר מלחמה (חמ"ל) לאומי -מרכזי .
במשרד: SOC 65 (ראו להלן), הכוונת גופי הבריאות66 , ארגון ימי עיון והדרכות, חקר וליווי של .
אירועי סייבר, ביצוע תרגילי סימולציה לתקיפות סייבר במוסדות הרפואיים67 , הקמת צוות תגובה .
לאירוע סייבר, בקרות בשטח, סקירת מערכות אבטחה, קידום שיתוף ידע בין ארגונים במגזר .
בשנת 2021 )פעלה יחידת הסייבר לאגד ולהסדיר את פעילותה תחת קורת גג של מיזם (פרויקט .
רחב בשם "כיפת מגן", שמטרתו להבטיח אבטחה של מגזר הבריאות ועמידה שלו בפני איומי .
סייבר, וזאת באמצעות ארבעה מרכיבים מרכזיים: .
כוח אדם: ביצוע הכשרות, ימי עיון, אימוני צוות תגובה ועוד .
טכנולוגיות הגנה: אספקת טכנולוגיות אבטחה בצורה מרוכזת למגזר הבריאות.
תהליכים: איסוף מידע, טיוב מערכות הגנה ועוד .
65 Security Operating Center ; "חמ"ל" לניטור, של אירועי אבטחת מידע במגזר הבריאות, ולשליטה ולבקרה עליהם.
66 לכל מוסד רפואי עם רישיון הפעלה שמשרד הבריאות הנפיק: מרפאות קטנות, קופות חולים, מעבדות, מרכזים .
67 בשנים2017 - 2020 למשל ביצע משרד הבריאות29 .
תרגילי סייבר לפחות במוסדות רפואיים שונים .
תקנים ואסדרה (רגולציה): ביצוע בקרות והמשך ניסוח הנחיות ונהלים.
כוח האדם ביחידה המגזרית: היחידה פועלת במסגרת אגף מערכות מידע ומחשוב שבחטיבת .
רגולציה, מחשוב ובריאות דיגיטלית במשרד הבריאות.
את העיסוק בתחום אבטחת המידע מרכז .
"מנהל הטכנולוגיות הראשי וממונה אבטחת מידע וסייבר" 68 (להלן- ממונה אבט חת מידע .
מערך הסייבר הלאומי הגדיר ב-2015 את היקף היחידה המגזרית במשרד .
הבריאות כהיקף פעילות בינוני, הדורש איוש של שלושה אנשי צוות: מנהל היחידה המגזרית, .
עובד שיהיה אחראי לתחום ההכוונה המקצועית ועובד שיהיה אחראי לתחום הבקרות.
עלה כי המשרה של אחראי תחום הבקרות אינה מאוישת, והבקרה מבוצעת באופן חלקי .
משרד הבריאות מסר בתגובתו כי הוא בוחן מקורות תקציביים לאיוש המשרה בהקדם.
מערך הסייבר מסר בתגובתו כי יש להגדיר את משרד הבריאות מחדש כמשרד עם היקף פעילות .
גדול בתחום הסייבר, הדורש איוש של חמישה אנשי צוות.
לנוכח איומי הסייבר על מערכת הבריאות ובהיותן של מערכות המידע משאב חיוני .
הנדרש, בין השאר, לצורך הצלת חיים, מומלץ שמשרד הבריאות ישלים את איוש המשרות .
שבתקן היחידה המגזרית.
מרכז שליטה ובקרה (SOC - Security Operating Center )של .
בהחלטת הממשלה בנושא הגנת הסייבר69 נקבע כי על המטה הקיברנטי הלאומי (כיום חלק .
ממערך הסייבר הלאומי) והיחידה להגנת הסייבר בממשלה (יה"ב) להקים ביחד מרכז שליטה .
ובקרה ממשלתי בנושא איומי סייבר - SOC ממשלתי ( SOC - Security Operating Center ,) אשר .
יעסוק בגיבוש תמונת מצב ממשלתית שוטפת בהיבטי הגנת סייבר ומתן מענה לטיפול באירועי .
יצוין כי החלטת הממשלה לא הטילה על היחידות המגזריות (היחידות להכוונה מקצועית .
בתחום הגנת הסייבר במשרדים הממשלתיים) חובה להקים SOC ייעודי לכל מגזר, ועם זאת .
בשנת 2019 מערך הסייבר הלאומי הנחה את היחידות המגזריות לפעול להקמת SOC .
בשנת 2016 , עוד לפני שניתנה הנחיית מערך הסייבר הלאומי, החליט משרד הבריאות להקים .
SOC מגזרי שייתן שירות למוסדות רפואיים - יפעל כמרכז המשמש לניטור אירועי סייבר וכן .
ה-SOC החל לפעול בסוף אותה שנה.
מטרת ה-SOC היא לספק באופן .
שוטף תמונת מצב של האירועים במגזר הבריאות ולהתערב באירועים עם התרחשותם.
SOC ( כולל אנליסטים בתחום הסייבראנשים המנתחים מידע באופן מקצועי) האוספים ומנטרים .
מידע באמצעות מערכות הגנה, ועל בסיס זאת מזהים ניסיונות תקיפה ופעילות חריגה ברשת של .
68 CTO - Chief Technology Officer .
69 החלטת הממשלה 2443" , "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר ( 15.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם הארגון.
לעיתים קרובות ה-SOC הוא המוקד הראשוני לטיפול באירוע סייבר ולניהולו.
SOC של משרד הבריאות קיים ממשק להעברת ידע עם המרכז הארצי לניהול אירועי סייבר של .
במאי 2020 היו מחוברים ל-SOC כ-35 מוסדות רפואיים ובהם בתי חולים ממשלתיים, בתי חולים .
ציבוריים, בתי חולים פרטיים, בתי חולים גריאטריים, בתי חולים פסיכיאטריים ולשכות בריאות70 .
משרד הבריאות המשיך לפעול לכך שיחוברו ל-SOC ,המוסדות הרפואיים שטרם חוברו אליו .
ובהם מוסד ח, מוסד ה, מוסד ט"ו, מוסד ב וכ ן מוסד י"ז.
יש לציין לחיוב את יוזמת משרד הבריאות להקמת ה-SOC המגזרי הנותן שירות לכלל .
מומלץ כי משרד הבריאות יפעל להשלמת החיבור של כלל המוסדות הרפואיים ל-SOC .
מוסד י"ז מסר בתגובתו למשרד מבקר המדינה מינואר 2022 (להלן- תגובת מוסד י"ז), כי הוא .
מצוי בשלב השלמת חיבורו ל-SOC .
משרד הבריאות מסר בתגובתו כי הוא פועל להשלים את חיבור כלל המוסדות הרפואיים ל-SOC.
פעילות רציפה של ה-SOC: על מנת שה-SOC יוכל לטפל באופן מלא ויעיל באירועי סייבר .
שעלולים להתרחש במוסדות המחוברים ל-SOC , חשוב לאיישו ללא הפסקה- 24 שעות ביממה .
ושבעה ימים בשבוע, זאת על מנת להגיב לאירועים כאלה בזמן אמת.
טיפול מהיר באירוע סייבר .
יתרום למזעור הנזקים ובכלל זה לצמצום אובדן מידע ולעצירה מהירה של התפשטות המתקפה, .
למשל באמצעות שליחה מהירה של צוות תגובה של אנשי מקצוע לשטח או ניתוק מיידי של .
המערכות הממוחשבות המותקפות.
בביקורת עלה כי ה-SOC של משרד הבריאות מאויש חלקית בימי חול, בשעות היום מ- .
בשאר הזמן ה-SOC מקבל שירות של ספק חיצוני הבוחן את המידע .
אחת לכמה שעות בלבד ולא באופן שוטף .
בפברואר 2020 פנתה מנהלת אגף בריאות דיגיטלית ומחשוב למנכ"ל משרד הבריאות דאז .
והעלתה את הצורך בהפעלת ה-SOC 24 שעות ביממה, שבעה ימים בשבוע.
בהיעדר איוש מלא אין בידי המשרד היכולת למנוע את איומי הסייבר הקיימים.
מומלץ כי משרד הבריאות יפעל לכך שה -SOC יפעל באופן שוטף, באופן שיאפשר .
התמודדות מקיפה ובזמן אמת עם איומי הסייבר הקיימים.
משרד הבריאות מסר בתגובתו כי הוא פ ועל לגייס ולהכשיר כוח אדם להפעלת ה-SOC 24 שעות .
ביממה ושבעה ימים בשבוע.
המשרד הוסיף כי הצפי להפעלת המרכז במתכונת זו הוא הרבעון .
70 יצוין כי קופות החולים מפעילות כל אחת SOC .
היבטים בפעילות ה -SOC: עלו פערים מסוימים בנושא זה.
משרד מבקר המדינה ממליץ למשרד הבריאות לתת מענה לפערים אלו.
משרד הבריאות מסר בתגובתו כי הוא נערך לממש מיזם לאומי להגנה על מכשור רפואי .
במוסדות הרפואיים, שישפר את ההגנה של כל המוסדות הרפואיים.
מיזם זה ממתין לאישור .
הקמת מעבדת סייבר בתחום המכשור הרפואי .
בשנת 2020 יזמו נציגים ממשרד הבריאות, מאיכילוב וממערך הסייבר הלאומיהקמה של מרכז .
סייבר באיכילוב, ובו מעבדה טכנולוגית, שבה אמורים היו להתבצע במרוכז בדיקות אבטחה .
ומחקרים על מערכות ומכשירים רפואיים, וזאת בשיתוף של חברות אבטחת מידע ושל יצרני .
על פי מסמך ההקמה של המיזם, מטרותיו הן: איתור וחקירות של סיכונים .
הכרוכים ב שימוש במכשור רפואי; להוות גורם ממליץ עבור אמ"ר (אגף אביזרים ומכשירים .
רפואיים במשרד הבריאות, ראו להלן) בנושא עמידה של מכשור רפואי בדרישות אבטחה שהאגף .
קבע; וקידום טכנולוגיות הגנה חדשניות.
תוכנן ש במרץ 2020 יוקצהלמעבדה אזור מסוים .
עד שנת 2022 צפויותלקום בישראל שתי מעבדות במגזרים אחרים - מעבדה במשרד התחבורה .
ומעבדה במשרד האנרגייה, שבהן יתבצעו מחקרי אבטחת מידע על מכשירים עיקריים: מקור .
התקציב של מעבדות אלה הוא מערך הסייבר הלאומי, המשרד הממשלתי הרלוונטי, ובמקרה .
של המעבדה במשרד התחבורה - גם מימון של שותפים פרטיים.
עלה כי יוזמת הקמת מעבדת הסייבר בתחום המכשור הרפואי לא התממשה.
מנהל אגף מחשוב מידע ותקשורת באיכילוב מסר לצוות הביקורת כי בשל היעדר תקציב, היוזמה .
לא תתממש והמעבדה לא צפויה להיבנות.
הפעלת מעבדה לצורך מחקר וביצוע בדיקות אבטחה של מכשור רפואי הם צעדים .
חשובים בצבירת ידע בדרג הלאומי ובשיפור ההגנה עליהם.
יש לכך חשיבות יתרה בשל .
העובדה שמעורבים בתהליך שותפים שונים שהם בעלי עניין - המוסדות הרפואיים, .
הגורמים המקצועיים והמאסדרים ממגזר זה וגורמים מקצועיים פרטיים.
המשותפת יכולה לייצר ערך מוסף ייחודי שיתרום לקידום תחום אבטחת המידע, תביא .
לשיפור היכולת לאתר חולשות ותשפר את האבטחה הקיימת על המכשירים; ביצוע .
הבדיקות במרוכז עשוי גם לייעל תהליכים - הן בשל שיתוף ידע ולמידת עמיתים והן בשל .
האפשרות לבצע ולממן במשותף את אותם מבדקים עבור אותם המכשירים.
מומלץ למשרד הבריאות ולמערך הסייבר הלאומי לשקול את יישום ההקמה של מעבדת .
סייבר למכשור רפואי ולבחון לשם כך מודלים אפשריים של תקצוב.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם משרד הבריאות מסר בתגובתו כי יבחן את הקמת מעבדת הסייבר בתחום המכשור הרפואי .
אישור השיווק של מכשור רפואי חדש בישראל .
אגף ציוד רפואי: אמ"ר (אביזרים ומכשירים רפואיים) הוא אגף במשרד הבריאות העוסק ברישום .
מכשירים רפואיים ובכלל זה במתן היתרי יבוא ושיווק לארץ של מכשירים רפואיים.
רפואי, התשע"ב -2012, ו תקנות ציוד רפואי (רישום ציוד רפואי בפנקס וחידושו), .
התשע"ג -2013 , מסדירים את הפעילות לאישור אמ"ר.
הנחיות בחו"ל: אגף אמ"ר מאשר את השימוש במכשיר רפואי בישראל ושיווקו, בהסתמך על .
אישוריהן של רשויות בריאות מ-21 מדינות שונות כפי שהוגדרו בתוספת הראשונה לחוק ציוד .
רפואי, ה תשע"ב-2012 , ובהן ארה"ב, אוסטרליה, קנדה, בריטניה, שווייץ וגרמניה (המ כונות .
"מדינות מוכרות"), כגון אישור ה-FDA בארה"ב או ה-EC71 .
יצוין כי בפועל ההנחיות הרגולטוריות של ה-FDA72 כוללות המלצות בעניין אבטחת מידע של .
מכשירים רפואיים ואינן מחייבות את הספקים במלואן.
במסמך של ה-FDA המפרט את הצעת .
התקציב של הסוכנות לשנת 2021 מצוין כי נכון לשנה זו אין שום חיוב סטטוטורי לכך שיצרני .
מכשור רפואי יתייחסו להיבטי אבטחת מידע וסייבר73 .
גם מסמך ההנחיות של האיחוד האירופאי .
בנושא מכשור רפואי 74 עוסק בין היתר ב אבטחת מידע אך זאת באופן כללי, והוא אינו נותן .
בהכרח מענה על צרכים של מוסדות רפואיים במגזר הבריאות בישראל 75 .
אישור יבוא שלמכשיר רפואי : לצורך קבלת אישור מאגף אמ"ר לייבא מכשיר רפואי לישראל .
מגיש הבקשה ממלא טפסים עם פרטים אסדרתיים (רגולטוריים) וטכניים שונים הנוגעים .
למכשיר, ובכלל זה מסמכים המעידים על בטיחות המכשיר למטופלים, בטיחו ת חשמל, .
סטריליזציה וניהול איכות, אולם הנחיות אמ"ר אינן נוגעות לצורך בעמידתו של המכשיר בתקני .
כמו כן הספקים חייבים לדווח לאמ"ר בתוך 48 שעות על תקלות חמורות עד כדי .
סיכון חיים, אולם חובת דיווח כזאת אינה חלה על תקלות אב טחת מידע חמורות שהתגלו .
71 Conformité Européenne )(בצרפתית- תו תקן שניתן למכשור רפואי העומד בדירקטיבת המכשירים הרפואיים של .
72 ,למשל Postmarket Management of Cybersecurity in Medical Devices משנת2016.
73 Justification of Estimates for Appropriations Committees , Department of Health an d Human Services ,2021 .
74 Regulation (EU) 2017/745 of the European Parliament and of The Council of 5 April 2017 on medical devices ; .
האיחוד האירופאי גםפרסם המלצות מפורטות לשיפור האבטחה של מכשור רפואי ( MDCG 2019 -16 Guidance on .
Cybersecurity for medical devices ) אך אלה ברובן המלצות לא מחייבות.
75 דוגמה לאסדר ה בין-לאומית בתחום הסייבר , ש תכליתה לתת מענה על אתגרי אבטחת המידע, היא החלטה WP29 .
של האו"ם בתחום הרכב, שבעקבותיה יחולו בהדרגה בשנים2022 - 2024 תקנות סייבר מחייבות על יצרני רכבים .
באיחוד האירופי שמטרתן לשפר את ההגנה על רכבים בפני מתקפות סייבר (למשל החובה לספק עדכוני תוכנה .
בתחום אבטחת המידע); UNECE, UN Regulations on Cybersecurity and Software Updates to pave the way for .
20(, connected vehicles mass roll out of , [ קישור.
נוהל מכשור רפואי של משרד הבריאות משנת 2018 שגיבש המשרד בעקבות קבלת המלצות .
ועדה שעסקה באבטחת מידע במכשור רפואי שהוקמה בשנת 2012 אינו נותן מענה לצורך .
בקביעת מדדים מחייבים בתחום אבטחת מידע בהליך אישור מכשור רפואי על ידי אמ"ר .
ביוני 2017 ציין ממונה אבטחת מידע במשרד בכנס מקצועי כי בכוונת המשרד להרחיב את .
התקנות שמפרסם אמ"ר ולהוסיף להן נדבך של אבטחת מידע; המשנה למנכ"ל דאז ציין בכינוס .
בנושא בית חולים חכם ומוגן סייבר בשנת 2019 כי "היעדר תקני אמ"ר לסייבר בכל הנוגע לציוד .
רפואי" הוא אחד הנושאים ש"משרד הבריאות נדרש לעשות 'שיעורי בית' בהם"; לפי תוכנית .
העבודה של היחידה המגזרית במשרד הבריאות לשנת 2021 ,בתחום אבטחת המידע במשרד .
ברבעון האחרון בשנת 2021 "תכנן המשרד עבודה על "תקנות לחוק אמ"רוהכנת טיוטה ראשונה .
עולה כי במועד סיום הביקורת המשרד לא נתן מענה לאומי לצורך בקביעת מדדים .
מחייבים בתחום אבטחת מידע בעת אישור לייבוא ול שיווק של מכשור רפואי בישראל.
מומלץ שמשרד הבריאות ישקול לשלב תקני אבטחת מידע בהליך האישור של אמ"ר לייבוא .
ולשיווק של מכשור רפואי לישראל.
צעד זה יאפשר לנהל בדיקה מרוכזת בדבר קיומם של .
מדדי אבטחת המידע הנדרשים במכשור רפואי חדש וישפר את רמת האבטחה של מכשירים .
רפואיים המשמשים את בתי החולים, קופות החולים ומוסדות רפואיים נוספים.
תחום הגנת הסייבר במערכת הבריאות הוא בעל חשיבות רבה, שכן זמינותם המלאה .
והקבועה של מע רכות המידע והמכשור הרפואי נחוצה לתהליכים מצילי חיים.
אסדרה של סמכויות מערך הסייבר הלאומי כלפי היחידות המגזרית במשרדי הממשלה .
עלול להקשות את שיתוף הפעולה עם הגופים.
לצד ההנחיה של מערך הסייבר הלאומי, .
משרד הבריאות פועל כמאסדר של המוסדות הרפואיים, בכלל זה בתחום אבטחת המידע.
על משרד הבריאות כמאסדר של המוסדות הרפואיים להשלים את גיבוש הנהלים בתחום .
על המשרד מוטלת האחריות גם לוודא כי המוסדות פועלים לשפר את .
ההגנה שלהם על מערכות המידע והמכשור הרפואי, וכן כי הם עומדים בנוהלי המשרד .
כפי שעלה בדוח זה, בקרות הרישוי של משרד הבריאות בבתי .
החולים ובקופות החולים בשנים 2019 - 2020 לא כללו בקרה בנושא מכשור רפואי, וכן .
המשרד לא בדק אם תוקנו ליקויים שהועלו בתחום אבטחת המידע.
מומלץ שמשרד הבריאות יגבש תוכנית רב -שנתית להגנת סייבר במוסדות הרפואיים .
הכוללת הגדרת יעדים, סדרי עדיפויות, מדדים וכן הערכה תקציבית נדרשת ואת מקורות .
משרד הבריאות מסר בתגובתו כי בתחילת שנת 2022 הוא החל לגבש המלצות לתוכנית מסגרת .
לצורך היערכות להתמודדות עם איומי הסייבר במערכת הבריאות בישראל , שתעסוק, בין היתר, .
בהתייחסות לתהליכי העבודה בין היחידות השונות במשרד, בניהול הסיכונים בנוגע לפגיעה .
האפשרית ברציפות התפקודית במערכת הבריאות, במשאבים הנדרשים ובמקורות התקצוב, ביעדי .
בקרה בעבודה מול רשויות נוספות במדינה, ובשינוי תפיסה ותרבות ארגונית בתחום אבטחת המידע.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מדיניות אב טחת מידע במוסדות הרפואיים .
אחד העקרונות המרכזיים בתחום אבטחת המידע הוא מדיניות וממשל בתחום מערכות המידע .
בכלל ( IT Governance ) ובתחום אבטחת מידע בפרט.
מונח זה נוגע לתהליך התאגידי .
שבאמצעותו ההנהלה מוודאת כי מערכות המידע תומכות ביעדים המקצועיים והעסקיים של .
הארגון, ובה בעת שהסיכונים הרבים הכרוכים בשימוש במערכות מנוהלים כראוי.
סוגיות מרכזיות במדיניות של המוסדות הרפואיים בתחום אבטחת המידע.
ועדת היגוי ובעלי תפקידים .
פרק זה מתבסס על תשובות 25 המוסדות הרפואיים על השאלון שנשלח אליהם במסגרת .
הביקורת (להלן - שאלון אבטחת המידע): 11 המרכזים הרפואיים הכלליים-ממשלתיים, שני .
המרכזים הרפואיים הציבוריים, שמונת המרכזים הרפואיים הכלליים של הכללית וארבע קופות .
(כפי שיפורט בהמשך, ביתר פרקי השאלון, פרט לפרק זה, הכללית השיבה בשם כל .
שמונת המרכזים הרפואיים הכלליים שלה ומרפאות הקהילה).
בעל התפקיד העומד בראש ועדת ההיגוי לתחום הגנת המידע: על פי תורת ההגנה .
בסייבר, האחריות להגנה על המידע מוטלת בראש ובראשונה על הנהלת הארגון.
משרד הבריאות משנת 2015 קובע כי כל מנהל מוסד רפואי ימנה ועדת היגוי לתחום הגנת המידע .
הוועדה תתווה את מדיניות אבטחת המידע במוסד 76 .
בכל 25 המוסדות הרפואיים שענו על שאלון אבטחת המידע פעלה ועדת היגוי, ובשישה .
מהם - מוסד י"ז, מוסד ט"ז, מוסד י"א, מוסד י"ב, מוסד ח ומוסד ה - עמד בראשה מנהל .
בית החולים או מנהל הקופה כנדרש בחוזר מנכ"ל משרד הבריאות משנת 2015 .
של הוועדות במוסדות האחרים עמדו סגן מנהל בית חולים, סמנכ"ל, חבר הנהלה אחר .
או המנהל האדמיניסטרטיבי.
מוסד ב מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד ב), כי המנכ"ל .
מקיים ישיבות בתחום אבטחת מידע וסייבר פעם בחודש וחצי.
הדרישה כי מנהל המוסד הרפואי יעמוד בראש ועדת ההיגוי לתחום הגנת המידע מכוונת .
לכך שמדובר בצורך ארגוני, אסטרטגי בעל חשיבות מהמעלה הראשונה.
הרפואיים להבטיח כי מנהל המוסד יעמוד בראש הוועדה כנדרש בחוזר מנכ"ל משרד .
מוסד ו מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד ו), כי יעדכן את .
כתב המינוי של הוועדה באופן שבראש הוועדה יעמוד מנהל המרכז הרפואי.
76 יצוין כי בטיוטת חוזר מנכ"ל בנושא רגולציית יסוד מ-2020 נכתב כיבראש ועדת ההיגוי יעמוד המנהל הכללי של .
הארגון או מי מ טעמו שהוא חבר הנהלה בכירה.
כאמור, במועד הביקורת טרם פורסם החוזר.
מוסד ז מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד ז), כי מנהל .
המרכז הרפואי י עמוד בראש ועדת ההיגוי.
ממונה אבטחת מידע: תקנות הגנת הפרטיות קובעות כי חלה חובה למנות ממונה על אבטחת .
מידע במוסדות המחזיקים מעל חמישה מאגרי מידע החייבים ברישום או בגופים ציבוריים .
כהגדרתם בחוק הגנת הפרטיות.
חוזר מנכ"ל משרד הבריאות משנת 2015 קובע כי בכל מוסד .
רפואי ימנה מנהל המוסד ממונה אבטחת מידע.
ב-24 מ-25 המוסדות הרפואיים שהשיבו על שאלון אבטחת המידע ציינו שפועל אצלם .
ממונה אבטחת מידע; מוסד י ציין כי ממונה אבטחת המידע נמצא בתהליכי גיוס.
ממונה הגנת הפרטיות: הימצאות מידע אישי ורגיש בארגונים המחזיקים מאגרי מידע, ובפרט .
מידע רפואי אישי הנשמר במערכות של המוסדות הרפואיים, מחייבת אסדרה תוך שימת דגש .
בהתאם לכך, מינוי ממונה הגנה על הפרטיות בארגונים הפך לתקנה מחייבת .
במדינות מערביות רבות.
למשל, האסדרה הכללית להגנה על מידע של האיחוד האירופי משנת .
2016 (ה- GDPR - General Data Protect ion Regulation ), מחייבת למנות ממונה הגנה על הפרטיות .
בארגונים שמחזיקים מאגרי מידע רפואי ולהבטיח את עצמאותו של בעל תפקיד זה.
בהפרדת תפקיד ממונה הגנת הפרטיות מתפקידים אחרים, ובהם מנהל הסיכונים וממונה .
אבטחת המידע, והצורך בעצמאותו של ממונה הגנת הפרטיות נדונה גם בפורומים מקצועיים .
למשל, בשנת 2020 הרשות הבלגית להגנה על הפרטיות הטילה קנס על חברה .
שמינתה ממונה הגנה על הפרטיות שכיהן גם כמבקר הארגון וכמנהל הסיכונים 77 .
במשך השנים הועלו בישראל הצעות למנות ממונה הגנה על הפרטיות בכל ארגון המחזיק מידע .
כזה, על מנת שזה יבטיח עמידה בדיני הגנה על מידע אישי ויוביל להטמעה של עקרונות ושיקולי .
פרטיות בתהליכי העבודה של הארגון 78 :.
• באוקטובר 2020 פרסמה הרשות להגנת הפרטיותטיוטה להערות הציבור בנושא "מינוי ממונה .
הגנה על הפרטיות בארגון ותפקידיו"79 , ובו המליצה למנות ממונה הגנה על הפרטיות בכל .
בינואר 2022 , לאחר מועד סיום הביקורת, פרסמה הרשות את מסמך ההמלצות בנושא80.
• ועדה שהקים משרד הבריאות בשנת2017 בנושא "התמודדות עם איום הפגיעה בפרטיות .
המטופל ובסודיות המידע הרפואי וגיבוש תוכנית פעולה לצמצום התופעה ומיגורה" המליצה .
למנות ממונה ארגוני להגנה על הפרטיות.
• בינואר 2020 משרד הבריאות גיבשטיוטת חוזר מנכ"ל בנושא רגולציית יסוד.
הנוהל, על מנהל הארגון למנות ממונה על הגנת הפרטיות מקרב עובדי הלשכה המשפטית .
בארגון, שישמש מנחה מקצועי בתחום לכל הארגון ויהיה אחראי לפיתוח שיטות הטמעה .
להגנת פרטיות המידע ולהדרכה בנושא, להתוויית הוראות עבודה להגנת פרטיות המידע, .
77 Privacyproficient ,, בלגיה Can a CISO be a DPO ?
78 ,ראו גם מבקר המדינהדוח שנתי 69 ב(2019 ,) '"היבטים בהגנה על הפרטיות במאגרי מידע", עמ3 .
79 " ,הרשות להגנת הפרטיותמינוי ממונה הגנה על הפרטיות בארגון ותפקידיו" ( 29.
80 " ,הרשות להגנת הפרטיותמינוי ממונה הגנה על הפרטיות בארגון ותפקידיו " ( 25.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם לבקרה וביקורת על יישום הגנת הפרטיות.
משרד הבריאות מסר לצוות הביקורת כי מנכ"ל ה משרד אישר את הטיוטה, וכי המשרד הפיץ אותה .
למוסדות הרפואיים לצורך קבלת הערותיהם וצפוי לפרסם את הנוהל הסופי בסוף שנת 2021 .
ראו בתרשים ובלוח שלהלן מידע על המוסדות שמינו ממונה הגנה על הפרטיות, ופרטים על .
תרשים 5: מינויממונה הגנה על הפרטיות במוסדות הרפואיים .
על פי מענה המוסדות הרפואיים על שאלון אבטחת המידע, בעיבוד משרד מבקר המדינה.
לוח 1: מינוי ממונה הגנה על הפרטיות במוסדות הרפואיים .
מינו ממונה הגנה על הפרטיות לא מינו .
שמונת המרכזים הרפואיים של הכללית .
מהתרשים ומהלוח עולה כישמונה מ-25 המוסדות הרפואיים לא מינו ממונה הגנה על .
מוסד ו מסר בתגובתו כי ימנה ממונה הגנה על הפרטיות לאחר שהמאסדרים יפרסמו הנחיות .