HeTree/MevakerConcSen huggingface dataset:
משרד מבקר המדינה מעיר כי בנוסף להנחיה המשרדית, על הנהלת משרד החינוך להטמיע , לפני פרסום מכרזים להתקשרות עם ספקים , שלב מקדמי הכולל בחינה על פי הדרישות שבתקנות אבטחת מידע ובהנחיית הרשם בנושא מיקור חוץ.
98 ככלל, התקשרות משרד ממשלתי לביצוע עסקה לרכישת טובין, שירותים, עבודות או מקרקעין מחייבת ביצוע הליך מכרז פומבי.
עם זאת, על פי תקנות חובת המכרזים, התשנ"ג-1993 , במקרים מסוימים יכול להינתן פטור מעריכת מכרז בתנאים שנקבעו בהן.
כך למשל, במקרה של התקשרות בחוזה לביצוע עבודה או לרכישת שירותים אשר שוויה אינו עולה על 50,000 .
ש"ח היבטים בהגנה על הפרטיות במאגרי מידע |59 .
פיקוח ובקרה על ספקים .
על פי תקנות אבטחת מידע, בעל מאגר מידע המתקשר עם ספק יקבע במפורש בהסכם: את המידע שהספק רשאי לעבד ואת מטרות העיבוד; את המערכות שהספק רשאי לגשת אליהן; את סוגי העיבוד שהוא רשאי לבצע; את משך ההתקשרות ואופן הש בתו של המידע לבעלים בסיומה; והנחיות על אמצעי אבטחת המידע שהספק יהיה חייב בהן.
על בעל המאגר לנקוט אמצעי בקרה ופיקוח גם על עמידתו של הספק בהוראות ההסכם ובהוראותיהן של תקנות אבטחת מידע, בשים לב לסיכוני אבטחת המידע הכרוכים בהתקשרות.
גם בהנחיית הרשם בנושא מיקור חוץ נקבע כי יש לבצע פיקוח ומעקב שהספק מקיים את הוראות החוק והוראות ההסכם באמצעים טכנולוגיים מקובלים, כגון התקנת מערכות ניטור ובקרה, ככל שאפשר.
נמצא כי לאחר בחירתו של הספק הזוכה ו כל תקופת ההתקשרות אתו , משרד החינוך לא עושה פעולות לבקרה ופיקוח בתחום אבטחת מידע, בהן בדיקת יישום הוראותיו של נספח אבטחת המידע, הגם שכבר ב-2014 ציינה חטיבת אבטחת מידע במינהל תקשוב את הצורך בבדיקת כשירותם של המועמדים במכרזים ובבקרות שוטפות על ספקים.
הצורך בבקרה ופיקוח על ספקים עלה גם מתחקור אירוע אבטחת מידע: בשנת 2015 ,התברר כי חיפוש באינטרנט מגלה מידע רגיש מאתר האינטרנט של ספק ובו שמות של 2,000 ויותר תלמידים ומורים המלמדים אותם.
בדוח תחקיר האירוע נכתב כי הספק לא עמד בדרישות מהותיות שנכללו בנספח אבטחת המידע שהתחייב לו.
בדוח הומלץ לוודא שהמידע המוגן המצוי אצל הספקים השונים מאובטח בהתאם להוראות אבטחת מידע וחוק הגנת הפרטיות, והומלץ על בדיקת עמידתם של כלל הספקים בדרישות אבטחת המידע האמורות.
המלצה ברוח דומה עלתה גם בתחקור אירוע אחר, שהתרחש בפברואר 2016 , ונפרצו בו שני אתרי אינטרנט בית ספריים, הושתלו בהם מילים בוטות, תמונות מאיימות ומחקו מהם נתונים.
הרשות להגנת הפרטיות מסרה בתשובתה כי אירוע אבטחת המידע האמור מ-2015 טופל מול משרד החינוך והספק, ובעקבותיו נפתח ברשות תיק אכיפה רוחבי להסדרת מדיניות הגנת הפרטיות בפורומים של משרד החינוך, ובמיוחד בפורומים הבית ספריים שמשתתפים בהם תלמידים.
נבדקו כ -400 אתרי אינטרנט שכללו מידע אישי רגיש של משתמשיהם.
בממצאי הבדיקה נכללו הנחיות לתיקון ליקויים בתחומי הגנת הפרטיות.
משרד מבקר המדינה מעיר למשרד החינוך, כי בהתאם לתקנות אבטחת מידע עליו לפקח על עמידתם של ספקים בדרישות אבטחת מידע שנכללו בהסכמים עימם נוכח ההשלכות ופוטנציאל הפגיעה בפרטיות התלמידים, כדי להפחית את הסיכון שאירוע של גילוי מידע רגיש על תלמידים באינטרנט יישנה .
בנסיבות הקיימות, של היעדר בדיקות שיבטיחו את הגנת המידע האישי המצוי במאגרי המשרד ומועבר לידי ספקים חיצוניים, נשקפת סכנה לפרטיותם של נו שאי המידע, בהם תלמידים ומשפחותיהם.
הדברים מקבלים משנה תוקף נוכח אירועי אבטחת מידע באתרים בית ספריים, ודורשים בחינה של כלל הספקים.
משרד החינוך השיב, כי פיקוח ובקרה על יישומן של הוראות אבטחת המידע בידי הספק ישולבו בתוכנית העבודה של מינהל תקשוב, וציין כי בעקבות אירוע אבטחת המידע הורה על ביצוע בדיקות חדירות אצל כלל ספקי המשרד.
אבטחת מידע במוסדות חינוך .
בתי ספר רבים מקימים מאגרי מידע מקומיים לשימושם, חלקם מכילים רשימות תלמידים שננקטו לגביהם פעולות חינוכיות שונות, רשימות תלמידים בעלי בעיות משפחתיות או כלכליות ועוד.
דוגמה למאגר מידע המכיל פרטים רבים על תלמידים, משפחותיהם וצוותי ההוראה בבתי הספר היא מערכת המנב"ס- נט99 .
התוכנות הנלוות למערכת זאת כוללות אף מידע על לקויות למידה ובעיות רפואיות שונות של תלמידים.
בחוזר המנכ"ל "מאגרי מידע בבתי הספר - רישום, דיווח ואבטחת מידע" מנובמבר 2009, קבועות הוראות המסדירות את אבטחת המידע שמצוי במאגרים של בתי הספר, חובת מינוי ממונה אבטחת מידע בבית הספר, מיפוי כל מאגרי המידע, מתן הרשאות גישה לפי הצורך ועוד .
לפיקוח על יישומן של הוראות החוזר אחראי מינהל תקשוב.
לצד התקשרויות של יחידות משרד החינוך עם ספקים נתונה למנהליהם של מוסדות חינוך האפשרות להתקשר במישרין עם ספקים כדי להפעיל מוצרים טכנולוגיים שונים, כמו יישומונים, אתר אינטרנט בית ספרי וסביבות למידה מתוקשבות.
מנהלי בת י הספר 100 מוּנחים שלא להתקשר אלא עם ספקים שאישר המשרד (להלן - ספקי החינוך)101.
תנאי סף לקבלת אישור זה הוא התחייבות הספק לעמידה ב"תקן אבטחת מידע - גרסה 2.
99 מנב"ס-נט היא מ ערכת מינהל בית ספרי אינטרנטית שפיתח מינהל תקשוב ומיועדת לתמוך בניהול המידע בבתי הספר, לרבות בניית מערכת שעות, דיווח מהלכי שיעור, דיווח נוכחות תלמידים והתנהגויות, ניהול הערכות תלמידים ודיווח מצבת עובדי הוראה.
הגישה למערכת אפשרית מכל עמדה המחוברת לאינטרנט.
100 בפרט לאור המעבר של בתי הספר היסודיים לשיטת "ניהול עצמי", הכוללת מתן אוטונומיה וסמכות לבתי הספר תוך העברת המשאבים אליהם.
101 במידע הקיים באתר משרד החינוך בקשר ל"פורטל הבית ספרי" מפורטים פרטי הספקים המאושרים לשימוש על ידי משרד החינוך.
היבטים בהגנה על הפרטיות במאגרי מידע |61 .
מקבץ של דרישות אבטחת מידע שקבע משרד החינוך לספקי מוצרים חינוכיים טכנולוגיים.
על פי נתוני משרד החינוך, יש 72 ספקי חינוך המספקים למוסדות חינוך 105 .
שירותים טכנולוגיים, מוצרי תוכנה ותכנים דיגיטליים במרץ 2018 התרחש אירוע דליפת מידע רגיש מיישומון שפיתח אחד מספקי החינוך.
היישומון מאפשר לצוותים של גני ילדים לתקשר עם הורים ולחלוק איתם תמונות, מידע אישי ולוח אירועים של גן הילדים.
המידע שד לף מן היישומון חשף באינטרנט כשישה מיליון תמונות של ילדים ופרטים של יותר מ- 100,000 הורים.
דליפת המידע טופלה בידי הרשות להגנת הפרטיות ובמועד סיום הביקורת טרם נסתיימו פעולות האכיפה בקשר לאירוע.
בעקבות האירוע ובהנחיית סמנכ"ל תקשוב, טכנולוגיה ומערכות מידע במשרד החינוך, פתח המשרד בבדיקות אבטחת המידע לכלל המוצרים של ספקי החינוך.
לנציגי משרד מבקר המדינה נמסר כי בסוף 2018 הושלמו פעולות הבקרה על כלל ספקי החינוך, והמשרד מתכנן לבצע בשנת 2019 בדיקות שוטפות שנתיות ואף רבעוניות של כלל ספקי החינוך.
משרד החינוך מעודד את בתי הספר לנהל את התכנים והידע המקומיים בסביבות ענן102 שקיבלו את אישורו, לרבות תיבות דוא"ל ארגוניות מאובטחות.
עם זאת, כיוון שהמידע נשמר בשרתים של חברות מסחריות, בתי הספר הונחו להימנע בסביבות אלה משימוש במידע אישי, בעיקר מספרי זיהוי, תארי כי לידה, כתובות, וכדומה .
על צוותי ההוראה נאסר להשתמש בתיבות דוא"ל פרטיות אלא בתיבות הדואר הארגוניות המאובטחות103 .
,נוסף על כךחלות על עובדי משרד החינוך הנחיות ארכיון המדינה, המחייבות אותם ל נהל את הדוא"ל שלהם בתיבת הדואר הארגונית -ממשלתית ולא בפרטית, ולהפריד בין דואר פרטי לארגוני.
הביקורת העלתה כי הגם שהוקצו לעובדי משרד החינוך תיבות דוא "ל ארגוניות במערכת "יונת דואר", כמעט שלא נעשה בהן שימוש.
מדוח פעילות שהופק עבור משרד מבקר המדינה ביולי 2018 עולה, שאף כי בתיבות הדואר של המערכת מתקבלות הודעות רבות , מספר המשתמשים השולחים הודעות באמצעות המערכת הוא אפסי104 .
102 "מחשוב ענן" הוא שירותי מחשוב הניתנים למשתמש באמצעות מחשב מרוחק אליו מתחבר המשתמש דרך רשת האינטרנט או קו תקשורת ייעודי.
בחיבור כזה המשתמשים אינם צריכים לרכוש ולנהל מערכות מחשוב אלא שוכרים את שירות "סביבת הענן" מספקים המעמידים כוח מחשוב שהגישה אליו היא מרחוק.
בסביבת ענן הניתנת לבתי הספר ניתן לבצע יצירה ושמירה של מסמכים, עריכה ושיתוף של התכנים החינוכיים, למידה משותפת, השתתפות בכיתות וירטואליות ועוד.
il/c loud/home/svivot_anan_hinuch/Pages/havtacha.
aspx 103 :ראו לעניין זה http://sites.
il/cloud/home/tikshuv/Documents/hanchayot_havtachat_mida_ isefer.
pdfbat 104 ההערכה היא שההודעות שמתקבלות לתיבות הדואר הן הודעות ארגוניות הנשלחות על ידי גורמים במשרד החינוך לעובדיו.
בחודשים מאי-יולי 2017 ערך משרד החינוך סקר אבטחת מידע שנועד למפות את הפערים הקיימים בתחום אבטחת המידע ב -406 ,בתי ספר ברחבי הארץ ולבנות תוכנית עבודה ארוכת טווח לצמצום הפערים שיימצאו.
בסקר אבטחת המידע נמצא, בין היתר, כי אין בבתי הספר תקן אחיד לשמירה ולגיבוי של מידע.
הגיבויים נעשים על פי שיקול דעת מקומי ובמקרים רבים באופן לא מאובטח.
למשל, 28% מבתי הספר שהשתתפו בסקר דיווחו כי הם מגבים מידע בהתקן נ ייד, המהווה סיכון לאבטחת המידע.
עוד נמצא, כי מידע פדגוגי ואישי על תלמידים מועבר בבתי הספר בתיבות דוא"ל פרטיות שאינן מאובטחות.
במסמך סיכום הסקר מיולי 2017 הומלץ על הגדרת מדיניות משרדית לגיבוי המחשבים ומערכות המידע בבתי הספר, אשר תכלול הנחיה על המידע שיש לגבות, על אופן הגיבוי ועל תדירותו.
עוד הומלץ, על מציאת פתרון טכנולוגי מאובטח לגיבוי המידע, ועל אכיפת חובת השימוש בתיבות הדוא"ל המאושרות בידי משרד החינוך לצורכי העבודה בבתי הספר והתקשורת עם הורים ותלמידים.
בעקבות הסקר פרסם משרד החינוך באוגוסט 2017 עלוני מוּדעות והנחיות אבטחת מידע לבתי הספר הכוללים הוראות לניהול גישה והרשאות למערכות המכילות מידע על תלמידים, לטיפול באירועי אבטחת מידע, לשימוש בדוא"ל ארגוני מאובטח בלבד ולגיבוי המידע המצוי בבתי הספר .
נמצא כי מעבר להנחיות המפורסמות באתר המשרד ובעלון אבטחת המידע שנשלח לבתי הספר, לא התקבלה החלטה מעשית על אכיפת האיסור לעשות שימוש בתיבות דוא"ל פרטיות להעברת מידע פדגוגי או אישי על תלמידים.
משרד החינוך השיב, כי הוא מייחס חשיבות רבה לאבטחת מידע ולהגנת הפרטיות והוא פועל לצמצום השימוש בתיבות דוא"ל פרטיות, באמצעות הנחיות אבטחת מידע ובביקורות אבטחת מידע על מוסדות חינוך, שבמסגרתן כל בית ספר שעבר בקרה מקבל דוח ליקויים.
משרד מבקר המדינה מעיר למשרד החינוך, כי עליו לזהות את הסיבות להימנעותם של צוותי ההוראה משימוש בתיבות הדוא"ל הארגוניות ולפעול ביתר תקיפות להגברת השימוש בהן.
נדרשת גם בחינה של השימוש השכיח ביישומונים להעברת מסרים וברשתות החברתיות, האם גם בהם מועבר מידע מוגן או רגיש, ואם כן, לבחון דרכי טיפול בכך.
היבטים בהגנה על הפרטיות במאגרי מידע |63 .
מדיניות אבטחת מידע ומיפוי מאגרי המידעשבבעלות משרד החינוך .
על פי החלטה2443 מפברואר2015 , על המנכ"לים של משרדי הממשלה להגדיר תוכנית מדורגת להטמעה, התעדה105 והסמכה לתקן אבטחת מידע ארגוני - 27001ISO (להלן- תקן 27001)106 .
תקן זה מפרט דרישות ליישום אמצעי בקרת אבטחה המותאמים לצורכי הארגון כדי להגן על "נכסי מידע"107 .
הביקורת העלתה כי רק בשנת 2018 החל משרד החינוך בהטמעת תקן 27001 , ועל פי ההערכות, מועד עמידתו של המשרד בדרישות אבטחת המידע שבתקן יהיה יוני 2019 .
בהתאם להחלטה 2443 הקים משרד החינוך יחידה להגנה בסייבר שמטרתה להעלות את רמת הגנת הסייבר של הגופים המפוקחים על ידי משרד החינוך, בהתאם לתהליך ניהול סיכונים ארגוני.
בהתאם להנחיית המסגרת והנחייה בנושא "מדיניות להגנת הסייבר בממשלה" שפרסמה יה"ב בספטמבר 2016 , על הנהלות משרדי הממשלה לפעול בהתאם לעקרונות מדיניות הגנת סייבר, המבוססת על סיכונים למידע, תוך התאמה לצרכים התפעוליים והארגוניים של המשרד.
על פי ההנחיה, פגיעה במידע עלולה לגרום לנזקים תפעוליים, טכנולוגיים וכספיים הקשורים לביטחונו ולשלומו של אדם או של הציבור, וכן להוביל לפגיעה בפרטיות של אזרחי המדינה.
באוקטובר 2017 נעשה במשרד החינוך "סקר סיכוני אבטחת מידע על תשתיות המשרד " (להלן - סקר סיכוני אבטחת מידע), באמצעות חברה פרטית.
סקר הסיכונים העלה צורך בעדכון מדיניות אבטחת המידע המשרדית, פיתוח יכולת התיעוד והטיפול באירועי אבטחת מידע וקיום סקרים נוספים לבקרת האבטחה במערכות המשרד.
נכון למועד סיום הביקורת אין למשרד החינוך מדיניות אבטחת מידע וסייבר מאושרת.
תהליך שבו גורם מקצועי מאשר שתהליך מסוים או שירות תואם דרישות מוגדרות 106 תקן 27001 הוא אחד התקנים הלא -רשמיים שפרסם מכון התקנים הישראל י העוסק במיסוד מערכת לניהול אבטחת מידע ארגונית.
התקן שימש כנורמה מקיפה לאבטחת מידע בארגונים עד להחלטה 2443 אשר קבעה, כאמור, את הדרישה ממשרדי הממשלה לעמוד בתקן זה על פי התכנית שפורטה בהחלטה.
107 "נכסי המידע" מוגדרים בהנחיית המסגרת: "המידע, מערכות המחשוב המע בדות ומאחסנות אותו והתקשורת, האמצעים והציוד עליו הוא מושתת".
משרד החינוך מסר למשרד מבקר המדינה, כי הליך אישור מדיניות אבטחת מידע וסייבר ייעשה כחלק מההסמכה לתקן 27001 כאמור והוא מדווח על ההתקדמות בהליך הטמעת התקן לתקשוב הממשלתי.
בהחלטת ממשלה 1933108 נקבע, כי עד סוף שנת 2017 על כל משרד ממשלתי להשלים תהליך של מיפוי מאגרי המידע המצויים ברשותו ולשלב בתכניות העבודה השנתיות פעילות להנגשת מאגרי המידע.
החלטה זו משקפת את תפיסת השקיפות השלטונית שאומצה בישראל במספר החלטות ממשלה הכוללות גם שיקולי הגנת הפרטיות במסגרת יישומן.
חובת המיפוי וההכנה של רשימת מצאי מעודכנת של מאגרי המידע קיימת גם מכוח תקנות אבטחת מידע ותקן 27001109 .
במועד הביקורת, על פי הערכת מינהל תקשוב מתוך כ -150 מאגרי מידע של משרד החינוך היו רשומים בפנקס מאגרי המידע שברשות להגנת הפרטיות רק כ-33 .
מאגרים עד מועד סיום הביקורת לא היה למשרד החינוך מיפוי של מאגרי המידע שלו או רשימת מצאי של מערכות המידע.
עוד עלה, כי הפעילות למיפוי מאגרי המידע נמצאת רק בראשית דרכה כחלק מעבודת המשרד להסמכה לתקן 27001 .
העדר מיפוי מאגרי המידע של משרד החינוך והצורך למפות את כלל הנכסים הארגוניים, עלו גם בסקר סיכוני אבטחת המידע מאוקטובר 2017 .
משרד החינוך מסר בתשובתו כי הוא פועל ליישום של החלטה2443 , של תקן אבטחת מידע 27001 ולעמידה בתקנות אבטחת מידע החדשות, לרבות מיפוי כל מאגרי המידע המשרדיים.
זאת ועוד, הועלה כי באגף הרכש והמכרזים במשרד החינוך אין רשימה מרוכזת של ספקים שזכו במכרזים, ולפיכך למעשה אין למשרד החינוך תמונה מלאה על אותם ספקים המחזיקים במאגרי מידע, ואין דרך ליישם את הוראות התקנות וההנחיות השונות המחייבות למפות ולסוו ג את סוגי המידע ואת הסיכונים הנוגעים לאבטחתם.
על משרד החינוך למפות את הספקים שיש לו התקשרות עימם ולפעול למפות ולסווג את מאגרי המידע שברשותם ואת הסיכונים הנוגעים לאבטחתם.
108 'החלטת ממשלה מס1933 מ- 30.
16 בנושא "שיפור העברת המידע הממשלתי והנגשת מאגרי מידע ממשלתיים לציבור".
109 יצוין כי גם במסגרת פרויקט "הסדרת מערך המידע" נעשה מיפוי של מאגרי המידע המשרדיים אך הוא שונה במאפייניו מהמיפוי הנדרש על פי תקנות אבטחת מידע והחלטה 1933.
היבטים בהגנה על הפרטיות במאגרי מידע |65 .
סקרי סיכונים ובדיקות חדירוּת .
על פי תקנות אבטחת מידע, יש חובה לערוך סקר לאיתור סיכוני אבטחת מידע (להלן - סקר סיכונים) ומבדקי חדירות על מאגרי מידע הטעונים רמת אבטחה גבוהה, אחת ל-18 חודשים לפחות, כדי לבחון את עמידותם לסיכונים פנימיים וחיצוניים.
ניהול הסיכונים הוא תהליך מחזורי המורכב מכמה שלבים: זיהוי הסיכון, הערכת הסיכון בהקשר של תהליכים ארגוניים, קביעת הטיפול בסיכון והטמעת הטיפול בתוכנית עבודה, מדידת תוצאות לאחר ההטמעה וביצוע פעילות מתקנת.
גם על פי תקן 27001 ,קיימת חובה לקיים מערכת לניהול אבטחת מידע ארגונית שתכלול זיהוי של הסיכונים לנכסי המידע, ניתוח ומדידה של הסיכונים, בחירה של אמצעי בקרה לטיפול בסיכונים ועוד.
על פי החלטת ממשלה 2097 מאוקטובר 2014110 , בתחומי הפעילות של התקשוב הממשלתי כלולים, בין היתר, גיבוש מדיניות לניהול סיכוני תקשוב, סיוע בהטמעת מתודולוגיה לניהול סיכוני תקשוב באגפי מערכות המידע והטמעת חובות אבטחת מידע לפי דין.
התקשוב הממשלתי אחראי לסייע למשרדי הממשלה בהנעת סקרים של סיכוני תקשוב וביישום תוכניות להפחתת הסיכונים, גם באמצעות הכלים הטכנולוגיים הממשלתיים.
בהתאם להחלטה 2097 , ראש רשות התקשוב הממשלתי פרסם כמה הנחיות לניהול סיכוני תקשוב שעל משרדי הממשלה לבצע.
אלה רק חלק מהבקרות הנדרשות בתחום הגנת הסייבר, ותורת ההגנה כוללת מבדקים נוספים.
מסקר של סיכוני אבטחת המידע מאוקטובר 2017 עולה, כי נעשו מבדקי חדירות בשש מעשרים המערכות המשרדיות.
מבדקי החדירות העלו ממצאים חמורים, בהם האפשרות לקבל שליטה מהירה על כל המידע המשרדי, גניבתו ומחיקתו.
במועד סיום הביקורת היה הטיפול בליקויים שנמצאו במבדקי החדירות תלוי בטיפולם של גורמים במינהל תקשוב, ורק בחלקם היה קצב הטיפול סביר.
משרד מבקר המדינה מעיר למשרד החינוך כי עליו לנקוט פעולה נמרצת לתיקון הליקויים שנמצאו במבדקי החדירות מאוקטובר 2017.
משרד החינוך השיב, כי עצם ביצוע יזום של סקר אבטחת מידע מלמד על החשיבות שהוא מיי חס לאבטחת מידע ולהגנת הפרטיות.
זאת ועוד, תוכנית העבודה עודכנה על פי ממצאי הסקר, ממצאים חמורים טופלו לאלתר ולגבי שאר הליקויים נערכו פגישות עם מנהלי המערכות להצגת הממצאים ולקבלת לוחות זמנים לטיפול בליקויים.
110 'החלטת ממשלה מס 2097 מ- 10.
14 ,בנושא "הרחבת תחומי פעילות התקשוב הממשלתי עידוד חדשנות במגזר הציבורי וקידום המיזם הלאומי 'ישראל דיגיטלית'".
ככל שהסיכונים הכרוכים במערכות מידע ממוחשבות נעשים שכיחים יותר, דרושות פעולות נחרצות יותר של משרדי הממשלה לאבטחת המידע ולהגנה על פרטיותם של נושאי המידע.
הממצאים בפרק זה מציגים תמונה מדאיגה ובה אין למשרד החינוך תמונה מלאה ומפורטת, כנדרש בדין, של מאגרי המידע שלו או של הספקים המחזיקים במאגרי המידע שלו; מערכות המידע של הספקים המחזיקים במידע אישי רגיש על תלמידים ועל משפחותיהם אינן נבדקות לא בשלב בחינת ההתקשרות ולא במהלך תקופת ההתקשרות; ואין בקרה ופיקוח על הספקים בהיבטי אבטחת מידע והגנה על הפרטיות.
בנסיבות אלה יש חשש כבד לאבטחת המידע ולהגנת הפרטיות של נושאי המידע.
משרד מבקר המדינה מעיר להנהלת משרד החינוך, כי מחויבות ההנהלה היא חלק בלתי נפרד ממדיניות האבטחה של כל ארגון והיא חשובה במיוחד לנוכח הממצאים המובאים בפרק זה ולנוכח השלכותיהם.
כך גם עולה מן ההנחיות בתחום הגנת הסייבר והתקינה הבין -לאומית 111 .
על מנכ"ל המשרד להתגייס להכוונה ברורה של הגורמים האחראים לאבטחת המידע המשרדי, כדי ליצור מחויבות ואחריות כוללת.
יש לנקוט פעולה נמרצת לצמצום הפערים בין דרישות הדין ובין המצב הקיים במשרד, ולפעול בנחישות להגנה אפקטיבית על הזכות לפרטיותם של תלמידים ומשפחותיהם, כנדרש בדין.
הגנת הפרטיות במידע רפואי .
מידע רפואי הוא מסוגי המידע הרגישים ביותר ושמירה על סודיותו היא תנאי הכרחי לאמון המטופל ברופא ולעידודו לתת לרופא מידע שלם ואמיתי על מצבו הרפואי.
בשאלון לציבור שערכה הרשות במסגרת השינוי הארגוני שעברה, ציינו הנשאלים כי מידע רפואי נחשב בעיניהם כמידע הרגיש והפרטי ביותר הנאסף כיום במערכות מידע.
חוק הגנת הפרטיות קובע כי מידע על מצבו הבריאותי של אדם הוא בגדר מידע רגיש, ובחוק זכויות החולה התשנ"ו-1996 (להלן- חוק זכויות החולה) אף זכתה הזכות לסודיות המידע הרפואי להגנה נוספת על הזכות לפרטיות שנקבעה בחוק היסוד ובחוק הגנת הפרטיות.
לצד החשיבות הרבה של חובת הסודיות, לזמינותו ולשלמותו של המידע הרפואי של המטופל עשויה להיות חשיבות רבה לצורך טיפולים נוספים, לצורך שמירה על אינטרסים של הציבור, ובראשם בריאות הציבור, ולצורכי מחקר רפואי.
לכן, חוק זכויות החולה קובע את המקרים שמטפל או מוסד רפואי רשאים למסור בהם מידע רפואי: בהסכמת המטופל; למטפל אחר לצורך טיפול במטופל אחר; למטרות מחקר או הוראה, ובלבד שלא נחשפו פרטים מזהים של המטופל.
111 סעיף5 להנחיית המסגרת וסעיף5 בתקן 27001 בנושא "אחריות הנהלה".
היבטים בהגנה על הפרטיות במאגרי מידע |67 .
קובע החוק כי לא יימסר המידע אלא במידה הנדרשת לצורך הענ יין, ותוך הימנעות מרבית מחשיפת זהותו של המטופל.
האתגר שבשמירת פרטיותו של המטופל גדל והולך ככל שהטכנולוגיה מתפתחת, ועמה דרכי שמירת המידע.
בעבר היה מידע על המטופל מתועד ברשומות נייר ומפוזר במקומות שונים, וכיום הוא נשמר במדיה דיגיטלית וניתן לחבר בין כל מקורות המידע הרפואי ולהעב ירם בקלות ובמהירות.
ואולם בהתפתחות הטכנולוגית כרוכים סיכונים ייחודיים בתחום ההגנה על המידע ובכלל זה גניבת מידע רפואי , מניעת שירות ושיבוש המידע הקיים, שעשויים להיות להם השלכות קשות על הפרט ועל אמונו של הציבור במוסדות הרפואיים במדינה.
משרד הבריאות נושא באחריות הממלכתית להבטחת שירותי הבריאות לתושבי המדינה.
המשרד קובע את המדיניות לשירותי הבריאות והרפואה, ומופקד על תכנון שירותיה של מערכת הבריאות, הפיקוח עליהם, בקרתם, רישוי ם ותיאומם.
המשרד עוסק גם במחקר ב עצמו ובאמצעות מוסדות רפואיים.
במסגרת אחריותו הוא נדרש לפקח על התנהלותם של המוסדות הרפואיים, לרבות בנושא הגנת הפרטיות ואבטחת מידע.
נהלי משרד הבריאות בתחום אבטחת מידע והגנת הפרטיות .
למשרד הבריאות הנחיות רבות בתחום אבטחת מידע והגנת הפרטיות במאגרי מידע112 .
נוסף עליהם יש נהלים של יחידות במשרד הבריאות הנוגעות לעניינים אלה, כגון הנחיות אגף המחשוב בנושא אבטחת מידע.
ריבוי הכללים ופיזורם בנהלים שונים מצריך ריכוזם והנגשתם לקהל היעד שלהם במשרד ובמוסדות הרפואיים.
במסקנותיה של ועדה שהוקמה במשרד הבריאות בעניין ההגנה על פרטיות113 , נקבע כי יש לתקף את נהלי אבטחת המידע של המשרד ולהנגיש אותם למערכת הבריאות ולכלל הציבור, שכן הם אינם עדכניים ואינם זמינים אלא בפורטל הפנימי של משרד הבריאות.
בעקבות המלצות הוועדה פורסמה טיוטת קוד אתי, הצפויה להתפרסם בחוזר מנכ"ל, המתייחסת לצילום מ טופלים באמצעות התקנים פרטיים שאינם .
112 העיקריים שבהם הם חוזרי מנכ"ל 3/15 בנושא"הגנה על מידע במערכות ממוחשבות במערכת הבריאות"; 12/15 "בנושא "העברת מידע ושמירת מידע בתחום בריאות הנפש ; 5/14 בנושא "שיתוף מידע רפואי במדינת ישראל" (לא בתוקף) ; 1/18 בנושא "שימושים משניים במידע בריאות"; 2/18 "בנושא "שיתופי פעולה המבוססים על שימושים משניים במידע בריאות .
ראוי לציין גם את חוזרי מנכ"ל 4/96 ,"בנושא "הסודיות הרפואית וצנעת הפרט ו- 19/96 בנושא "הסודיות הרפואית", המפרטים את הבסיס העקרוני של חובת הסודיות הרפואית.
113 מסקנות ראשוניות, הוועדה להתמודדות עם איום הפגיעה בפרטיות המטופל ובסודיות המידע הרפואי וגיבוש תכנית פעולה לצמצום התופעה ומיגורה, אוגוסט 2017 .
מאובטחים (סלולרי, טאבלט).
על פי הטיוטה אין לצלם מטופלים ואין לפרסם תמונות וסרטונים של מטופלים באמצעות התקנים כאמור ללא הסכמתם.
למשרד הבריאות אין ריכוז של כל הנחיותיו הרלוונטיות לאבטחת מידע ולהגנת הפרטיות.
ריכוז ההנחיות והנגשתן חשובים לאנשי אבטחת המידע והגנת הפרטיות במוסדות הרפואיים, שכן בכוחו לסייע בידם לעמוד בכלל ההנחיות שהם נדרשים ליישם ולהתעדכן בשינויים החלים בהן מדי פעם.
על משרד הבריאות לפעול לבחינה ולתיקוף של ההנחיות בהתאם להמלצות הוועדה ולפעול להנגשתן לקהל היעד שלהן.
אבטחה של מערכות מידע רפואי .
בתחום אבטחת המידע והגנת הסייבר של מערכות מידע ממוחשבות יש הסדרים נורמטיביים רבים.
למן כניסתן לתוקף של תקנות אבטחת מידע במאי 2018 , כל גורמיה של מערכת הבריאות המחזיקים מידע אישי מחויבים ברמת אבטחה לפי מאפייני המוסד הרפואי שהם עובדים בו, בהתאם למבחנים שנקבעו בתקנות.
כבר בשנת 2015 , הנחה חוזר מנכ"ל משרד הבריאות 3/15 בנושא "הגנה על מידע במערכות ממוחשבות במערכת הבריאות" (להלן - חוזר אבטחת מידע), את המוסדות הרפואיים על אבטחת מידע רפואי שברשותם.
חוזר אבטחת מידע חל על קופות חולים, בתי חולים ומרפאות שהוגדרו בו כ"מרפאה בה פועלים חמישה מטפלים לפחות" (להלן כולם יחד - מוסדות רפואיים).
הגדרת מרפאה בחוזר המנכ"ל היא רחבה וכוללת גם מרפאות פרטיות בתחומי רפואה שונים שאינן טעונות רישיון ממשרד הבריאות114 , ובלבד שהרופאים פועלים במשותף במסגרת המרפאה למתן שירות בתחום רפואי מסוים 115 .
החוזר אינו מבדיל בין המוסדות השונים לפי גודלם ואופי פעילותם והכללים שנקבעו בו זהים לכולם.
עוד קובע החוזר כי מטפל העובד במסגרת שיש בה פחות מחמישה מטפלים, אחראי באופן אישי להגנה על המידע הרפואי הנוצר והנאגר אצלו על מטופליו.
עמידה בתקן לניהול אבטחת מידע במערכות בריאות: חוזר אבטחת מידע קובע כי על המוסדות הרפואיים לקבל הסמכה לתקן ישראלי 27799 (ISO ) העוסק בניהול אבטחת מידע במערכות בריאות116 (להלן- התקן), וכי תהליכי אבטחת המידע בהתאם לתקן יוטמעו בכלל המערכות במוסד הרפואי ובכלל זה .
114 בהתאםלפקודת בריאות העם, 1940 , והתקנותשהותקנו מכוחה , חלה חובת רישוי של מוסדות רפואיים מסוגים שונים.
115 כגון מרפאה פרטית לבריאות הנפש או מרפאת שיניים ולהבדיל ממספר רופאים המצויים פיזית במרפאה אחת אך ללא קשר ביניהם (למעט שירותי משרד וכד').
116 תקן בי ן-לאומי (ISO ) לאבטחת מערכות מידע בתחום הבריאות שאומץ בישראל, מהווה תקן נלווה לתקן אבטחת מידע ISO 27001 וקובע כללים מחמירים יותר לאור רגישות המידע הרפואי.
היבטים בהגנה על הפרטיות במאגרי מידע |69 .
מערכות המידע, המכשור הרפואי, מערכות הלוגיסטיקה וכוח האדם.
עוד נקבע בחוזר, כי מ- 1.
14 עמידה בתקן היא תנאי לרישויו של מוסד רפואי והיא תיבדק במסגרת הבקרות שעורך משרד הבריאות.
החוזר קובע חובות נוספות בתחום אבטחת המידע ובכלל זה בקשר להתקשרויות עם ספקים, קיום בקרות, ביצוע תיעוד וניטור של גישות משתמשים למערכות המידע הרפואי והחובה למנות ממונה אבטחת מידע.
בביקורת נמצא כי על אף האמור בחוזר אבטחת מידע, מכלל כ - 1,500 מוסדות רפואיים117 הטעונים רישיון כ-150 בלבד קיבלו הסמכה לתקן118 (בעיקר בתי חולים וקופות חולים).
שאר המוסדותהטעונים רישיון, ובהם בתי חולים גריאטריים, מרכזים למשתמשים בסמים ומרפאות שיניים, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהם חובה זאת.
עוד העלתה הביקורת כי גם מרפאות רבות אחרות, שחוזר אבטחת מידע חל עליהן על אף שאינן טעונות רישיון ממשרד הבריאות, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהן חובה זאת.
במועד סיום הביקורת המשרד אף אינו מחזיק ברשימת המוסדות המוסמכים לתקן - מוסדות טעוני רישיון ושאינם טעוני רישיון.
משרד מבקר המדינה מעיר למשרד הבריאות , כי עליו למפות את המוסדות הטעונים רישיון שאינם מחזיקים ב הסמכה ל תקן ול הניעם להשגת ההסמכה הנדרשת.
בהמשך עליו לבחון דרכים להניע גם מרפאות שאינן טעונות רישיון לעמוד בהוראות חוזר אבטחת מידע, לרבות עמידה בתקן.
במסגרת זו עליו לבחון אם נכון לקבוע מדרג של דרישות אבטחת מידע למרפאות לפי גודלן ובהתאם ל אופי פעילותן.
בתשובתו למשרד מבקר המדינה מדצמבר 2018 כתבמשרד הבריאות כי מכוחן של תקנות אבטחת המידע, על כל מנהל של מוסד רפואי מוטלת האחריות לשמירת הסודיות הרפואית, גם אם המוסד אינו טעון רישיון.
עוד נכתב בתשובת משרד הבריאות, כי הוא בודק עמידה בתנאי התקן במסגרת בקרותיו במוסדות רפואיים.
המשרד הוסיף כי תקנות אבטחת המידע מחייבות אותו לבחון מחדש את הנחיות יו בתחום ולהיערך בהתאם - תהליך שכבר החל סמוך לפרסום התקנות, ובמסגרת ו יהיה אפשר לשקול קביעת מדרג של דרישות למרפאות בהתאם לגודלן ולאופי פעילותן.
117 ביניהם כ -50 ,בתי חולים 4 קופות חולים, כ -230 מוסדות סיעוד גריאטריים, כ -900 מרפאות שיניים, כ - 60 מוסדות לטיפול במשתמשים בסמים, כ -40 מרפאות דיאליזה וכ -13 מוסדות לבריאות הנפש.
118 בישראל שני גופי התעדה - מכון התקנים ו המכון לבקרה ואיכות ( IQC )- המעניקים את ההסמכה לתקן.
נכון לאוגוסט 2018 יש123 גופים בעלי הסמכה לתקן ממכון התקנים, מרביתם מוסדות רפואיים הטעונים רישיון ומיעוטם גופים אחרים (כגון ספקים הפועלים מול מוסדות רפואיים שבהתאם לחוזר 3/15 נדרשים אף הם לעמודבתקן).
כמו כן נכון למועד האמור, יש כ- 50 ( גופים שהמכון לבקרה ואיכות IQC ) העניק להם הסמכה כאמור, חלקם מוסדות בריאות הטעונים רישיון וחלקם גופים אחרים.
משרד מבקר המדינה מעיר למשרד הבריאות, כי הבקרות שהוא עורך לעמידה בהוראות התקן מתקיימות במוסדות שכבר הוסמכו ל תקן ועל שאר המוסדות הוא אינו אוכף את עצם קבלת ההסמכה הנדרשת.
מאחר שכ-10% ,בלבד מן המוסדות הרפואיים הטעונים רישיון מוסמכים לתקן גם אם הם מוסדות משמעותיים כגון בתי חולים וקופות חולים, עליו לפעול בנחישות לאכיפת החובה הקבועה בחוזר המנכ"ל על שאר המוסדות.
פיקוח ובקרה: כאמור, חובת העמידה בהוראות הדין וההנחיות על אבטחת מידע רפואי חלה על כלל המוסדות הרפואיים בישראל ואף על מטפלים פרטיים.
נמצא כי עד תחילת שנת 2018 לא ערך משרד הבריאות בקרות בנושא אבטחת מידע במוסדות רפואיים.
ממשרד הבריאות נמסר לנציגיו של משרד מבקר המדינה, כי בתחילת שנת 2017 הוא החל במיפוי מוסדות רפואיים הטעונים רישיון, לשם פנייה אליהם בעניין אבטחת המידע.