HeTree/MevakerConcSen huggingface dataset:
בעדכוני תוכנה ואבטחת המכשירים, הגנה מפני פרצות החשופות לאיומי סייבר שהיצרנים .
יצטרכו לספק ועוד 26 .
דוח ביקורת זה בוחן את אבטחת המידע של מכשירים רפואיים תוך התמקדות במכשירי דימות .
דימות רפואי הוא טכנולוגיה מתקדמת שבה מדגימים באמצעות תצלומים חלקים פ נימיים בגוף .
זהו שם כולל למגוון בדיקות בסיסיות הנעשות לפני חלק ניכר מ אבחונים ופעולות .
רפואיים, לצורך אבחון קליני, תכנון של הטיפול, מעקב אחר החולים וסיוע ב ביצוע פעילות .
פולשנית ( ניתוחים) 27.
במכשירי הדימות נאגר מידע אישי על המטופלים הכולל את פרטיהם .
האישיים ואת תצלומי הדימות שבוצעו למטופלים שיכולים להעיד על ממצאים רפואיים.
נבדקה אבטחת המידע במכשירי הדימות האלה: רנטגן (RAY-X ( ), טומוגרפיה ממוחשבתCT28 ,) .
( דימות בתהודה מגנטיתMRI .
), ואולטרסאונד נשים .
חלק ממכשירי הדימות (בייחוד MRI ו-CT ) הם מכשירים יקרים, בעלי משמעות אסטרטגית לבתי .
החולים, ופגיעה בהם עלולה לגרום נזק קשה בפעילות המוסד הרפואי.
דחופה (מלר"ד) שאין ברשותה CT כשיר פעיל תתקשה לאבחן פגיעות מוח באופן מדויק (אחרי .
תאונות דרכים, בעת חשש לשבץ מוחי וכד').
פגיעה במכשירי דימות יכולה להוביל לפגיעה בתפקוד המכשיר ולזליגה של מידע רפואי ממנו, .
היא גם יכולה לשמש למתקפת סייבר נרחבת יותר.
במסגרת פגיעה במכשירי הדימות עלול .
להתבצע, בין היתר, שינוי בממצאי הבדיקות של המטופלים.
למשל, חוקרים ישראלים פרסמו .
בשנת 2019 מחקר29 ובו הוכיחו כי בהינתן גישה לגורם בלתי מורשה למכשירCT - אותו גורם .
יכול להסיר ממצאים מתצלום שהפיק המכשיר, או להוסיף ממצאים לתצלום זה; לדוגמה ניתן .
להוסיף גרורות סרטניות לתצלום של מטופל שאין לו גרורות כאלה, ולהפך.
להתקפות מסוג זה השלכות אפשריות רבות, ובהן פגיעה במטופלים בכלל ובמטופלים ספציפיים .
שהם בעמדות רגישות בפרט, פגיעה בפרטיות המטופלים, חשיפת מידע רפואי שלהם, מתן .
25 Food and Drug Administration - מינהל המזון והתרופות של ארה"ב , הגוף הממשלתי האמון על הרגולציה והפיקוח .
של מוצרי מזון, ציוד רפואי, מוצרי קוסמטיקה ותרופות בארה"ב.
26 FDA wants to require timely updates, patches for legacy devices: cyber chief , MedtechDive( , 30.
27 ,ראו גם מבקר המדינהדוח שנתי 65ג (2015 '), בפרק "בדיקות דימות מתקדמות", עמ609.
28 בכלל זה מכשירים מסוג PET-CT ו- SPETCT.
29 CT-GAN: Malicious Tampering of 3D Medical Imagery using Deep Learning, Mirsky, Mahler et al, 28th USENIX Security .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם אבחנה רפואית שגויה, סחיטה כלכלית של המוסד הרפואי או של המטופלים, איומים עליהם, .
ביצוע מעילות והונאה מול חברות ביטוח, פעילות עבריינית ושיבוש בפעילות המכשיר הרפואי 30.
הביקורת נעשתה ב -25 :מוסדות רפואיים 11 מרכזים רפואיים כלליים -ממשלתיים; שמונ ת .
המרכזים הרפואיים הכלליים של שירותי בריאות כללית (להלן - הכללית); שני מרכזים רפואיים .
ציבוריים; וארבע קופות החולים.
בסה"כ במוסדות שנבדקו יש כ - 2,700 ,מכשירי דימותכמוצג .
תרשים 2: מספרם המשוער של מכשירי הדימות במוסדות הרפואיים שנבדקו, .
על פי מענה של המוסדות הרפואיים על שאלון אבטחת המידע, בעיבוד משרד מבקר המדינה .
תקן בין-לאומי ISO 27799 : תקן ISO 27799 - International Standards Organization (להלן- .
תקן ISO ) הוא תקן בין-לאומי לאבטחת מערכות מידע בתחום הבריאות, שפרסם ארגון התקינה .
הבינלאומי - ISO בסוף שנת2010 .
התקן עוסק במגוון פעולות בתחום אבטחת המידע שיש .
לקבוע להן מדיניות לאבטחת מידע, לסיווג המידע על פי רמת רגישותו ולבקרות גישה למערכות .
מטרת תקן ISO היא לתת בידי מוסדות רפואיים כלים לצורך הגנה על המידע הרפואי .
שברשותם ולצורך התמודדות עם האתגרים הייחודיים של מערכת הבריאות כמו מספר המבקרים .
הגדול במוסדות, התקצוב החסר וניהול מאגרי מידע מרובים.
משרד הבריאות אימץ תקן זה וחייב .
את המוסדות הרפואיים לעמוד בו החל מינואר 201431 .
מהתשובות של המוסדות הרפואיים על .
שאלון אבטחת המידע, עלה כי בנובמבר 2021 (להלן - מועד סיום הביקורת) כל המוסדות .
הרפואיים שבהם עסק דוח זה עמדו בתקן.
30 המגמה העולמית הגוברת של פיתוח אמצעי רפואה אישיים שניתן לעשות בהם שימוש ביתי כוללת גם פיתוח של .
מכשירים רפואיים, לרבות מכשירי דימות.
למשל, הכללית החלה להציע למבוטחיה בשנת 2021 את האפשרות .
לרכוש מכשיר אולטרסאונד ביתי עבור נשים בהריון, לבצע סקירה, ובאמצעות חיבורו לטלפון נייד חכם - להעביר .
את ממצאי הסקירה לפענוח לצורך קבלת אבחנה של רופא.
מתוך אתר הכללית , [ קישור.
] נדרש להגן גם על המידע .
המועבר באמצעות מכשירים אלה.
31 משרד הבריאות, חוזר מנכ"ל 18/12 " בנושאהגנה על מידע במערכות ממוחשבות במערכת הבריאות " ( 13.
לחוזר זה פורסם נוסח מעודכן בשנת2015 .
ראו להלן- חוזר מנכ"ל משרד הבריאות משנת 2015 .
הגדיר מוסד רפואי כבית חולים, קופת חולים ומרפאה .
חוק הגנת הפרטיותוהתקנות: חוק הגנת הפרטיות, ה תשמ"א-1981 , מסדיר כללים מרכזיים .
בתחום הפרטיות, ובין היתר, בנושאי פגיעה בפרטיות, הגנה על הפרטיות במאגרי מידע, ומסירת .
מידע או ידיעות מאת גופים ציבוריים.
תקנות הגנת הפרטיות (אבטחת מידע ), .
התשע"ז-2017 (להלן- תקנות הגנת הפרטיות), קובעות כללים מנחים בתחום אבטחת המידע .
של מאגרי מידע ובפרט בנוגע למינוי ממונה על אבטחת מידע , קביעת נוהל אבטחה , מיפוי .
מערכות המאגר וביצוע סקר סיכונים, אבטחה פיזית וסביבתית וניהול הרשאות גישה .
מסווגות מאגרי מידע לפי רמת האבטחה שלהם (בסיסית, בינונית או גבוהה) - מידע רפואי מסווג .
כמידע שחלה עליו רמת אבטחה בינונית, לכל הפחות 32 .
הרשות להגנת הפרטיות במשרד .
המשפטים הוא הגוף המסדיר את תחום הגנת הפרטיות בישראל, המפקח עליו והמבצע אכיפה .
:מערך הסייבר הלאומי במשרד ראש הממשלה מערך הסייבר הלאומי שבמשרד ראש .
הממשלה הוא גוף האמון על הגנת מרחב הסייבר הלאומי ועל קידום ישראל בתחום.
פועל ברמת המדינה לשיפור רמת ההגנה ע ל הארגונים והאזרחים, לטיפול בתקיפות סייבר .
ולסילוקן ולהיערכות לחירום, הוא משמש כגורם מנחה לארגונים בנושאים אלה .
מתוקף החלטות הממשלה 34, וכן מת וקף החוק להסדרת הביטחון בגופים ציבורי ים, .
למערך כמה תפקידים, ובהם35 : .
• להוביל את מאמצי ההגנה על מרחב הסייבר הלאומי.
• לקדם את יכולת הציבור והמשק הישראלי להיערך לקראת איומי סייבר ולהתגונן מפניהם .
באמצעות הטמעת טכנולוגיות מתקדמות, הכוונה, פיתוח כוח אדם מיומן והגברת המודעות .
• לבסס ולחזק את בניין הכוח המדעי-טכנולוגי בתחום הסייבר , בין היתר באמצעות עידוד .
מחקר אקדמי מתקדם וקידום מחקר ופיתוח טכנולוגי חדשני.
• לקדם את מדינת ישראל למעמד של מובילה עולמית בתחום הסייבר באמצעות שיתופי .
פעולה בין-לאומיים, סיוע למדינות והובלת תהליכים גלובליים .
• לקדם אסטרטגיה ומדיניות בתחום הסייבר בזירות הלאומית והבין-לאומית ולשמש מוקד .
ידע, סמכות מקצועית מרכזית בתחום וגוף מייעץ לראש הממשלה ולממשלה כולה.
מערך הסייבר הלאומי מנחה מהבחינה המקצועית את היחידות המגזריות במשרדי ממשלה (כגון .
משרד הבריאות ומשרד התחבורה) שאחראיות במישור האסדרתי בתחום הסייבר מתוקף .
32 בהתאם לתנאים שנקבעו בתוספת הראשונה והשנייה לתקנות.
33 אתר המרשתת של הרשות להגנת הפרטיות במשרד המשפטים, ] קישור.
החלטת הממשלה ]4660 " הקמת רשות .
משפטית לטכנולוגיות מידע והגנה על הפרטיות במשרד המשפטים" ( 19.
2006 ); החלטת הממשלה3019 , "שינוי .
שם הרשות למשפט טכנולוגיה ומידע במשרד המשפטים" ( 7.
34 החלטת הממשלה2444" , קידום ההיערכות הלאומית להגנת הסייבר" ( 15.
15 ); החלטת הממשלה3270" ,1 .
יחידות מערך הסייבר הלאומי 2 .
מתן פטור ממכרז למשרת ראש מערך הסייבר הלאומי3 .
הוספת משרת ראש מערך .
הסייבר הלאומי לתוספת לפי סעיף 23 )לחוק שירות המדינה (מינויים4 .
קביעת שכר ותנאי שירות של ראש מערך .
17); והחלטת הממשלה 2443 ", "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר .
תאריך עדכון ההחלטה- 28.
35 תפקידי מערך הסייבר הובאו מאתר המרשתת של מערך הסייבר, [ קישור.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם תפקידם כרגולטורים, מכ וח החלטת ממשלה 2443 " בנושאקידום אסדרה לאומית והובלה .
ממשלתית בהגנת הסייבר" (להלן- החלטת הממשלה 2443 ,)בנושא הגנת הסייברעל יחידות .
משנה אחרות ומנחה גופ ים המוגדרים בעלי תשתית מ דינה קריטית (תמ"ק) 36, כגון חברת .
החשמל, מד"א, בנק ישראל ורשות שדות התעופה .
באפריל 2018 פרסם מערך הסייבר הלאומי את "תורת ההגנה בסייבר לארגון גרסה 1.
(להלן- תורת ההגנה בסייבר או תורת ההגנה).
מטרת תורת ההגנה היא למזער את סיכוני .
הסייבר במשק הישראלי באמצעות מתודה סדורה של פעולות המשפרות את ההגנה על הארגון.
התורה כוללת המלצות כגון נוהגים מקובלים (" Best Practice" ) בעולם אבטחת המידע, המוצעים .
לארגונים במשק הישראלי, שיישומם ישפר את רמת האבטחה של הארגון בפני תקיפות.
2021 עדכן מערך הסייבר הלאומי את תורת ההגנה 37 (להלן- תורת ההגנה המעודכנת).
המעודכנת הטמיע מערך הסייבר הלאומי תובנות שעלו במסגרת תהליכי ביקורות קודמים .
שעשה, והוטמעו בגרסה זו כלים שעל בסיסם יכול הארגון לגבש תפיסה פרטנית המותאמ ת .
במיוחד לו, הושם דגש רב יותר על הבנת ה"יריב" שבגינו נשקף סיכון לארגון, וכן עודכנה התורה .
בהתאם לעדכון מונחים וטכנולוגיות אשר נמצאים בחזית המחקרים בנושא.
בעיקר בגרסה הראשונה של תורת ההגנה, זו שעמדה לרשות המוסדות הרפואיים במהלך .
הביקורת, ובמידת הצורך מובאת גם התייחסות לגרסה המעודכנת.
מלבד תורת ההגנה, פרסם .
מערך הסייבר בשנת 2020 גם המלצות להגנה על מכשור רפואי 38 (להלן- המלצות מערך .
הסייבר הלאומי להגנה על מכשור רפואי).
משרד הבריאות: החל בשנת 2016 פועלת במשרד הבריאות יחידת סייבר מגזרית .
(להלן - יחידת הסייבר במשרד הבריאות או היחידה), שבכל הנוגע לתחום הגנת מרחב הסייבר , .
הגוף המנחה אותה הוא מערך הסייבר הלאומי.
במשך השנים פרסם משרד הבריאות .
(להלן גם - המשרד) חוזרים ונהלים בתחום אבטחת המידע.
שני מסמכים עיקריים הם חוזר .
מנכ"ל משנת 2015 בנושא "הגנה על מידע במערכות ממוחשבות במערכת הבריאות" 39 (להלן- .
חוזר מנכ"ל משרד הבריאות משנת 2015 " ) ונוהלמדיניות לאבטחת מידע והגנת סייבר במכשור .
רפואי" שאישר אגף מערכות מידע ומחשוב במשרד הבריאות בשנת 201840 .
בחודשים ינואר -נובמבר 2021 בדק משרד מבקר המדינה אתהגנ ת סייבר על מכשירים רפואיים .
ואבטחת המידע הנאגר בהם, תוך התמקדות במכשירי דימות ( MRI ,CT , רנטגן ואולטרסאונד .
הנושאים שנבדקו: הפעילות המינהלית בתחום אבטחת המידע במוסדות הרפואיים; .
ההגנה על המכשירים בכל מעגל החיים שלהם: בתהליך רכישתם, במהלך השימוש בהם (ב כלל .
זה מיפוי מערך המכשור הרפואי, הגנה על המכשירים ברשת המוסד הרפואי, הרשאות הגישה .
למכשירים, ניהול המשתמשים, אבטחת מידע בעת פענוח ממצאי הסריקות), ובעת סיום השימוש .
36 גופי תמ"ק הם גופים בעלימערכות ממוחשבות חיוניות למדינה.
37 ,מערך הסייבר הלאומיתורת ההגנה 2.
0 : "לנהל את הסיכון- המדריך היישומי (השלם) להגנת הסייבר של הארגון" .
38 מערך הסייבר הלאומי, "המלצות הגנה רכיבי מכשור רפואי מבוססיIoMT " (אוקטובר2020).
39 משרד הבריאות, חוזר מנכ"ל מספר3/15 " בנושאהגנה על מידע במערכות ממוחשבות במערכת הבריאות " ( 15.
40 משרד הבריאות, נוהל מס' א-14.
2 בנושא " מדיניות לאבטחת מידע והגנת סייבר במכשור רפואי" ( 6.
בהם; ההגנה על המידע הרפואי עצמו שנאגר במכשירים; ודרכי התחזוקה של המכשירים .
הביקורת בוצעה במשרד הבריאות, ב-25 מוסדות רפואיים: בארבע קופות החולים, בכל המרכזים .
הרפואיים הכלליים-ממשלתיים והממשלתיים -עירוניים - 11 מרכזים רפואיים, בשמונת המרכזים .
הרפואיים הכלליים של הכללית, ובשני מרכזים רפואיים ציבוריים - המרכז הרפואי הדסה והמרכז .
בדיקות השלמה בוצעו במערך הסייבר הלאומי, ברשות להגנת הפרטיות .
במשרד המשפטים וב"ענבל חברה לביטוח בע"מ", שהיא חברה ממשלתית לביטוח.
הביקורת כללה ביצוע סקרי אבטחה במוסדות הרפואיים ובהם בחנה באמצעות תשאול את .
מדיניות האבטחה במוסדות הרפואיים ואת אופן ההגנה על התהליכים העסקיים ועל נכסי המידע .
בהם, זאת בהתאם לתקני אבטחת מידע, לנהלים בתחום ול נוהגים מקובלים (" Best Practice)" .
הביקורת כללה גם ביצוע מבדק תאימות במוסדות הרפואיים ובו בחנה באמצעות תשאול האם .
המוסדות עומדים בעקרונות העיקריים של הגנת סייבר והעלתה את הפערים שנמצאו.
הביקורת נשלח שאלון ל-25 המוסדות הרפואיים; הכללית השיבה בנוגע לרוב הפרקים .
שבשאלון בשם כל שמונת המרכזים הרפואיים הכלליים שלה ומרפאות הקהילה, ולכן מספר .
המוסדות שבהם עוסקים פרקים אלה הוא 17.
ראו בתרשים שלהלן את תהליךההגנה על המכשי רים הרפואיים בכל מעגל החיים שלהם כפי .
תרשים 3 : תהליך ההגנה על המכשירים הרפואיים בכל מעגל החיים שלהם .
כמו כן, במסגרת הבדיקה הפנה משרד מבקר המדינה שאלון בנושא "הגנה ואבטחה של מידע .
במכשירים רפואיים" (להלן - שאלון אבטחת המידע) לכל 25 המוסדות הרפואיים שנכללו .
כל המוסדות הרפואיים השיבו על השאלון 41:.
41 יש לציין כי במחוזות של הכללית, במכבי שירותי בריאות ובקופת חולים לאומית אין משתמשים במכשיריMRI ו-CT .
אלא רק במכשירי אולטרסאונד ורנטגן, וכך ציינו הקופות בתשובותיהן על השאלון.
המענה של המוסדות הרפואיים .
מתייחס גם להשלמות שביקש צוות הביקורת על מידע שלא נכלל בשאלונים.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם תרשים 4: המוסדות הרפואיים שנבדקו בביקורת .
דוח זה הומצא לראש הממשלה ביום 15.
22 והוטל עליו חיסיון עדלדיון בוועדת המשנה של .
הוועדה לענייני ביקורת המדינה.
מתוקף הסמכות הנתונה למבקר המדינה בסעיף 17 (ג) לחוק .
מבקר המדינה, התשי"ח-1958 ובשים לב לנימוקי הממשלה, לאחר היוועצות עם]נוסח משולב[ .
הגופים האמונים על אבטחת המידע הביטחוני ובתאום עם יו"ר הכנסת, משלא התכנסה ועדת .
המשנה האמורה, הוחלט לפרסם דוח זה תוך הטלת חיסיון על חלקים ממנו.
יונחו על שולחן הכנסת ולא יפורסמו.
ממצאי דוח הביקורת והמלצותיו נכונים למועד המצאת .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם האחריות לתחום הגנת הסייבר .
אחריות מערך הסייבר הלאומי .
בשנת 2015 החליטה הממשלה לקדם אסדרה לאומית בהגנת הסייבר 42 (להלן- החלטת .
ממשלה בנושא הגנת הסייבר).
מטרת ההחלטה הייתה להעלות באופן שיטתי ורציף את רמת .
הגנת הסייבר במדינת ישראל באמצעות מימוש סטנדרטים מקצועיים בארגונים, וכן באמצעות .
הסדרה של שוק שירותי הגנת הסייבר (אנשי מקצוע, שירותים ומוצרים) במגוון כלים.
הממשלה נקבע כי על משרדי הממשלה לקדם את הטיפול בהיערכות לאיומי סייבר במגזר שבו .
הם פועלים על ידי קידום הגדרת מדיניות ודרישות האסדרה ליישום החלטת הממשלה במגזר .
שהם אחראים לו, ובאמצעות הקמת יחידה מגזרית להכוונה מקצועית בתחום הגנת הסייבר בכל .
משרד, שתפקידיה יהיו, בין היתר, להגדיר מדיניות ונהלים בתחום, להכווין, להנחות, לל וות .
במישור המקצועי ולתת מענה על פניות מקצועיות של המוסדות הכפופים ליחידה (להלן - יחידה .
מגזרית); לבצע בקרות על מידת עמידתם של המוסדות בדרישות המקצועיות של היחידה ולבחון .
את הפערים הקיימים במוסדות; לבנות ולהפעיל תהליכי שיתוף מידע פנימיים וחיצוניים בתוך .
המגזר, וכן להגדיר את נוהלי הדיווח ואת שיטות הדיווח בין הגופים במגזר; ליזום ולממש פ עילות .
נרחבת שתכליתה לשפר את הגנת הסייבר במגזר.
החלטת הממשלה בנושא הגנת הסייבר הובילה להקמה של יחידות מגזריות במשרדי ממשלה .
בתחום הסייבר, ואלה פועלות בהכוונת מערך הסייבר הלאומי ומוסרות דיווח על תכנון .
פעולותיהן לעומת ביצוען.
סמכויות מערך הסייבר הלאומי: בדוח קודם של מבקר המדינה בנושא " היערכות גופים .
חיוניים להגנת הסייבר " 43 צוין כילא הוסדרו בחקיקה סמכויות עובדי מערך הסייבר הלאומי .
הפועל מתוקף החלטות הממשלה (ראו לעיל) כלפי היחידות המגזרי ות במשרדי הממשלה .
והארגונים הכפופים לאחריות המערך, וכן היבטים תפעוליים בעבודתם מול גופים אלו.
כי היעדר מקור נורמטיבי לסמכות עובדי המער ך עלול להקשות את שיתוף הפעולה עם הגופים .
ולגרום להימנעותם של עובדי המערך מביצוע פעולות מסוימות עקב חוסר בהירות בעניין תחומי .
עוד צוין בדוח כי בשנת 2018 הכין מערךהסייבר הלאומי תזכיר של חוק הגנת הסייבר ומערך .
הסייבר הלאומי, התשע"ח-2018 .
כשלוש שנים לאחר מכן, בשנת 2021 :, הוגש תזכיר הצעת חוק .
הגנת הסייבר ומערך הסייבר הלאומי (סמכויות לצורך חיזוק הגנת הסייבר) (הוראת שעה), .
נכון למועד סיום הביקורת תזכיר החוק נמצא בשלב טיוטת הצעת חוק .
42 החלטת הממשלה 2443" , "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר ( 15.
43 ,מבקר המדינהדוח שנתי 69ב (2019 ,) ""היערכות גופים חיוניים להגנת הסייבר, עמ' 2067.
44 הפורטל המשפטי לאינטרנט, סייבר וטכנולוגיית מידע [ קישור.
עלה כי במועד סיום הביקורת, כש ש שנים לאחר קבלתן של החלטת הממשלה 2443 .
בנושא הגנתהסייבר והחלטת הממשלה 2444 בנושא"קידום ההיערכות הלאומית להגנת .
הסייבר" (בשנת 2015) , ועל אף החשיבות הלאומית שבהסדרת הגנת הסייבר , לא הוסדרו .
סמכויות מערך הסייבר הלאומי כלפי היחידות המגזריות במשרדי הממשלה, ובכללן .
אחריות היחידה המגזרית לאבטחת מידע: החלטת הממשלה 2443 בנושא הגנת הסייבר .
הגדירה את אחריות היחידות המגזריות במשרדים הממשלתיים.
מבקר המדינה כבר העיר בדוח הקודם בנושא "היערכות גופים חיוניים להגנת הסייבר", שפעילות .
ההנחיה על ידי היחידות מבוססת על סמכויות האסדרה ה קיימות בכל משרד ומשרד, אשר .
מטבען שונות בכל אחד מהמשרדים ומשפיעות גם על אפשרויות הבקרה, הפיקוח והאכיפה של .
יחידות ההכוונה המגזרית.
מבקר המדינה הוסיף כי בהיעדר תשתית משפטית מספקת לביסוס .
הנחיה מגזרית על ידי משרדי הממשלה מתעורר קושי למלא את החלטות הממשלה45.
מבקר המדינה המליץ בדוח הקודם משנת 2019 כי על מערך הסייבר הלאומי בשיתוף .
משרד המשפטים ומשרד ראש הממשלה לקדם תהליך חקיקה שיאפשר לטפל בבעיות .
האסדרה הקיימות בנושא סמכויות עובדי מערך הסייבר הלאומי ו הפער בין סמכויות .
מערך הסייבר הלאומי מסר בתגובתולמשרד מבקר המדינה בינואר 2022 (להלן- תשובת מערך .
הסייבר), כי אף שטרם הוסדרה סמכות ו בחקיקה ראשית, המערך פועל במגוון דרכים כדי לקדם .
את רמת הגנת הסייבר במשק הישראלי, ועובד בשיתוף היחידה המגזרית במשרד הממשלתי .
הרלוונטי בתחום הגנת הסייבר , באופן שהמערך הוא המנחה המקצועי והמשרד הממשלתי הוא .
המערך הוסיף כי באוקטובר 2021 הוא עשה עבודת מטה מול כל משרדי .
הממשלה והמאסדרים הרלוונטיים בנוגע לסמכויות ה אסדרה שלהם בתחום הגנת הסייבר .
מבקר המדינה ממליץ למערך הסייבר לקדם את תהליך האסדרה של סמכויות מערך .
הסייבר הלאומי כלפי היחידות המגזריות במשרדי הממשלה, ובכללן כלפי מגזר הבריאות, .
ושל הפער בין סמכויות המאסדרים.
45 מבקר המדינה, דוח שנתי 69ב (2019 ,) ""היערכות גופים חיוניים להגנת הסייבר, עמ' 2067.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם אחריות משרד הבריאות בתחום אבטחת .
משרד הבריאות נושא בריבוי כובעים - מחד גיסא הוא המאסדר של תחום שירותי הבריאות .
בישראל, ומאידך גיסא הוא גם הבעלים, המבטח והמפעיל של מרבית שירותי הבריאות .
בישראל 47 : הואהמאסדר של כלל מערכת הבריאות, ובה בעת הוא הגורם המבטח בתחומים .
שונים המפורטים במסגרת התוספת השלישית לחוק ביטוח בריאות ממלכתי, התשנ"ד-199448 .
כמו כן , הוא אחראי לאספקת שירותי בריאות באמצעות הפעלת 24 המרכזים הרפואיים .
הממשלתיים שהוא בעליהם, באמצעות מאות תחנות לבריאות המשפחה (טיפות חלב) ועוד.
בהיותו המאסדר של מערכת הבריאות הוא המנחה את המוסדות הרפואיים בכל הנוגע לתחום .
אבטחת המידע והגנת סייבר.
לצורך כך גיבש המשרד חוזרים ונהלים ובהם הנחיות לאופן שבו .
על המוסדות הרפואיים לפעול כדי להבטיח את הגנת מערכות המידע שלהם והמידע השמור .
עליו גם להנחותם בכל הנוגע להגנת סייבר בהתאם להמלצות מערך הסייבר הלאומי.
המשרד גם מקיים בקרה ומעקב בעניין יישום הנחיותיו בכלל 49, ובעניין ההנחיות המסדירות את .
תחום אבטחת המידע והגנת סייבר בפרט, בכל המוסדות הרפואיים במערכת הבריאות50.
:חוזרים ונהלים במשרד הבריאות לצד הקמת יחידת הסייבר במשרד הבריאות, קידם משרד .
הבריאות את תחום אבטחת המידע באמצעות חוזרים ונהלים החלים על כלל המוסדות הרפואיים .
במגזר הרפואי: נוהלי המשרד וחוזרי המנכ"ל הם בגדר הנחיות מחייבות כלפי המוסדות .
הרפואיים, ועל המשרד לפקח על יישומם.
• בשנת 2012 פרסם משרד הבריאות חוזר מנכ"ל בנושא "הגנה על מידע במערכות .
ממוחשבות במערכת הבריאות"51 .
החוזר הנחה את המוסדות הרפואיים בישראל לפעול .
לאבטח את המידע שברשותם, ובכלל זה באמצעות הקמת ועדת היגוי בתחום אבטחת .
המידע, פעילות להסמכה לתקן אבטחת מידע למוסדות רפואיים, רישום מאגרי מידע, .
שיפור הכלים הטכנולוגיים למימוש הגנה על המידע, הגדרות משתמשים במערכות, .
הזמינות הנדרשת של המערכות ואופן הטיפול במשברים.
• בשנת 2015 ( פרסם משרד הבריאות נוסח מעודכן לחוזר באותו נושאחוזר מנכ"ל משרד .
) החוזרים נבדלים ביניהם מבחינת מידת עמידתם של ספקים חיצוניים .
של מוסד רפואי בתקני ISO לאבטחת מידע : החוזר משנת 2012 המליץ לתת עדיפות .
לספקים העומדים בתקן, ואילו חוזר מנכ"ל משרד הבריאות משנת 2015 מחייב את .
47 ,מבקר המדינהדוח שנתי 70ב (2020" ,) מעמדו המעורב של משרד הבריאות כמאסדר וכבעלים של בתי חולים .
48 ובהם אשפוז סיעודי, שירותי רפואה מונעת, סל שירותיםבתחום בריאות הנפש והשתתפות במימון רכישת מכשירי .
49 :למשל, במסגרת בקרות הרישוי של המשרד הוא עושה בקרות, בין היתר, בנושאים האלהתהליכים בניהול הרפואי, .
היבטים באיכות הטיפול, זכויות החולה, רשומות, בטיחות העובד והמטופל, עמידה בנהלים, תשתיות הנדסיות, תנאי .
מבנים, תברואה ואבטחת מידע.
'מרכזים רפואיים: ממשלתיים, ציבוריים, של קופות החולים, פרטיים; קופות החולים; מרפאות וכו .
51 'משרד הבריאות, חוזר מנכ"ל מס 18/12 " בנושאהגנה על מידע במערכות ממוחשבות במערכת הבריאות " ( 13.
המוסדות הרפואיים להתקשר רק עם ספקים העומדים בתקן החל מינואר 2016 (ראו .
בהרחבה להלן בפרק "אבטחת מידע אצל ספקים חיצוניים המבצעים בדיקות דימות").
בחוזר הנחה המשרד את מנהלי המוסדות הרפואיים להטמיע בנהלים פנימיים את עקרונות .
• בשנת 2018 פרסם המשרדנוהל "מדיניות לאבטחת מידע והגנת סייבר במכשור רפואי" .
(להלן - נוהל מכשור רפואי של משרד הבריאות משנת 2018 .
)הנוהל כולל הנחיות מקיפות .
בדבר הגדרות אבטחת המידע של המכש ור הרפואי במוסדות הרפואיים.
האחריות ליישום דרישות האבטחה המצוינות בו חלה על המוסדות הרפואיים המפעילים .
מכשור רפואי ועל משתמשים פרטיים של מכשור רפואי.
הנוהל אף מגדיר דרישות אבטחת .
מידע שיצרני המכשור הרפואי צריכים לבחון אם קיימים במכשיריהם.
• כמו כן, משרד הבריאות הכין בסוף שנת 2016 שתי טבלאות אקסל52 המשמשות לניהול .
מכשור רפואי, והעביר טבלאות אלה בשנת 2017 .
למוסדות רפואיים, ככלי עבודה אפשרי .
לנוכח קצב התפתחות הטכנולוגיה והחמרת איומי הסייבר, גיבש משרד הבריאות בשנים .
2017 - 2020 :מסמכי הנחיות מקיפים יותר, ולהלן יפורטו העיקריים שבהם .
• "פק"ל אבטחת מידע וסייבר - היערכות וניהול משבר סייבר" (2019) ,ובהם הנחיות .
המתארות כיצד על ארגון בריאות 53 להתמודד עם אירוע סייבר שהתממש ובתוצאותיו, .
בכלל זה פגיעה במכשור רפואי.
• טיוטת "תורת הגנה ארגונית - אבטחת מידע וסייבר במגזר הבריאות " ( 2018 ), הכוללת .
כללים למימוש תורת הגנה במגזר הבריאות, בקרות שיש להטמיע, דרכים שבהן ארגון צריך .
להתכונן לאירוע סייבר, הגברת מודעות העובדים לסיכוני אבטחת מידע וסייבר, מדריך .
לתרגול סייבר עצמי, ועוד.
הטיוטה כוללת גם פרק בנושא אבטחה של מכשור רפואי.
• טיוטת חוזר מנכ"ל מורחב בשם "רגולציית יסוד להגנת סייבר במערכת הבריאות בישראל" .
(2020 ) (להלן - טיוטת חוזר מנכ"ל בנושא רגולציית יסוד), הכוללת הנחיות למוסד ות .
הרפואיים, ובכלל זה עקרונות יסוד לניהול הגנת סייבר, ממשל תאגידי ובעלי תפקידים .
נדרשים, מסגרת לניהול סיכוני סייבר, יעדי בקרה ובקרות הגנת סייבר וכללים להגנה על .
נכון למועד סיום הביקורת משרד הבריאות לא השלים את גיבוש מסמכי ההנחיות, והם .
לא הופצו, אף שמדובר בהנחיות יסוד החיוניות לשם הגנה על תשתיות, מכשור ומידע .
במערכת הבריאות, ואף שההנחיות כוללות כלים להתמודדות עם אירועי סייבר .
שהמציאות מוכיחה את היתכנותם.
52 טבלה אחת היא רשימה המשמשתלמיפוי המכשור הרפואי במוסד הרפואי, והטבלה השנייה מציגה תמונת מצב של .
חולשות וחוזקות של המכשור הרפואי על פי מדדים בחמש קטגוריות שונות: ניהול, הגנה, זיהוי, תגובה והתאוששות.
53 ארגון בריאות הואמוסד רפואי הנותן שירותי בריאות , והוא אחד מאלה: משרד הבריאות ויחידו ת הסמך שלו, קופת .
חולים ומוסדותיה, בית חולים (ציבורי או פרטי ), בית מרקחת, ארגוני פינוי והצלה ומרפאות או ארגונים אחרים החייבים .
ברישוי של משרד הבריאות.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם נוכח האיומים הגוברים על מגזר הבריאות בתחום אבטחת המידע ובכלל בנושא הגנה .
מפני תקיפות סייבר והתמודדות איתן, מומלץ שמשרד הבריאות ישלים את גיבוש הנהלים .
ויפרסם אותם למוסדות הרפואיים.
משרד הבריאות מסר בתגובתו למשרד מבקר המדינה מינואר 2022 (להלן- תגובת משרד .
הבריאות) כי הנהלת המשרד אישרה לפרסם את טיוטת חוזר המנכ"ל בנושא רגולציית יסוד והיא .
כוללת, בין היתר, את התכנים המופיעים בטיוטות הנהלים האחרות שגיבש המשרד.
הוסיף כי פרסום הנוהל הסופי מתוכנן בטווח הזמן המיידי.
מומלץ שהמשרד יוודא כי המוסדות הרפואיים מטמיעים את הנהלים באופן שהם יתווספו .
לארגז הכלים העומד לרשותם לצורך התמודדות עם אתגרי הסייבר.
בקרות של משרד הבריאות בנושא אבטחת מידע .
בכלל ו אבטחת מידע במכשור רפואי בפרט .
בהתאם לפקודת בריאות העם 1940 ), ולתקנות בריאות העם (רישום בתי חולים, ה תשכ"ו-1966 , .
מוסדות רפואיים חייבים באישור מראש ממשרד הבריאותקודם ל הקמתם, וכן חייבים באישור .
לפתיחתם, ניהולם והפעל תם ( אישור רישום או אישור רישוי)54.
משרד הבריאות מבצע אחת .
לשלוש שנים לערך בקרות בבתי החולים בנושאים שונים על מנת להמליץ על המשך פעילות .
וחידוש רישוי של בתי החולים (להלן - בקרות הרישוי) 55 .
בקרות דומות מבצע משרד הבריאות .
במחוזות של קופות החולים.
המשרד מפרסם את דוחות הבקרה הסופיים באתר המרשתת שלו.
בדוח קודם של מבקר המדינה על "היבטים בהגנה על הפרטיות במאגרי מידע " הוא עמד על .
הצורך שמשרד הבריאות יגבש תוכנית לפיקוח ובקרה גם על אבטחת המידע בכל המוסדות .
במסגרת בקרות הרישוי התקופתיות שמבצע המשרד בבתי החולים57 , הוא גיבש בשנת2018 .
שני מסמכי בקרות העוסקים בתחום אבטחת המידע בבתי החולים ובתחום המכשור הרפואי .
לצורך שילובם ברשימת הנושאים שייבדקו בעת ביצוע בקרות הרישוי.
מסמך הבקרה בנושא אבטחת מידע בבתי החולים בוחן, בין היתר, את מעורבות ההנהלה בתחום .
זה, את המודעות לצורך ב אבטחת מידע, בקרות על האבטחה ה פיזית, בקר ות על הגישה, הפרדת .
רשתות, ניהול סיכונים, זיהוי פעילויות ואירועים חריגים ברשת (אנומליות ), זיהוי גורמים חיצוניים .
54 " ,אתר משרד הבריאותרישוי בתי חולים כלליים ", [ קישור.
55 " ,אתר משרד הבריאותחידוש רישוי של בית חולים כללי פעיל ", [ קישור.
56 ,מבקר המדינהדוח שנתי 69ב (2019" ,) היבטים בהגנה על הפרטיות במאגרי מידע", עמ' 5.
57 יש לציין שבמסגרתתקן האקרדיטציה ( JCI )- תקןבין-לאומי לאיכות ובטיחות לארגוני בריאות - שניתן לבתי החולים, .
נבחנים מדדים של ניהול מידע כללי והשמירה עליו.
בקרות הרישוי של משרד הבריאות מתבצעות נוסף על הליך .
האקרדיטציה, ובודקות באופן מעמיק תהליכי אבטחת מידע והיבטים במכשור רפואי.
המתחברים מרחוק, מערך של ה גיבויים והשחזורים , ניהול אירועי סייבר וטיפול בהם ותוכנית .
מסמך הבקרה בנושא מכשור רפואי בבתי החולים בוחן, בין היתר, נושאים אלה: ניהול בדיקות .
הציוד והטיפולים בו, השירות ו התחזוק ה של הציוד במוסד הרפואי, השירות והתחזוקה שמספקים .
הספקים, הרשאות הגישה לת וכנת התחזוקה, תיעוד החזרות של הציוד ואירועים חריגים בציוד .
צוות הביקורת בדק 14 בקרות שביצע משרד הבריאות בשנים2019 ו-2020 בבתי חולים (כלליים- .
ממשלתיים, ציבוריים, פרטיים, וכלליים של הכללית), וכן 15 בקרות שביצע המשרד במחוזות .
בביקורת עלה כי בבקרות שביצע המשרד בבתי החולים ובקופות החולים בשנים2019 .
ו-0202 שאותן בדק צוות הביקורת, המשרד ביצע בקרה בנושא אבטחת מידע59 , אולם .
במסגרת הבקרות האמורות הוא לא ביצע בקרה בנושא מכשור רפואי, בהתאם למסמך .
הבקרה שגיבש בשנת 2018 .
מנהלת המחלקה לבקרה רפואית במשרד הבריאות מסרה לצוות הביקורת כי החל משנת 2021 .
המשרד משלב בקרות בתחום אבטחת המידע ובתחום המכשור הרפואי כחלק בלתי נפרד .
מהבקרות שהוא מבצע בבתי החולים.
אשר לתיקון הליקויים שהועלו בבקרות הרישוי ציינה מנהלת המחלקה לבקרה רפואית כי במשך .
השנים לא ביצע המשרד מעקב מסודר אחר תיקון הליקויים בבתי החולים, וכי הרישיון לבתי .
החולים ניתן גם בלא שהדבר נבדק.