HeTree/MevakerConcSen huggingface dataset:
ברורות ומחייבות בנושא.
מוסד א מסר בתגובתו כי ימנה ממונה הגנה על הפרטיות לאחר שהמאסדרים יפרסמו הנחיות .
נוכח המידע האישי הנאגר במערכות המידע ובמכשור הרפואי במוסדות רפואיים ונוכח .
הסיכון שבחשיפתם הלא מבוקרת, מומלץ למשרד הבריאות לשקול לקבוע חובת מינוי .
ממונה על הגנת הפרטיות בדומה למחויב במדינות מערביות רבות ולמגמות שעולות .
מהטיוטות של הרשות להגנת הפרטיות ושל משרד הבריאות.
כמו כן מומלץ לבחון לבצע .
הפרדה בין ממונה הגנת הפרטיות לממונה אבטחת מידע, כדי להבטיח בקרה מספקת .
מצד ממונה הגנת הפרטיות על עבודת צוות אבטחת המידע במוסד הרפואי, כן מומלץ .
לבחון הגדרה של הממשקים בין בעלי תפקידים אלה.
משרד הבריאות מסר בתגובתו כי הנהלת המשרד אישרה לפרסום את טיוטת חוזר מנכ"ל בנושא .
רגולציית יסוד כאמור, והחוזר מגדיר את בעלי התפקידים שיש למנות במסגרת מדיניות אבטחת .
המידע במוסדות הרפואיים, שבהם ממונה הגנה על הפרטיות.
מוסד י"ז מסר בתגובתו כי ימנה בשנת 2022 ממונה על הגנת הפרטיות במרכז הרפואי.
צוות אבטחת מידע והגנת סייבר במוסד הרפואי .
צוות אבטחת המידע והגנת סייבר במוסדות הרפואיים הוא לרוב חלק מאגף מערכות המידע.
צוות זה מרכז, בין היתר, את גיבוש מדיניות אבטחת המידע של המוסד ואת הנהלים בנושא, .
ביצוע סקרי סיכונים, ניהול אבטחתי שוטף של רשת בית החולים, ביצוע עדכוני תוכנה, מתן .
מענה על התרעות אב טחת מידע ותקיפות, ניהול הרשאות ומשתמשים ברשת.
מבחינת תפקידיו ומספר המשרות שלו, נתון לשיקול דעתה של הנהלת המוסד הרפואי.
נוהלי משרד הבריאות אינם מגדירים את מספר התקנים של צוות אבטחת המידע והדבר נתון .
לשיקול דעתה של הנהלת המוסד הרפואי.
צוות הביקורת בדק את גודל צוותי אבטחת המידע במוסדות הרפואיים 81 יחסית למספר העובדים .
ולמספר המחשבים שבהם נעשה שימוש בכל מוסד82:.
ללא יועצים חיצוניים .
82 יצוין כימחקר בנושא ניהול אבטחת מידע הגדיר את התקינה הנדרשת של צוות אבטחת המידע בארגון כדי שיוכל .
לתת מענה על איומי סייבר כנדרש: עובד אחד עבור כל 1,000 עובדים או משתמשים, או עובד אחד עבור כל 5,000 .
מחשבים ומכשירים המחוברים לרשת.
Nassif & Carnevalli, Calculation Model of the Status and Staffing for Security .
Management – A Case Study, 2015 .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם לוח 2: היחס בין מספר עובדי אבטחת מידע למספר העובדים ולמספר .
המחשבים במוסדות הרפואיים, אוקטובר 2021 .
המוסד הרפואי היחס בין מספר עובדי אבטחת .
מידע למספר העובדים היחס בין מספר עובדי אבטחת .
המידע למספר המחשבים .
מוסד י"ג 1:800 1:725 .
מוסד ט"ו 1:900 1:950 .
מוסד י"ז 1:1,000 1:900 .
מוסד ב 1:1,170 1:1,670 .
מוסד ח 1:1,200 1:1,375 .
מוסד א 1:1,510 1:1,260 .
מוסד ט"ז 1:1,520 1:1,100 .
מוסד ד 1:2,075 1:1,600 .
מוסד י"ב 1:2,500 1:2,160 .
מוסד ו 1:2,500 1:2,500 .
מוסד ט 1:2,500 1:1,500 .
מוסד ג 1:2,850 1:2,250 .
מוסד י"א 1:3,000 1:2,000 .
מוסד י"ד 1:3,000 1:2,500 .
מוסד ז 1:3,000 1:2,000 .
מהלוח עולה כי המוסדות הרפואיים נבדלים ביניהם במידה רבה מבחינת היחס בין מספר .
עובדי המוסד העוסקים בתחום אבטחת המידע או הגנת סייבר ובין מספר העובדים .
במוסד: בחמישה מוסדות יש איש צוות אבטחת מידע ל- 1,000 עובדים ומטה ובשלושה יש .
איש צוות אחד ל- 3,000 .
מומלץ כי משרד הבריאות ומערך הסייבר הלאומי ישקלו את הצורך לקבוע תקן מזערי .
ודרישות לגבי גודל צוות אבטחת המידע הרצוי במוסד רפואי בהתאם למאפייניו.
משרד הבריאות מסר בתגובתו כי הוא יבחן הקמת צוות להגדרת תקינה של גודל צוות אבטחת .
המידע הרצוי במוסדות הרפואיים.
מוסד י"ד מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד י"ד) כי לנוכח .
ממצאי הביקורת הוא יצרף בעל תפקיד חדש (מיישם סייבר) נוסף על מנהל אבטחת המידע.
הקצאה תקציבית ייעודית להגנת סייבר .
בהחלטת הממשלה 2443 בנושא הגנת הסייבר משנת2015 נקבע כיהמנכ"לים של משרדי .
הממשלה ומנהלי יחידות הסמך (בתי החולים הממשלתיים מוגדרים כיחידות סמך 83 של משרד .
הבריאות) יסדירו את מבנה התקציב השנתי של משרדם באופן שלכל הפחות 8% מתקציב תחום .
טכנולוגיית המידע יופנה להגנת סייבר .
עוד נקבע בהחלטה כי מנכ"ל משרד ממשלתי או מנהל .
יחידת הסמך, לפי העניין, יוכלו בנסיבות מיוחדות לאשר הפחתה מה-8% בהחלטה מפורטת .
ומנומקת, שתדווח לוועדת ההיגוי הממשלתית בתחום הגנת הסייבר שתוקם, ובלבד שלפחות .
6% מתקציב תחום טכנולוגיית המידע יופנה להגנת סייבר.
להלן בתרשים יוצגו שיעור ההקצאה .
להגנת סייבר מתוך תקציב מערכות המידע במרכזים הרפואיים הכלליים-הממשלתיים: .
83 יחידת סמך היא ישות הפועלת במסגרתו של משרד ממשלתי, אך נהנית מעצמאות מסוימת, יחסית ליחידות הפועלות .
ראו גם מבקר המדינה, דוחות על הביקורת בשלטון המקומי לשנת 2021 (2021 ), בפרק .
"התנהלות הרשויות המקומיות בעת משבר הקורונה".
חוק שירות המדינה (משמעת), התשכ"ג-1963 , מגדיר "יחידת .
סמך" – יחידה במשרד שוועדת השירות העניקה לה סמכויות מינהליות של משרד, בהתאם לכללים הנהוגים בשירות .
יצוין כיבמוסד מסוים שיעור התקציב גדל במהלך השנים והיה כ-11% בשנת 2020, במוסד אחר .
היה יותר מ-10% בשנים2019 ו-2020, ובמוסד נוסף היה בשנים 2019 ו-2020 6% עד8% .
מוסד מסר בתגובתו כי בשנת 2021 שיעור הקצאת התקציב להגנת סייבר עמד על 10.
עלה גם כי המוסדות הרפואיים נבדלים ביניהם מבחינת הסעיפים התקציביים שהם .
מכלילים בחישוב ההקצאה התקציבית להגנת סייבר, ועל כן, בין היתר, קיימת שונות בין .
התקציבים עליהם דיווחו המוסדות בשאלון אבטחת המידע.
על הנהלות המוסדות הרפואיים לפעול בהתאם להוראות החלטת הממשלה ולהקצות .
תקציב ייעודי להגנת סייבר בשיעור שקבעה החלטת הממשלה.
מומלץ שמשרד הבריאות .
יגבש קווים מנחים שיגדירו את ההוצאות אותן יש לכלול במסגרת הקצאת תקציב להגנת .
עוד מומלץ שבמסגרת התוכנית הרב -שנתית להגנת סייבר יכלול המשרד גם את .
ההערכה התקציבית הנדרשת ואת מקורות המימון האפשריים.
תוכניות עבודה וסקרי סיכונים .
שיפור האבטחה של מכשור רפואי במסגרת תוכנית העבודה: השלב הראשון בתהליך .
ההגנה, על-פי תורת ההגנה בסייבר, הוא תכנון והערכה שעיקריו הם מיפוי יעדי הגנה בסייבר .
בארגון, הערכת סיכונים, בחינת אמצעי ההגנה (הבקרות) הקיימים והקמת תוכנית עבודה .
על בסיס תוכנית עבודה זו המוסדות הרפואיים מתכננים את פעילותם .
פרק זה מתבסס על תשובות המוסדות הרפואיים שהתבקשו להשיב על שאלון אבטחת המידע; .
הכללית השיבה בעניין זה בשם כל שמונת המרכזים הרפואיים הכלליים שלה ומרפאות הקהילה .
- כגוף אחד, שכן תוכ נית העבודה וסקר הסיכונים של כל מוסדות הכללית מתבצעים באופן .
מרוכז ברמת מטה הכללית.
לכן סה"כ מספר ם הכולל של המוסדות בהם עסק פרק זה הוא .
לכל17 המוסדות הרפואיים שענו על שאלון אבטחת המידע (המרכזים הרפואיים .
הכלליים-ממשלתיים, שני המרכזים הרפואיים הציבוריים, וארבע קופות החולים) הייתה .
תוכנית עבודה שנתית או רב-שנתית בתחום אבטחת המידע.
ראו בתרשים ובלוח שלהלן את המוסדות שתוכנית העבודה שלהם בנושא אבטחת מידע לשנים .
2020 - 2021 עסקה, בין היתר, בהגנה על מכשור רפואי , והפרטים על המוסדות הללו: .
85 11 המרכזים הרפואיים הכלליים-ממשלתיים, שני המרכזים הרפואיים הציבוריים וארבע קופות החולים .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם תרשים 7 : תוכנית עבודה בנושא אבטחת מידע שכללה התייחסות להגנה על .
מכשור רפואי, 2020 - 2021 .
על פי מענה המוסדות הרפואיים על שאלון אבטחת המידע, בעיבוד משרד מבקר המדינה .
לוח 3: תוכנית עבודה בנושא אבטחת מידע שכללה התייחסות להגנה על .
תוכנית העבודה כללה התייחסות למכשור רפואי לא כללה .
מהתרשים ומהלוח עולה כי חמישה מוסדות רפואיים לא כללו בתוכנית העבודה שלהם .
התייחסות לשיפור ההגנה על מכשור רפואי ואבטחת המידע הנאגר בו .
מומלץ שהמוסדות הרפואיים יגבשו תוכנית עבודה בנושא אבטחת המידע, הכוללת .
התייחסות לשיפור ההגנה על מכשור רפואי ואבטחת המידע הנאגר בו, זאת בהמשך .
להמלצות שבתורת ההגנה בסייבר .
מוסד י"ז מסר בתגובתו כי החל בשנת 2022 הואיעסוק בנושא המכשור הרפואי במסגרת תוכנית .
מוסד ד מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד ד), כי בכוונתו .
להקים ועדת היגוי מוסדית בתחום המכשור הרפואי, שתפעל להגביר את מוכנות המרכז הרפואי .
לאיומים על מכשירים אלה, ותוכל ל עמוד על פעולות שיש לבצע, על התועלת הגלומה בהן ועל .
המשאבים הנדרשים ל מטרה זו.
מוסד ז מסר בתגובתו כי גיבש תוכנית לשיפור ההגנה ע ל מכשור רפואי במסגרת ה תוכנית .
לאבטחת מידע של המרכז הרפואי.
סקר סיכונים בתחום אבטחת מידע: כלי חשוב שיש להיעזר בו בעת גיבוש תוכנית עבודה .
סקר סיכונים בוחן ומאתר איומים וחשיפות של אבטחת מידע במערכות של .
המוסדות הרפואיים ומעריך את רמת הסיכון הנשקף לפעילותם בגין איומים אלה.
מדגיש את החשיבות שבביצוע הערכת סיכונים לצורך בחינת הבקרות הקיימות.
ההגנה בסייבר, הערכת סיכונים היא הבסיס להקמת תוכנית עבודה רב -שנתית למזעור הפערים .
עלה כי בכל 17 המוסדות הרפואיים שנבדקו בוצע סקר סיכונים בתחום אבטחת המידע.
עדכון סקר הסיכונים : מוסדות רפואיים מאופיינים בסביבה טכנולוגית משתנה, ובה מערכות .
ומכשירים חדשים משולבים בפעילותם השוטפת.
על פי תורת ההגנה בסייבר, יש להגדיר וליישם .
תהליך תקופתי של הערכת סיכוני סייבר בהתאם למתאר האיומים של הארגון, לרמת החשיפה .
של יעדי ההגנה לאיומים ולבקרות ההגנה המיושמות.
יש לבצע את הסקר באופן תקופתי .
ולעדכנו בעת שינויים בתהליכים ובמערכות הארגון.
עלה כי מוסד י"א עדכן את הסקר לאחרונה כשמונה שנים לפני סיום הביקורת - בשנת .
יתר המוסדות הרפואיים עדכנו את סקר הסיכונים זה מכבר - בשנים 2019 - 2021 .
היכולת של סקר סיכונים משנת 2013 לעמוד על הסיכונים בתחום אבטחת המידע בשנת .
2021 מוגבלת לנוכח השינויים הטכנולוגיים התדירים ואיומי הסייבר המתפתחים.
שמוסד י"א יעדכן את סקר הסיכונים באופן שימפה את הסיכונים בתחום אבטחת המידע.
עוד מומלץ שכלל המוסדות הרפואיים יעדכנו את הסקרים באופן עיתי.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מוסד י"א מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד י"א) כי יעדכן .
את סקר הסיכונים במסגרת תוכנית העבודה שלו לשנת 2022 .
:סקר סיכונים בנושא מכשור רפואי אשר לסקר סיכונים של מכשור רפואי, נוהל מכשור .
רפואי של משרד הבריאות משנת 2018 קובע כי מנהל אבטחת המידע ייזום סקרי אבטחת מידע .
של מערך המכשור הרפואי של המוסד.
ראו בתרשים ובלוח שלהלן את המוסדות שביצעו סקר סיכונים בנושא מערך המכשור רפואי .
תרשים 8: ביצועסקר סיכונים בנושא מכשור רפואי במוסדות הרפואיים, .
לוח4: ביצועסקר סיכונים בנושא מכשור רפואי , 2018 - 2020 .
ביצעו סקר סיכונים לא ביצעו .
* מוסד ט"ו ביצע סקר סיכונים רק בנוגע למעבדה שבה יש מכשור רפואי רב.
מהתרשים ומהלוח עולה כי בשנים 2018 - 2020 13 מ-17 המוסדות הרפואיים לא ביצעו .
סקר סיכונים בנושא מכשור רפואי.
האיומים ההולכים וגוברים על מערכות המידע ומאגרי המידע בכלל ועל מערך המכשור .
הרפואי מחייבים נק יטת פעולות לצמצום הנזק האפשרי מפגיעה במערכות המידע .
התומכות במכשירים ובמאגרי המידע השמורים בהם.
על המוסדות הרפואיים לבצע סקר .
בנושא הסיכונים הנשקפים למכשירים הרפואיים שהם משתמשים בהם, כנדרש בנוהל .
מכשור רפואי של משרד הבריאות משנת 2018 .
על משרד הבריאות לוודא שהמוסדות .
הרפואיים עומדים בנוהל שקבע.
מוסד י"ב מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד י"ב) כי יבצע .
סקר שיכלול הגדרת מדדים לבחינת רמת החשיבות של המכשירים הרפואיים לפעילות המוסד .
הרפואי ורמת הסיכון שלהם, ידרג את המכשירים לפי מדדים אלה ועל בסיס דירוג זה יגבש .
תוכנית כוללת להגנה על המכשירים לפי רמת חשיבותם.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מוסד ז מסר בתגובתו כי הוא מקבל את המלצת משרד מבקר המדינה.
מוסד ב מסר בתגובתו כי הוא מקבל את המלצת משרד מבקר המדינה.
סיווג מכשירים רפואיים לפי רמת הסיכון הנשקף להם: נוהל מכשור רפואי של מ שרד .
הבריאות משנת 2018 מבצע חלוקה בין ארבע רמות סיכון של מכשירים שונים מרמת הסיכון .
הנמוכה ביותר עד רמת הסיכון הגבוהה ביותר: מכשיר שלא נאגר בו מידע ואינו מחובר לרשת; .
מכשיר שלא נאגר בו מידע אך מחובר לרשת; מכשיר שנאגר בו מידע ואינו מחובר לרשת; .
והמכשיר בעל רמת הסיכון הגבוהה ביותר הוא מכשיר שנאגר בו מידע והוא מחובר לרשת.
הנוהל קובע גם כי יש לסקור מכשור רפואי בעל סיכון גבוה לפחות אחת ל-18 חודשים, וכי יש .
לסקור מכשיר רפואי אחר בתדירות שקובעת ההנהלה בהתאם לרגישות המערך.
אופן אגירת המידע ומיקומו ברשת, מוסדות עשויים לסווג מכשירים רפואיים כבעלי סיכון גבוה .
בשל חשיבותו האסטרטגית של המכשיר הרפואי, מידת חשיפתו של המכשיר לפגיעה, רגישות .
המידע שנאגר במכשיר ועוד.
לצורך קביעת תדירות סקירת המכשירים הרפואיים על המוסדות הרפואיים להגדיר את הסיווג .
לפי קבוצות הסיכון למכשירים (האם המכשיר הרפואי הוא בעל סיכון גבוה או לא).
שלהלן מוצגים המוסדות שהגדירו קבוצות סיכון למכשירים רפואיים לפי סיווגי סיכון, והפרטים .
תרשים 9: הגדרת קבוצות סיכון למכשירים רפואיים .
לוח5 : הגדרת קבוצות סיכון למכשור רפואי .
הגדירו קבוצת סיכון למכשירים הרפואיים לא הגדירו .
מהתרשים ומהלוח עולה כי 11 מ-17 המוסדות הרפואיים לא הגדירו קבוצות סיכון למכשור .
הרפואי לפי סיווגי סיכון.
במרכזים הרפואיים ובקופות חולים בישראל משתמשים באלפי מכשירים רפואיים מסוגים .
שונים, בעלי רמת סיכון משתנה הדורשת ניהול, תיעדוף ומתן מענה בהתאם לכך.
מבקר המדינה מדגיש כי באמצעות הגדרת קבוצות סיכון למכשור רפואי יוכל המוסד .
הרפואי לתעדף את השקעת המשאבים למתן הגנה ראויה על מכשירים שנקבעו ברמת .
הסיכון הגבוהה ביותר למוסד הרפואי, באופן שתשתפר ההגנה על מכשירים אלה מפני .
תקיפות סייבר אפשריות.
על המוסדות הרפואיים שעדיין לא עשו זאת - להגדיר קבוצות .
כמו כן מומלץ שמשרד הבריאות יבחן אם יש צורך להגדיר במישור .
הלאומי אילו מכשירים רפואיים יש לכלול ברמת הסיכון הגבוהה ביותר, שבהתאם לכך .
יש לתת להם את המענה ההגנתי המרבי.
מוסד ו מסר בתגובתו כי הוא יסווג קבוצות סיכון למכשור רפואי במסגרת תוכנית העבודה .
השנתית ויתעדף בהתאם לכך את השקעת המשאבים.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מוסד י"ז מסר בתגובתו כי יגדיר קבוצות סיכון בתחילת 2022 .
מוסד ז מסר בתגובתו כי יגבש תוכנית בנושא בתחילת2022 .
מוסד י "ב מסר בתגובתו כי תגדיר את קבוצות הסיכון כאמור במסגרת סקר הסיכונים של .
תוכנית להתאוששות מאסון והמשכיות עסקית .
הכללית השיבה בעניין זה בשם כל שמונת המרכזים הר פואיים הכלליים שלה ומרפאות הקהילה .
- כגוף אחד , שכן התוכנית להתאוששות מאסון והמשכיות עסקית של כל מוסדות הכללית .
מנוהלת באופן מרוכז ברמת מטה הכללית.
לכן המספר הכולל של המוסדות בפרק זה הוא 17 .
המשכיות עסקית היא יכולתו של ארגון להתכונן לאירועים המפריעים לפעילותו ולהגיב עליהם .
כדי להמשיך בפעילות הרגילה באופן ובהיקף שתוכננו מראש.
מטרותיה העיקריות של תוכנית .
להמשכיות עסקית ( Business Continuity Plan - BCP ) הן להבטיח את שרידותו של הארגון, להגן .
על נכסיו החשובים, לאפשר להנהלתו שליטה על סיכונים וחשיפות, לקדם צעדים המונעים את .
התממשותם של חלק מאירועי החירום האפשריים, לאפשר פעולה יעילה ואקטיבית של הנהלת .
הארגון בשעת אירוע החירום וטיפול בהשבת הארגון לפעולה.
גופים ציבוריים נדרשים אף .
להבטיח כי ביכולתם לספק שירותים חיוניים לציבור בעת אירוע חירום86 .
סיכונים לפגיעה בארגון .
עלולים לנבוע מגורמים שונים 87 ובהם פגיעות המבוססות על טכנולוגיה (למשל מתקפות סייבר .
על תשתיות מערכות המידע של המוסד הרפואי).
גיבוש תוכנית להמשכיות עסקית דורש תכנון, ובין היתר כולל ניתוח סיכונים, הצבעה על .
ההליכים הקריטיים שיש לשמור על זמינותם בעת אסון והגדרת המשאבים - האנושיים .
והחומריים, הנדרשים בעת אסון.
תוכנית התאוששות מאסון ( DRP - Disaster Recovery Plan ) .
נוגעת לתהליכים במערכות מידע שארגון צריך לבצע כדי להתאושש מאסון ולאפשר המשכיות .
עסקית, תוך מתן דגש על אופן גיבוי המידע והסביבה (פיזית ולוגית) שבה הוא ישוחזר.
התוכנית להתאוששות מאסון הארגון קובע את ה-RPO (Recovery Point Objective ) , כמה מידע .
הוא מוכן לאבד במקרה של אסון, ואת ה-RTO ( Recovery Time Objective ), כמה זמן הארגון .
יכול להמתין עד חזרה לפעילות.
כמו כן נדרש לקבוע אתר חלופי זמין לטובת המשך פעילות מערכות .
המידע במקרה של אסון - נזק או השבתה של האתר המרכזי ( אתר DR - Disaster Recovery ) .
כזה יאפשר במקרה של אסון להעלות לשימוש באופן מהיר את מערכות המידע של המוסד .
הרפואי, לשחזר מי דע על המטופלים ולהמשיך במתן השירותים הרפואיים.
86 ,ראו מבקר המדינהדוח שנתי 64א (2013" ,) בניית תכניות להמשכיות עסקית של המערכתהפיננסית באירועי .
חירום", עמ' 51 ,; ומבקר המדינהדוח שנתי 64 ג(2013" ,) היערכות שירותי הבריאות לעתות חירום- ממצאי מעקב", .
87 למשלאסונות טבע (רעידות אדמה, הצפות, סופות), אירועי לוחמה (למשל פגיעת טילים או פיגועי טרור), פגיעה .
בכוח אדם (מגפות, שביתות).
בשנת2011 הורה מנכ"ל משרד הבריאות לכל בתי החולים הממשלתיים לגבש תוכנית .
להתאוששות מאסון עד סוף שנת 2013 .
כמו כן, תורת ההגנה בסייבר ממליצה לכל ארגון להכין .
וליישם מדיניות המשכיות עסקית שתגדיר כיצד הארגון מתנהל באופן שוטף ובעיתות חירום כדי .
להבטיח את ההמשכיות העסקית שלו, ובכלל זה להגדיר מדדים מקובלים כגון RTO במקרה .
גם תורת ההגנה המעודכנת מדגישה את הצורך ביכולת התאוששות של .
ארגון במקרים של נפילת אתר, מחיקת מידע ונעילת קבצים, ומדגישה את הצורך בביצוע גיבויים .
צוות הביקורת בדק אם קיימת בכל המוסדות הרפואיים תוכנית להמשכיות עסקית או תוכנית .
להתאוששות מאסון, האם קיים בהם אתר חלופי זמין לשם המשך פעילות מערכות המידע .
במקרה של אסון ( אתר DR - Disaster Recovery )- בתוך כותלי המוסד או מחוצה לו; והאם .
תוכניות אלה עוסקות באופן הטיפול במכשירים רפואיים אם אלה נפגעו.
המענה של המוסדות בנושאים אלה: .
לוח 6: קיומה של תוכניות להמשכיות עסקית או להתאוששות מאסון, הקמת .
אתר חלופי זמין (DR ), והתייחסות בתוכניות המוסדות לאופן הטיפול .
במכשירים רפואיים שנפגעו .
שם המוסד תוכנית להמשכיות .
להתאוששות מאסון אתר חלופי זמין (DR) התוכניות עוסקות באופן .
מוסד י"ז ✓ צפוי לפעול באופן מלא .
)(בשלבי כתיבה הכנת האתר בהליכים .
(ישהתייחסות לתשתיות .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם שם המוסד תוכנית להמשכיות .
מוסד ב ✓ צפוי לסיום בנייה בסוף .
* במוסד י"ג, באתר החלופי אין את כל מערכות המחשוב אלא רק עותק של מידע.
את חוות השרתים לשני חדרים נפרדים בשני בניינים שונים, וכך לשפר את שרידות מערך המחשוב .
ולצמצם את הסיכון ואת הצורך באתר גיבוי מרוחק לצורך ההמשכיות העסקית.
** מוסד ח הוסיף כי יש DR למערכות המנוהלות באופן מרכזי; כיב מערכות מקומיות מתבצעים תהליכי .
שרידות וגיבויים; כי מוסד ח נמצא בשלבי תכנון למתן פתרון DR , וכי בימים אלה מוקם אב-טיפוס .
לדגם כדוגמה למימוש במערכות מקומיות.
מהלוח עולה כי לשני מוסדות רפואיים (מ-17 המוסדות הרפואיים שענו על שאלון אבטחת .
המידע): מוסד ט "ז ומוסד ט, אין תוכנית להתאוששות מאסון או תוכניות להמשכיות .
עסקית; ולשישה אין אתר חלופי ( DR) זמין שנותן מענה מלא במקרה של אסון.
עוד עולה כי מרבית המוסדות הרפואיים - 13 מ-17 המוסדות (כ-76%) - לא שילבו .
בתוכניות שלהם להתאוששות מאסון או בתוכנית להמשכיות עסקיות את אופן הטיפול .
וההתאוששות של מערך המכשור הרפואי, מערך המורכב מאלפי מכשירים בכל ארגון, .
ובהם מכשירים החיוניים לשם אבחון קליני מדויק ולשם הצלת חיי אדם.
על מנת להבטיח את היכולת של המוסדות הרפואיים לחזור, בהקדם האפשרי, לפעילות .
תקינה וסבירה במקרה של אירוע אסון, נדרש שהמוסדות הרפואיים יקדמו הקמה של .
בשל חשיבות הנושא, מומלץ כי משרד הבריאות, כמי שמנחה את .
המוסדות הרפואיים בכל הנוגע להגנה על מידע ב מערכות הממוחשבות שלהם ושעליו .
לפקח על יישום ההנחיות ולעקוב אחרי יישומן, יוודא כי למוסדות יש אתרי DR שיכולים .
לתת מענה מלא באירועי חירום.
כמוכן מומלץ שכלל ה מוסדות הרפואיים ישלבו בתוכניות שלהם להמשכיות עסקית .
והתאוששות מאסון התייחסות לאופן הטיפול והשחזור של מ ערך המכשור הרפואי, .
בהתאם לתיעדוף של המכשירים על פי מידת חשיבותם במסגרת פעילות המוסד הרפואי.
זאת בהמשך להוראת מנכ"ל משרד הבריאות ולהמלצות תורת ההגנה בסייבר.
מוסד ו מסר בתגובתו כי ישלים את התוכנית להתאוששות מאסון, באופן שתכלול גם טיפול .
במכשירים רפואיים שנפגעו, בהתאם לסיווג חשיבותם לתפקוד המרכז הרפואי.
מוסד ז מסר בתגובתו כי לנוכח ממצאי הביקורת גיבש תוכנית הכוללת את אופן הטיפול .
וההתאוששות של מערך המכשור הרפואי במקרה של אסון.
מוסד י"ב מסר בתגובתו כי יגבש תוכנית להמשכיות עסקית אשר תעסוק גם באופן הטיפול .
במכשירים רפואיים במקרה של אסון.
מוסד ט"ז מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד ט" ז) כי הוא .
עובד בימים אלה על תוכנית להמשכיות עסקית העוסקת גם במכשור הרפואי .
מוסד ב מסר בתגובתו כי הוא מקבל את המלצת הביקורת.
מוסד ח מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד ח) כי עד סוף .
תהיה תוכנית שלמה להמשכיות עסקיות .
משרד הבריאות מסר בתגובתו כי בשנת 2022 הוא יקדם מיזם בתחום ה-DR כדי להבטיח את .
ההמשכיות העסקית בכל מגזר הבריאות בישראל.
נוהל להתמודדות עם אירוע אבטחת מידע .
תקן ISO קובע כי על ארגונים המעבדים מידע בריאותי אישי חלה החובה להגדיר תחומי אחריות .
ונהלים בנושא ניהול תקריות ביטחון מידע.
תורת ההגנה בסייבר ממליצה להכין וליישם מדיניות .
תגובה לאירועים, וכן לבקר ולעדכן אותה תקופתית.
חוזר מנכ"ל משרד הבריאות משנת 2015 .
קובע כי יש להגדיר נוהל טיפול במקרה של כשל אבטחתי במערכות.
מתשובות המוסדות על שאלון אבטחת המידע עלה כי אחד מ-17 המוסדות- מוסד ט"ז, .
לא השלים גיבוש של נוהל להתמודדות עם אירוע של אבטחת מידע או מתקפת סייבר .
עוד עולה מהתשובות על השאלון כי הנוהל של מוסד ה נמצא בתהליך אשרור סופ י.
על מוסד ט "ז לגבש נוהל להתמודדות עם אירוע אבטחת מידע, כנדרש בחוזר מנכ " ל .
משרד הבריאות משנת 2015 .
נוהל שכזה ישפר את יעילות המענה אם כשל שכזה יתממש .
ביטוח מפני תקיפות סייבר .
בעשור האחרון גובר הביקוש לכיסוי ביטוחי מפני תקיפות סייבר.
ביטוח סייבר כולל למשל כיסוי .
של הוצאות הקשורות לתגובה על אירוע סייבר; הוצאות רגולטוריות משפטיות; הוצאות הקשורות .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם לרכיבי אבטחת מידע; מחקר בנוגע לזהות התוקף; פגיעה בפרטיות; פגיעה בפעילות העסקית .
של הארגון; פגיעה במערכות הארגון; והחזר כספי במקרה של מתקפת כופר .
שביצע מערך ה סייבר הלאומי בשנת 2019 עולה כי רק ל -13% מהחברות במשק יש ביטוח .
לפי הערכת מערך הסייבר הלאומי, המורכבות שבקידום הנושא נובעת, בין היתר, מכך .
שמדובר בתחום ביטוחי חדש שלחלק מחברות הביטוח אין ידע מספק בו, ומהיעדר ביקוש בשל .
חוסר מודעות של ארגונים לסיכון.
"ענבל חברה לביטוח בע"מ", שהיא חברה ממשלתית, עוסקת בין השאר בתחומי מתן שירותי .
ניהול וייעוץ בתחום הביטוחי (להלן - חברת ענבל).
למרכזים הרפואיים הממשלתיים כיסויים .
ביטוחיים באמצעות הקרן הפנימית לביטוחי הממשלה ובאמצעות פוליסות ביטוח משנה שענבל .
רוכשת או מנהלת עבורם, בגין אחריות מקצועית של הצוותים הרפואיים במרכזים הרפואיים .
עלה כי נכון למועד סיום הביקורת לכל המרכזים הרפואיים הממשלתיים (הכלליים, .
הגריאטריים והפסיכיאטריים) אין ביטוח סייבר .
עוד עלה בנוגע לשא ר המוסדות הרפואיים, כי לחלקם אין ביטוח המכסה את נושא .
אבטחת המידע והסייבר ולחלקם יש.
חברת ענבל מסרה לצוות הביקורת כי במסגרת תוכנית של החשב הכללי (החשכ"ל) לרכישת .
ביטוח סייבר ליחידות ממשלתיות, היא קידמה בשנת 2021 מהלך שיסייע לקידוםפתרון ביטוחי .
למרכזים הרפואי ים הממשלתיים.
בתהליך שקידמה חברת ענבל בשיתוף משרד הבריאות .
(חטיבת המרכזים הרפואיים במשרד) בשנת 2021 , נבחרו סוקרים לביצוע סקר אבטחת מידע .
בשלושה מרכזים רפואיים ממשלתיים: שיבא, רמב"ם ופורייה (מודל של מרכז רפואי גדול, בינוני .
הסוקרים פעלו לכמת את אומדן הנ זקים הכספיים והפיזיים שעלולים להיגרם ממגוון .
כמו כן ציינה חברת ענבל כי לאחר סיום הסקר בכוונתה לבחון בשיתוף החשכ"ל, .
משרד הבריאות וגורם שלישי שייבחר בהליך מכרזי את האפשרות לרכישת פוליסת ביטוח סייבר .
מרוכזת למרכזים הרפואיים הכלליים-ממשלתיים, הפסיכ יאטריים והגריאטריים.
ענבל מסרה בתגובתה למשרד מבקר המדינה בינואר 2022 כי סקר אבטחת המידע בשלושת .
המרכזים הרפואיים הממשלתיים עדיין בשלבי ביצוע, ועם סיומו ניתן יהיה לקדם את ההליך .
לרכישת פוליסות הביטוח.
משרד מבקר המדינה ממליץ לחברת ענבל להשלים, בשיתוף משרד הבריאות, את הליך .
בחינת הכיסוי הביטוחי למרכזים הרפואיים הממשלתיים בתחום אבטחת המידע והסייבר .
ומדגיש את החשיבות שבסיום הליך זה.
88 " ,מערך הסייבר הלאומיעבודת מטה של מערך הסייבר הלאומי מקדמת ביטוח ככלי לקידום חוסן המשק מפני .
חלק מהמוסדות שאינם ממשלתיים מסרו בתגובתם למשרד מבקר המדינה כי בחנו שילוב של .
ביטוח סייבר, אך הוא אינו בהכרח משתלם או ישים בשל מחירו ותכולת הכיסוי שלו, וחלקם .
מסרו כי קיבלו את המלצת מבקר המדינה לרכישת ביטוח מפני תקיפות סייבר .
מומלץ גם כי הנהלות המוסדות שאינם ממשלתיים ואין להם ביטוח סייבר - ישקלו לשלב .
ביטוח כזה במסגרת ביטוחי המוסד הרפואי, וכי סוגיה זו תועלה לבחינה מחודשת מפעם .
ביקורת פנים בתחום אבטחת המידע .
מבקרי פנים הם כלי בקרה חשוב בפעילות השוטפת של מוסדות רפואיים ונמנים עם שומרי הסף .
שבארגון; הם מעלים ליקויים חשובים ומניעים את הנהלת המוסדות לתקן ליקויים אלה.
החלטה של נציבות שירות המדינה משנת 2014 , יש למנות מבקרי פנים בכ ל בתי החולים .
תקן ה-ISO בנושא אבטחת מידע בתחום הבריאות קובע כי חלה על המוסדות הרפואיים חובה .
לקבוע תוכנית ביקורת שתכסה את כלל המרכיבים המצוינים בתקן, ובכלל זה את הסיכונים .
צוות הביקורת בדק במסגרת שאלון אבטחת המידע את ביצועה של ביקורת פנים בתחום .
אבטחת מידע במוסדות הרפואיים בשנים 2016 - 2021 .
פרק זהמתבסס על תשובות המוסדות .
הרפואיים שהתבקשו להשיב על שאלון אבטחת המידע; הכללית השיבה בעניין זה בשם כל .
שמונת המרכזים הרפואיים הכלליים שלה ומרפאות הקהילה - כגוף אחד, שכן ביקורת הפנים .
של כל מוסדות הכללית מנוהלת באופן מרוכז ברמת מטה הכללית.
לכן מספר ם הכולל של .
המוסדות בהם עוסק פרק זה הוא 17.
להלןמוצג המענה של המוסדות בנושאים אלה והפרטים .
89 נציבות שירות המדינה, חוזר מס 8/2014 " בנושאמינוי מבקרי פני ם בבתי החולים הממשלתיים" ( 23.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם תרשים 10: ביצוע ביקורת פנים בתחום אבטחת מידע, 2016 - 2021 .
לוח 7: ,ביצוע ביקורת פנים בתחום אבטחת מידע 2016 - 2021 .
ביצעו ביקורת פנים בתחום אבטחת המידע לא ביצעו .
מהתרשים ומהלוח עולה שכמחצית (שמונה) מהמוסדות הרפואיים לא ביצעו ביקורת פנים .
בתחום אבטחת מידע, ובהם מוסדות שהם מרכזים רפואיים גדולים - מוסד ט"ז ומוסד א.
על המבקרים הפנימיים במוסדות הרפואיים להכין תוכנית ביקורת פנים שתשלב בחינה של .
נושאים בתחום אבטחת המידע כמפ ורט בתקן ISO , ובכלל זה ביקורות על מוכנות המוסדות .
להתמודדות עם תקיפות סייבר, עם זליגה של מידע רפואי אישי, עם פגיעה במכשור רפואי .
מומלץ שמשרד הבריאות יוודא כי המוסדות הרפואיים מקיימים הנחיה זו.
מוסד ו מסר בתגובתו כי יכלול בדיקה של נושא אבטחת המידע במסגרת תוכנית העבודה של .
להלן בתרשים מוצגריכוז ממצאים מסוימים בנושא מדיניות אבטחת מידע במוסדות הרפואיים, .
תרשים 11: ריכוז ממצאים מסוימים בנושא מדיניות אבטחת מידע במוסדות .
כמו כן, עלו פערים נוספים בנושא מדיניות אבטחת מידע במוסדות הרפואיים.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם אבטחת מידע בעת רכישת מכשיר רפואי .
לרוב גורמים רפואיים (או מחלקות הנדסה רפואית 90 ) הם המבצעים רכש של מכשור רפואי .
ומתפעלים אותו, זאת להבדיל, למשל, מרכש מחשבים שממומן מתקציב מנהל מערכות המידע .
גורמים אלה אינם מכירים, בדרך כלל, את שיקולי מערכות המידע וההגנה .
על מכשירים רפואיים, את סוגי ההתקפות האפשריות עליהם ואת ההגנה הנדרשת עליהם.
כן יש לערב את גורמי אבטחת המידע בהליך הרכש 91 .
פרק זהמתבסס על תשובות המוסדות הרפואיים שהתבקשו להשיב על שאלון אבטחת המידע; .
- כגוף אחד, שכן נושא הרכש של כל מוסדות הכללית מנוהל באופן מרוכז ברמת מטה הכללית.
לכן מספרם הכולל של המוסדות בהם עוסק פרק זה הוא 17.
התייחסות להיבטי אבטחת מידע של מכשור .
רפואי בנוהלי הרכש של המוסדות הרפואיים .
בעת רכש של מכשור רפואי נבחנים מדדים שונים של המכשיר על בסיס הצרכים של המוסד .