HeTree/MevakerConcSen huggingface dataset:
הרפואי, הן מדדים קליניים והן מדדים לוגיסטיים, ובפרט כשנרכש מכשור רפואי יקר ומורכב, .
כגון מכשיר דימות מסוג MRI שעלותו מסתכמת בכמיליון וחצי דולר לפחות (כחמישה מיליון .
על פי תורת ההגנה בסייבר, כיוון שבמסגרת תהליכי רכש ופיתוח מתווספים לארגון ציוד .
או תוכנות שעלולים להכיל פוגענים, נדרש לקבוע לשם כך מדיניות לרכש ופיתוח מערכות .
שישולב בה גם מרכיב הגנת סייבר, וכן נדרש ל עקוב אחר יישומה ולעדכן אותה תקופתית.
בתורת ההגנה המעודכנת נקבע כי על הארגון לדרוש מספקי השירותים לציית לדרישות .
האבטחה הארגוניות, לרגולציות, לסטנדרטים ולהנחיות.
מהאמור עולה שעל כל ארגון לגבש .
את דרישות האבטחה, הסטנדר טים וההנחיות המתאימים לו.
ראו בתרשים ובלוח שלהלן את המוסדות הרפואיים שבנוהלי הרכש שלהם יש התייחסות להיבטי .
אבטחת מידע במכשור רפואי, והפרטים על המוסדות , כפי שעלה במענה על שאלון אבטחת .
מחלקות אלה מעורבות לרוב בניהול ובתחזוקה השוטפת של המכשור הרפואי בארגון הרפואי .
91 נוהל מכשור רפואי של משרד הבריאות משנת2018 קובע כיממונה אבטחת מידע וסייבר יאשר רכש מכשיר רפואי .
תרשים12: התייחסות להיבטי אבטחת מידעבמכשור רפואי בנוהל י הרכש של .
לוח 8: התייחסות להיבטי אבטחת מידע במכשור רפואי בנוהל הרכש של .
כללו התייחסות להיבטי אבטחת מידע במכשור רפואי בנוהל הרכש לא כללו .
מוסד י מוסד ב - אין נוהל רכש .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מהתרשים ומהלוח עלה כי מבין 16 המוסדות הרפואיים שיש להם נוהל רכש, חמישה: .
מוסד ז, מוסד י"ז, מוסד ט"ז, מוסד ו, מוסד י"א - לא כללו בנוהלי הרכש שלהם התייחסות .
להיבטי אבטחת מידע במכשור הרפואי.
מוסד ב ציין בשאלון אבטחת המידע שאין לו נוהל רכש, אך במסגרת מכרזי הרכש שהוא .
מבצע יש התייחסות להיבטי אבטחת מידע.
מוסד ט"ז מסר בתגובתו כי במסגרת הליך הרכש של מכשור רפואי הספקים מקבלים מסמכי .
אבטחת מידע של מכשור רפואי מהמוסד הרפואי, ונדרשים גם להגיב על דרישות המוסד בנושא .
מומלץ שהמוסדות: מוסד ז, מוסד י"ז, מוסד ט "ז, מוסד ו, מוסד י "א ומוסד ב, יוודאו שנוהל .
הרכש שלהם יתייחס להיבטי אבטחת מידע של מכשור רפואי, בהתאם להמלצות של .
תורת ההגנה בסייבר , ובכלל זה - למעורבות בעלי תפקידים בתחום אבטחת מידע, עמידת .
המכשירים הרפואיים בתנאי סף שקבע המוסד הרפואי והבדיקות שיש לבצע מול הספק.
מוסד י"ז מסר בתגובתו כי יעגן בנוהל את התניית הרכש של מכשור רפואי באישור של ממונה .
מוסד ז מסר בתגובתו כי יטמיע נוהל כאמור עד סוף הרבעון הראשון של 2022.
מוסד ו מסר בתגובתו כי לנוכח ממצאי הביקורת עדכן בשנת2021 את הנוהלבאופן שיעסוק .
בהיבטי אבטחת מידע של המכשור הרפואי.
הליכי אבטחת מידע בעת ביצוע רכש של מכשור .
נוהל מכשור רפואי של משרד הבריאות משנת 2018 מחייב את המוסדות הרפואיים לקיים כמה .
הליכים הנוגעים לאבטחת מידע בעת ביצוע רכש של מכשור רפואי.
אישור ממונה אבטחת המידע לרכש .
נוהל מכשור רפואי של משרד הבריאות משנת 2018 קובע כי ממונה אבטחת מידע וסייבר יאשר .
את רכש המכשיר קודם לקליטתו בארגון.
המטרה של קביעה זו היא להבטיח שכבר בעת הליך .
הרכש - עובדי אבטחת המידע יהיו מעורבים ויבחנו היבטי אבטחת מידע הנוגעים למכשור רפואי, .
על מנת לצמצם קליטה של מכשירי רפואיים אשר עלולים להגביר את חשיפת הארגון לכשלים .
בתחום אבטחת המידע, ועל מנת לתת פתרונות אבטחה למכשירים אשר השימוש בהם מלווה .
ראו בתרשיםובלוח שלהלן את המוסדות שהתנו את רכישת המכשור הרפואי באישור של ממונה .
אבטחת מידע, והפרטים על המוסדות, כפי שעלה מהמענה על שאלון אבטחת המידע: .
תרשים 13: התניית רכישת מכשור רפואי באישור של ממונה אבטחת מידע .
לוח 9: התנייתרכישת מכשור רפואי באישור של ממונה אבטחת מידע .
התנו אישור של ממונה אבטחת מידע בביצוע רכש לא התנו .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מהתרשים ומהלוח עולה שחמישה מ-17 המוסדות הרפואיים שענו עלשאלון אבטחת .
המידע לא התנו את רכישת המכשור הרפואי בכך שממונה אבטחת המידע יאשר את .
עוד עלה כי לעיתים גם בקרב מוסדות רפואיים שקבעו כי אין לרכוש מכשור רפואי בלי שהתקבל .
אישור של ממונה אבטחת המידע עדיין התבצע בפועל רכש בלי שהתקבל אישור לכך.
מוסד ט: ארבעה מ-37 המכשירים הרפואיים והמערכות החדשות שרכש המוסד הרפואי בשנת .
נרכשו בלא שממונה אבטחת המידע בחן אותםכמו כן, אחד מ -23 המכשירים שרכש .
המוסד בשנת 2020 , נבחן על ידי הממונה בדיעבד לאחר רכישתו.
מוסד ט "ו: מפרוטוקול ישיבתה של ועדת ההיגוי לאבטחת מידע וסייבר, שהתקיימה בנובמבר .
2019 , עולה כי המוסד רכש מכשיר רפואי שנאגר בו מידע ללא אישור התקנה של אגף .
טכנולוגיות מידע במוסד כנדרש.
גם בישיבתה של ועדת ההיגוי ממאי 2020 עלה כיברכישות .
קודמות של המוסד היו ליקויים דומים.
על המוסדות הרפואיים שטרם עשו זאת לשלב את ממו נה אבטחת המידע בשרשרת .
האישורים של מכשור רפואי חדש, ועל כלל המוסדות להטמיע הליך זה בפעילות הרכש .
באופן זה ממונה אבטחת המידע יוכל להעלות סוגיות בתחום אבטחת .
המידע, לדרוש תשובות מהספקים או מהיצרנים, ובמידת הצורך - להכין מבעוד מועד את .
הבקרות המונעות והבקרות המפצות 92 .
מוסד י "ז מסר בתגובתו כי לנוכח ממצאי הביקורת מחלקות הרכש וההנדסה יודיעו ליחידת .
המחשוב על בקשת הרכש, עוד בשלב בחינת המכשיר, על מנת לבחון את התאמתו למדיניות .
אבטחת המידע של המוסד הרפואי.
עוד מסר מוסד י"ז כי יתחיל להתנות רכש של מכ שור רפואי .
באישור של ממונה אבטחת מידע.
מוסד ו מסר בתגובתו כי לנוכח ממצאי הביקורת הוא עדכן בשנת 2021 את נוהלי העבודה שלו .
וכעת נדרש אישור של ממונה אבטחת המידע בעת רכש של מכשור רפואי חדש.
מוסד ז מסר בתגובתו כי לנוכח ממצאי הביקורת צוות אבטחת מידע ישלח למחלקת הנדסה .
מסמך עם דרישות אבטחת מידע שעל הספק למלא, ולאחריו הצוות יאשר את הרכש.
הגשת טפסים עם מדדים טכניים ואישור הממונה על אבטחת המידע .
בנוהל מכשור רפואי של משרד הבריאות משנת 2018 נקבע כי עם בקשת האישור לממונה .
אבטחת המידע יוגשו לו טפסים עם מדדים טכניים הנוגעים לאבטחת המידע של המכשיר על .
מנת שהממונה יוכל לבחון את המכשיר ולתת את דעתו על רמת האבטחה שבו, על הסיכונים .
הכרוכים בשימוש בו ועל רמת האבטחה הנדרשת בהתאם לכך.
מדדים אלה כוללים פרטים על .
92 בקרה מפצה היא כלי שמוטמע בארגון לצורך אבטחת מידע (למשל לאבטחת מידע שבמכשיר רפואי) אם יש חולשות .
באבטחה שלא ניתן היה למנוע או לנטרל בכלים הקיימים בידי הארגון.
דרך החיבור של המכשיר לרשת, על אופן קבלתם או שליחתם של הנתונים מהמכשיר, האם .
נדרשת גישה מהארץ או מחו"ל למכשיר לצורך תחזוקה, והאם המכשיר אוגר מידע.
ראו בתרשים ובלוח שלהלן את המוסדות שהגישו טופס עם מדדים טכניים לממונה אבטחת מידע .
בשנים 2018 - 2021 , והפרטים על המוסדות, כפי שעלה מהמענה על שאלון אבטחת המידע : .
תרשים 14: ,הגשת טופס עם מדדים טכניים לממונה אבטחת מידע .
לוח 10: הגשת טופס עם מדדים טכניים לממונה אבטחת מידע .
מגישים טופס עם מדדים טכניים לממונה אבטחת מידע לא מגישים .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מהתרשים ומהלוח עולה כי שבעה מ-17 המוסדות הרפואיים לא הגישו לממונה אבטחת .
המידע בשנים 2018 - 2021 טופס ובו המדדים הטכניים הנדרשים במסגרת הליך הרכש .
כנדרש בנוהל מכשור רפואי של משרד הבריאות משנת 2018 .
על המוסדות הרפואיים למלא את הטופס כנדרש, ובכלל זה למלא את הפרטים על .
המדדים הטכניים הנוגעים למכשור הרפואי, על מנת להציגו לממונה אבטחת המידע .
במוסד ולקבל את אישורו.
כך יוכל הממונה לבחון את המכשיר ולתת את דעתו עליו .
כאמור, וזאת על בסיס מידע מלא ושלם על המכשור הרפואי.
מוסד ו מסר בתגובתו כי יטמיע בחינה של מדדים טכניים בעת רכש של מכשור רפואי.
מוסד ד מסר בתגובתו כי אין הקפדה מלאה על מילוי טופס אבטחת המידע לפני הרכש, אך .
מילויו הוא תנאי לחיבור המכשיר לרשת.
מוסד ד הוסיף כי יחדד את השימוש בטופס זה ואת .
חשיבות מעורבות מנהל אבטחת המידע בעת רכישת המכשיר.
מוסד ט"ו מסר בתגובתו למשרד מבקר המדינה מינואר 2022 (להלן- תגובת מוסד ט"ו), כי יסדיר .
בנוהל את המידע שעליו לשלוח לממונה אבטחת המידע.
הצהרות יצרן בנוגע לאבטחת מידע - בקשה לטופסי 2MDS .
ארגונים לא ממשלתיים בארה"ב93 ומומחי אבטחת מידע ניסחו בשנת2004 מסמך הקרוי2MDS .
( Manufacturer Disclosure Statement for Medical Device Security ) ובו מפרט טכני מעמיק הנוגע .
למכשור רפואי, שאותו היצרן ממלא ומעביר לרוכש לצורך בחינה של מדדי אבטחת מידע .
ובטיחות הנוגעים למכשיר הרפואי, כדי להחליט אם המכשיר הרפואי עומד בתנאי אבטחת .
המידע המתאימים לרוכש.
בטופס מציין היצרן, למשל, מהו אופן השמירה וההגנה על המידע .
הרפואי במכשיר, מהן בקרות הגישה למכשיר וכיצד נקבעות הרשאות הגישה למכשיר.
2MDS הם מעמיקים ומפורטים יותר מאשר הטפסים שהמוסדות בישראל נדרשים למלא כאמור .
בהתאם לנוהל מכשור רפואי של משרד הבריאות משנת 2018 .
השימוש ב-2MDS ,אינו חובה .
אולם בארה"ב נעשה בו שימוש בו הולך וגובר על ידי צרכנים אשר דורשים טופס שכזה מהספק .
יצוין לחיוב כי שישה מ-17 המוסדות הרפואיים שענו על שאלון אבטחת המידע נהגו לבקש .
טופסי 2MDS מהיצרנים (מוסד ט, מוסד י"ד, מוסד י, מוסד א, מוסד ט "ו ומוסד ה), ומומלץ .
ליתר המוסדות הרפואיים לנהוג כך.
מוסד ח מסר בתגובתו כי ידרוש לקבל את הטופס במסגרת סל הדרישות מהיצרנים.
93 העיקריים שבהם NEMA ( National Electrical Manufacturers Association) וה - HIMSS ( Health Information and .
Management Systems Society).
94 CyberMDX" , "How MDS² Data Can Inform Smarter Medical Device Workflow( , 17.
בדיקות אבטחת מידע עם קבלת המכשיר וטרם .
תורת ההגנה בסייבר מדגישה את החשיבות שבהטמעת בקרות בהליכי הרכש לצורך צמצום .
סכנות בתחום אבטחת המידע והסייבר.
מטרת הבקרות - להקטין את הסיכוי כי הרכש של .
הרכיב החדש או המערכת יחדירו סיכוני סייבר לארגון.
על פי תורת ההגנה בסייבר מומלץ, בין .
היתר, לבצע בדיקות אבטחת מידע ולטפל בחשיפות קודם להטמעת מערכות חדשות בארגון, .
ולכלול בבדיקות אלה לכל הפחות בדיקות אשר בוחנות את הישימות של אבטחת המכשיר .
וחשיפות אבטחה, וכן לממש שיטות למניעת הכנסה של רכיבי מערכת מזויפים לארגון, בין .
במתכוון ובין באמצעות הטעיה של גורם בשרשרת האספקה.
תורת ההגנה המעודכנת מדגישה .
את הצורך לבחון באופן פרטני ועמוק את הבקרה על שרשרת האספקה בארגון.
מערך הסייבר הלאומי להגנה ע ל מכשור רפואי ראוי לבצע הליך של הקשחת 95 הרכיבים .
במכשיר, ובכלל זה יש להסיר מהמכשיר פונקציות שאינן נדרשות לתפעולו ולניהולו.
צוות הביקורת בדק אם המוסדות הרפואיים בודקים את הנושאים הבאים עם קבלת המכשיר .
נעילתהקונפיגורציה (תצורה) של המערכת באופן שנקבע ב נוהל מכשור רפואי של משרד .
הבריאות משנת 2018 , אשר לא יאפשרלשנות את תצורת פעולת המערכת אלא על ידי .
ספק או יצרן של המערכת בתיאום עם גורמי אבטחת המידע במוסד הרפואי.
יצמצם את האפשרות שגורמים שאינם מורשים לכך יבצעו שינויים טכניים במכשיר שיפ געו .
בפעילותו או לחלופין יחשפו אותו לאיומי סייבר או יגרמו לזליגת מידע רפואי.
גרסאות התוכנה של המכשיר או של רכיביו הן המעודכנות ביותר וכוללות עדכוני אבטחה .
תקפים הנותנים מענה לפרצות שעלולות לפגוע במכשיר (ראו גם להלן).
פונקציות (יישומים) שאינן נדרשות הוסרו מהמכשיר או נוטרלו .
בחינה ויישוםשל השבתת יציאות תקשורת שאינן נחוצות לצורך צמצום חשיפת המכשיר .
לפגיעות, למשל השבתת תווך תקשורת אלחוטי (WIFI.
החלפת שמות משתמש וסיסמאות ברירת מחדל אשר סיפק היצרן, כדי לשפר את .
האבטחה הכוללת של המכשיר מפני תקיפות סייבר ו כדי להקשות את הפריצה למכשיר .
סריקת המכשיר באמצעות כלי לזיהוי נוזקות, פוגענים וכן פעילויות חריגות ( אנומליות) .
לאיתור מכשור בעייתי שלא ניתן להשתמש בו או לחברו לרשת.
, משמעו נקיטת פעולות שונות לצורך שיפור האבטחה במכשיר על ידי צמצום הפגיעות שלו .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם משאלון אבטחת המידע עולה כי ניכרים פערים בין סוגי הבדיקות שביצעו המוסדות .
הרפואיים בעת רכישת מכשור רפואי ולפני התחלת השימוש בו ומספרן - שמונה .
מהמוסדות הרפואיים לא ביצעו יותר ממחצית מהבדיקות האמורות (ארבע בדיקות .
ומעלה), ושניים מהשמונה לא ביצעו שום בדיקה מבדיקות אלה.
יצוינו לחיוב שני מוסדות .
שביצעו את כל הבדיקות המצוינות בעת רכישת מכשור רפואי ו קודם להתחלת השימוש .
אחד המוסדות מסר בתגובתו כי לא ביצע את הבדיקות שציין משרד מבקר המדינה בשל הגדרות .
היצרנים והנזקים העלולים להיגרם למכשיר הרפואי.
על מנת להבטיח רמת הגנה נאותה על המכשירים ועל המידע שנאגר בהם מומלץ .
שהמוסדות הרפואיים ישלבו בדיקות מקיפות של המכשירים הרפואיים שהם רוכשים ולפני .
השימוש בהם, הדבר גם עולה מהמלצות תורת ההגנה בסייבר ומ המלצות מערך הסייבר .
הלאומי להגנה על מכשור רפואי.
מומלץ שהמוסדות יקבעו גורם אחראי במוסד שיהיה .
אמון על ביצוע הבדיקות ועל תיעוד הביצוע.
מוסד אחד מסר בתגובתו כי יפעל להסדרת ביצוען של הבדיקות הנדרשות בעת הרכישה, וזאת .
הן באמצעות נקיטת הצעדים הנדרשים מול היצרנים והספקים בעת הרכישה, והן באמצעות .
מערכת לניטור ציוד רפואי שתאפשר לבצע חלק מהבדיקות.
מוסד שני מסר בתגובתו כי החל בשנת 2022 הוא יקפיד להחליף סיסמאות בעת קבלת מכשיר .
חדש, ולהשבית יציאות תקשורת לא חיוניות.
מוסד שלישי מסר בתגובתו כי יפעל לשפר את הבדיקות שהוא מבצע עם רכישת המכשיר.
מוסד רביעי מסר בתגובתו בנוגע להסרת פונקציות שאינן נדרשות מהמכשיר ולהחלפת שמות .
משתמש וסיסמאות ברירת מחדל כי במרבית המכשירים אין ביכולתו להסירן בשל הגדרות יצרני .
המכשור הרפואי שאינן מאפשרות זאת.
עוד מסר כי בשנת 2022 ירחיב את היקף הסריקות של .
מכשירים רפואיים לשם איתור נוזקות, פוגענים ופעילויות חריגות לכלל המכשירים בקופה.
מוסד חמישי מסר בתגובתו כי יוסיף תהליך בקרה על הבדיקות שמבצעים ספקי המכשור הרפואי .
בהקשר זה, לפי רמת הסיווג של המכשיר .
מוסד שישי מסר בתגובתו כי הוא מקבל את המלצת משרד מבקר המדינה.
להלן בתרשים מוצגריכוז ממצאים מסוימים בנושא מדיניות אבטחת מידע בעת רכישת מכשיר .
רפואי חדש, כפי שעלו בפרק זה: .
תרשים15: ריכוזממצאים מסוימים בנושא אבטחת מידע בעת רכישת מכשיר .
כמו כן, עלו פערים נוספים בנושא אבטחת מידע בעת רכישת מכשיר רפואי חדש.
הגנה על המכשירים הרפואיים בזמן השימוש .
בעת השימוש השוטף במכשירים הרפואיים (ובפרט במכשירי דימות) על המוסדות הרפואיים .
לנקוט צעדים על מנת להגן על מכשירים אלה ועל המידע שנאגר בהם.
תשובות המוסדות הרפואיים שהתבקשו להשיב על שאלון אבטחת המידע; הכללית השיבה .
בעניין זה בשם כל שמונת המרכזים הרפואיים הכלליים שלה ומרפאות הקהילה - כגוף אחד, .
ולכן מספרם הכולל של המוסדות שבהם עוסק פרק זה הוא 17 .
מיפוי של מערך המכשור הרפואי .
לפי תורת ההגנה בסייבר, על ארגון בעל פוטנציאל נזק גבוה בעקבות אירוע סייבר למפ ות את .
נכסיו (ובהם יישומונים ארגוניים, תשתיות ממו חשבות ורשת הארגון), את ייעודם ואת הממשקים .
מהנכס ו אליו (בכלל זה נכסים המאוחסנים בענן).
בסוף שלב זה יידע הארגון להגדיר מה הם .
נכסים שחשיבותם רבה מבחינת תפקודו ואילו הם הנכסים המשניים, והדבר יסייע לארגון להגן .
על הנכסים בהתאם לנזקים האפשריים.
נוהל מכשור רפואי של משרד הבריאות משנת 2018 קובע כי ארגון רפואי יבצע תהליך מיפוי של .
המכשור הרפואי שברשותו ויתחזק את המיפוי באופן שוטף, זאת על מנת שמנהל אבטחת המידע .
יוכל ליזום סקרי אבטחת מידע של מערך המכשור הרפואי של המוסד.
המיפוי גם יאפשר לארגון .
הרפואי לנהל את מערך המכשירים הרפואיים שברשותו; יאפשר לו לדעת בכל זמן נתון אילו .
מכשירים יש בארגון; ולהוסיף מדדים נוספים לאותו מיפוי לצורך ניהול אבטחתי ראוי.
משרד הבריאות הכין טבלה ובה רשימה המשמשת למיפוי המכשור הרפואי במוסד הרפואי .
והעביר אותה למוסדות רפואיים ככלי עבודה אפשרי.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם מ יפוי כללי של מכשור רפואי: עלה כי שישה מ-17 המוסדות הרפואיים שענו על שאלון .
אבטחת המידע - מוסד י"ד, מוסד י "א, מוסד ו, מוסד א, מוסד ב, ומוסד ה - לא מיפו באופן .
מלא את כל המכשירים הרפואיים שברשותם.
על המוסדות הרפואיים למפות את המכשור הרפואי שבבעלותם באופן מלא, כנדרש .
בנוהל מכשור רפואי של משרד הבריאות משנת 2018 .
מוסד ו מסר בתגובתו כי ישלים בשנת2022 את מיפוי המכשור הרפואישבבעלות ו.
מיפוי המכשור הרפואי בהיבטי אבטחת מידע: במסגרת שאלון אבטחת המידע בדק צוות .
הביקורת האם המוסדות הרפואיים כללו במיפוי של המכשור הרפואי שלהם מאפייני אבטחת .
מידע עיקריים, שהופיעו בטבלה שהכין משרד הבריאות.
הבדיקה העלתה כי לא כל המוסדות כללו במיפוי שלהם את כל המאפיינים.
שלהלן את מספר המוסדות שהתייחסו למאפיינים אלה: .
תרשים 16: מאפייני אבטחת מידע שנכללו במיפוי המכשור הרפואי של .
מומלץ כי המוסדות הרפואיים ישלימו את מיפוי מערך המכשור הרפואי שלהם באופן .
שייכללו בהם מדדים נוספים הנוגעים לאבטחה של המכשירים הרפואיים, למשל בנוגע .
לתווך החיבור שלהם לרשת, לגרסת התוכנה המותקנת עליהם, למידע שהם אוגרים .
ולאופי התחזוקה שהם דורשים, זאת בהמשך לנוהל מכשור רפואי של משרד הבריאות .
משנת 2018 ולטבלה שהכין .
באמצעות מיפוי מעודכן מסוג זה יכולים המוסדות לקבל .
תמונת מצב מקיפה על המכשור הרפואי שבבעלותם, ועל בסיס זה לתכנן את הצעדים .
הנדרשים לצורך ניהול אבטחתו באמצעות הבקרות המתאימות.
עדכון המיפוי של מכשור רפואי: כאמור, נוהל מכשור רפואי של משרד הבריאות משנת 2018 .
קובע כי ארגון רפואי יתחזק את המיפוי של המכשור הרפואי באופן שוטף, באופן שיוכל לדעת .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם בכל זמן נתון אילו מכשירים יש בארגון ולהוסיף מדדים נוספים לאותו מיפוי לצורך ניהול אבטחתי .
הנוהל לא קובע את תדירות המיפוי הנדרשת או המומלצת.
בביקורת עלה כי שני מוסדות (מוסד ו ומוסד י"ד) מ- 17 המוסדות שבהם היה מיפוי של .
המכשור הרפואי עדכנו את המיפוי בפעם האחרונה לפני יותר משנתיים, בשנת 2019 ;15 .
מוסדות עדכנו את המיפוי לכל הפחות באמצע שנת2020 .
בהיעדר תמונת מצב מלאה ועדכנית בנוגע למיפוי המכשור הרפואי במוסד יתקשה צוות .
אבטחת המידע להגן על ה מכשור הרפואי הקיים ו להיערך כנדרש, באמצעות כלל .
האמצעים העדכניים, להתמודדות עם הנזקים האפשריים והסיכונים שהמכשיר חשוף .
על המוסדות הרפואיים לעדכן את המיפוי באופן תדיר ושוטף.
הבריאות יקבע את התדירות המזערית הנדרשת לצורך המיפוי.
משרד הבריאות מסר בתגובתו כי ישקול את הצורך בהגדרת תדירות לעדכון המיפוי של המכשור .
הרפואי במוסדות הרפואיים, וישנה את המדיניות בהתאם לכך.
הגנה פנימית באדריכלות הרשת של הארגון על .
מערך התקשורת של מכשירים רפואיים נקרא IoMT ( Internet of Medical Th ings ).
רכיבי ה-IoMT משמעה הגנה על חלקיו הפיזיים השונים של המכשיר (למשל מסך, מקלדת), על .
היישומון (אפליקציה) שמותקן בו, על המידע שנאגר בו ומועבר באמצעותו ועל התקשורת שלו .
מוסדות רפואיים יכולים להשתמש בכמה כלים כדי לאבטח את המכשור הרפואי .
ואת ר כיביו בעת השימוש בו וכן את החיבור שלו לרשת הארגון.
צוות הביקורת בדק אם 15 .
המוסדות הרפואיים 96 המשתמשים במכשירי MRI ו-CT הטמיעו ברשתות שלהם את אמצעי .
מערכת ניטור ובקרה ייעודית למכשור רפואי: מכשור רפואי פועל בתוך רשת, והיא סביבה .
משתנה (דינמית) שבה מתבצעות פעולות רבות באופן שוטף, ובכלל זה תקשורת מורכבת בין .
רכיבים שונים המעבירים ביניהם מידע ופקודות ביצוע.
בשל ריבוי המכשירים הרפואיים במוסדות .
הרפואיים ומורכבותם - גובר בשנים האחרונות השימוש במערכות ניטור ובקרה ייעודיות למערך .
מערכות אלה כבר מוטמעות בחלק מהמוסדות הרפואיים בישראל ובעולם, והן מנטרות את .
הפעילות של המכשור הרפואי, אוספות מידע על פעולות שבוצעו ומזהות פעילות חריגה בתפקוד .
המכשור ובתקשורת אליו וממנו - דבר אשר עשוי להעיד על ניסיון תקיפה או זליגה של מידע .
(למשל תקשורת חריגה מבחינת סוג המידע שמועבר בין המכשיר לבין רכיביו וניסיונות של .
גורמים שאינם מורשים לכך לקבל גישה למידע).
בעקבות ניטור הפעילויות יכול המוסד הרפואי .
96 בלאומית ובמכבי אין שימוש במכשירי דימות מסוג MRI ו-CT ; הכללית נספרה בנושא זה כגוף אחד הכולל הן את .
מרפאות הקהילה והן את בתי החולים שלה.
97 זאת לצד מערכות ניטור כללית יותר על כלל הרשת ומשתמשיה, כדוגמת מערכת אשראוספת נתונים מהרשת .
(למשל לוגים המתעדים פעולות שבוצעו), מנתחת אותם ובאמצעותם מבצעת בקרת אבטחת מידע על תהליכים .
לזהות את מקור הפעילות החריגה, לפעול לעצירתה ולמנוע את התפשטותה לחלקים אחרים .
טיפול בפעילות שמנוטרת בקביעות יכול להתבצע בכל שעות היממה באמצעות .
צוות האבטחה של המוסד, באופן פיזי או באמצעות טיפול מרחוק.
תווך תקשורת מוצפן בתוך הרשת: המלצות מערך הסייבר הלאומי להגנה על מכשור רפואי .
כוללות המלצה לשימוש בתקשורת אמינה ומאובטחת הן בין רכיבי המכשור הרפואי עצמם והן .
בין הרכיבים לרשת הארגוני ת.
בהינתן גישה לגורם עוין לרשת של המוסד הרפואי, הצפנת .
התקשורת תצמצם את הסיכון שאותו גורם יצליח לקבל גישה למידע שנשלח למכשיר הרפואי .
או מתקבל ממנו ולפענח את המידע, ובעקבות כך - תקשה על אותו גורם לעיין באותו מידע .
(למשל מידע רפואי אישי) או לחבל בו.
סגמנטציה (ה פרדה) של מכשירי ה -MRI וה-CT ב- VLAN98 :נפרד ברשת המלצות מערך .
הסייבר הלאומי להגנה על מכשור רפואי מדגישות גם הן את החשיבות של תכנון אדריכלות .
הרשת לצורך הגנה, וממליצות לבחון לבודד את המכשירים ב- VLAN ייעודי לצורך צמצום ניצול .
מרחב התקיפה על המכשירים ושיפור הניטור שלהם.
הגנה על המכשור הרפואי באמצעות חומת אש ייעודית: חומת אש ( firewall ) היא מערכת .
היוצרת שכבת הגנה וירטואלית בין רשת הארגון לבין המרשתת; חומת האש חוסמת תקשורת .
ותעבורה בלתי רצויות, על בסיס כללים אשר בוחנים את המידע, את מקורו, את יעדו וכד'.
אש משמשת כלי מרכזי בהגנה הבסיסית הניתנת לרשת של ארגון.
לצד התקנת חומת אש אשר .
מגינה על הרשת הכללית מפני איומי סייבר חיצוניים, ניתן להתקין חומות אש פנימיות בתוך .
הרשת (למשל על VLAN ייעודי), באופן שישפר את ההגנה על אותה סביבה מפני פוגענים .
אפשריים ביתר רשת הארגון.
על פי המלצות מערך הסייבר הלאומי להגנה על מכשור רפואי, .
חומת אש המותקנת על המכשיר הרפואי משמשת חוצץ הגנה וכלי להתמודדות עם מתקפת .
סייבר שמטרתה להשבית מערכות.
הפרדת שרתים: ארגונים עשויים להשתמש בשרת אחד לכמה ייעודים (למשל שימוש באותו .
שרת לצורך ייעודי, כמו ניהול משתמשים, גם לצורך תפעול ניהולי וגם לתקשורת במרשתת).
מתכונת פעילות זו עלולה להגביר את החשיפה לסיכונים - חדירה לאותו שרת או פגיעה בו .
עלולה להיות נרחבת יותר מאשר לו הפגיעה הייתה בשרת ספציפי המיועד לצורך אחד; אשר .
לכך, יש מוסדות רפואיים שמייעדים שרת נפרד למכשירים הרפואיים הגדולים (MRI ו-CT ) וכך .
מקטינים את הסיכון לפגיעה במערכות אחרות כאשר יש פגיעה בשרת של מכשירים אלו.
אמצעים חיוניים לצורך שיפור רמת האבטחה ואיתור פוגענים אשר עלולים לחדור את אחת .
משכבות ההגנה הם שילוב של כלים אלו - מיקום המכשור הרפואי ב- VLAN ייעודי, הגנה על .
סביבה זו באמצעות חומת אש ייעודית שתפריד בין המערכת לבין יתר הרשת וכן הפרדה מלאה .
בין השרתים הייעודיים למכשירים אלה לבין יתר השרתים.
98 Virtual Local Area Network - רשת מקומית וירטואלית.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם בבדיקה של חמשת הרכיבים במערך ההגנה הפנימית באדריכלות הרשת של המוסדות .
הרפואיים עלה כי קיימים חֲסָרים מהותיים במערך ההגנה שהמוסדות הרפואיים הטמיעו .
לצורך הגנה על מכשו ר רפואי, וכי בחלק מהמוסדות יש שילוב של חֲסָרים המגביר את .
חשיפתם לסיכוני אבטחת מידע.
מומלץ כי כל המוסדות הרפואיים שבהם עלה חוסר באחד או יותר מהמרכיבים של ההגנה .
על מכשור רפואי ישלימו את החוסרים שנמצאו אצלם.
המלצות אלו תואמות את המלצות .
מערך הסייבר הלאומי להגנה על מכשור רפואי, ונוכח חשיבותן מומלץ כי המוסדות יאמצו .
מוסדות מסוימים מסרו בתגובתם כי הם מקבלים את המלצת משרד מבקר המדינה ויפעלו .
מומלץ כי משרד הבריאות יבחן המענה הנדרש לפערים שעלו בביקורת בתחום זה.
משרד הבריאות מסר כאמור בתגובתו כי הוא נערך לממש מיזם לאומי להגנה על מכשור רפואי .
משתמשים, סיסמאות והרשאות גישה למכשירי .
הרשאות גישה, ניהול רשימת משתמשים ומדיניות סיסמאות הם כלי מרכזי ביי שום מדיניות .
אבטחת מידע בכל ארגון, וכך גם בנוגע להרשאות שימוש וגישה למכשירים רפואיים במוסדות .
כלים אלה משמשים בקרות שבאמצעותן ניתן להבטיח כי רק אלה הנדרשים לכך .
יכולים לגשת למכשור הרפואי, להפעילו ולעיין במידע שמעובד ונאגר בו.
כך ניתן להבטיח הגנה .
על המכשיר עצמו ועל התפעול הטכני שלו, וכן על המידע הרפואי האמור.
בקרות הרשאה פיזית ולוגית .
עוד קודם לביצוע כניסת המשתמש למכשיר הרפואי לצורך השימוש בו, עליו להגיע פיזית אל .
המכשיר ("הרשאה פיזית").
הגבלת הגישה הפיזית למכשיר משפרת את ההגנה עליו ומונעת .
גישה של גורמים לא מורשים למכשיר עצמו וכן למידע שמעובד ונאגר בו.
למכשיר, ניתן להגדיר בקרות גישה לוגיות לשימוש במכשיר ("הרשאה לוגית"), למשל הגדרת .
שם משתמש וסיסמה99 וכן הגדרת מנגנון ל עדכון הסיסמאות, לנעילת ההרשאה ו לתיעוד פעולות .
99 " לצורך אבטחה ברמה גבוהה יותר ניתן אף להשתמש בשתי הרשאות לוגיות משולבות (מכונה two factor authentication ,)" .
למשל שימוש בשם משתמש וסיסמה ובד בבד העברת כרטיס עובדלעיתים במכשירים רפואיים המתקבלים מהיצרנים יש .
שם משתמש גנרי (דיפולטיבי - Default ) - "ברירת מחדל".
שינוי שם המשתמש והסיסמה הגנריים י שפר את רמת האבטחה .
הכוללת של המכשיר מפני תקיפות סייבר ו י קשה את הפריצה למכשיר.
המשתמשים במכשור הרפואי.
מכשיר רפואי שמוטמעות בו, בה בעת, בקרות פיזיות ובקרות .
לוגיות יהיה מאובטח יותר .
תקנות הגנת הפרטיות קובעות כי בעל מאגר מידע ינקוט אמצעים כדי לוודא שהגישה למאגר .
ולמערכות המאגר מתבצעת בידי בעל הרשאה המורשה לכך בלבד.
חוזר מנכ"ל משרד הבריאות .
משנת 2015 קובע כי יש לה במערכת המידע על בסיס ]הרשאות גישה[ קנות זכויות פעילות .
"הצורך לדעת" ולהתאימן לתפקיד שממלא העובד.
נוהל מכשור רפואי של משרד הבריאות .
משנת 2018 עוסק גם הוא במתן הרשאות וקובע כי יש להגביל את מתן הרשאות הגישה למכשור .
רפואי ולפקח עליו, בהתאם לרגישות המכשור הרפואי ו לרגישות השירותים ברשת הארגון .
שאליהם המכשור הרפואי מחובר.
מכשיר רפואי מרכזי הנמצא בסביבה פתוחה וללא בקרה לוגית הנדרשת לצורך הפעלתו חשוף .
לפגיעה בו ובבטיחותו, לגישה בלתי מורשית למידע רפואי אישי, ולהחדרת פוגענים למכשיר .
צוות הביקורת בדק את ההיבטים האלה במסגרת בדיקתם של ארבעה מכשירי דימות: .
"הרשאה פיזית": האם המכשיר הרפואי נמצא בחדר נעול או בסביבה פתוחה הנגישה לכול.
"הרשאה לוגית": האם יש הרשאות לוגיות (אחת או יותר) לשימוש במכשיר: שם משתמש .
וסיסמה, העברת כרטיס חכם או כרטיס עובד, מזהה ביומטרי ייחודי של העובד (למשל .
טביעת אצבע), או לחלופין גישה ישירה ללא דרישה להזדהות.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם לוח 11: בקרות הרשאה פיזית ולוגית במכשירי דימות .
MRI CT רנטגן אולטרסאונד נשים .
מוסד י"ג ✓ ✓ ✓ ✓ ✓ ✕ ✓ ✕ .
מוסד ז ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✕ .
מוסדי"ז ✓ ✓ ✓ ✕ ✓ ✓ ✓ ✓ .
מוסד ד ✓ ✕ ✓ ✕ ✓ ✕ חלקי ✕ .
מוסד ט"ז ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✕ .
מוסד ט ✓ ✓ ✓ ✓ ✓ ✕ ✓ ✕ .
מוסד י"ד ✓ ✓ ✓ ✕ ✓ ✕ ✓ ✕ .
מוסד י"ב ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✕ .
מוסד ו ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✕ .
מוסד י"א ✓ ✕ ✓ ✕ ✕ ✕ ✓ ✕ .
מוסד י ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓ .
מוסד ג ✓ ✕ ✓ ✕ ✓ ✕ ✓ ✕ .
מוסד א ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓ .
מוסד ט"ו ✓ ✕ ✓ ✓ ✓ ✕ ✓ ✕ .
מוסד ב ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✕ .
מוסד ה ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓ .
מוסד ח ✓ ✕ ✓ ✕ חלקי ✕ חלקי ✕ .
* יצוין כי גם מוסדות שאין להם MRI ו-CT סומנו ב- ✓ .
• בשלושה מ-17 המוסדות שענו עלשאלון אבטחת המידע אין בקרת הרשאה פיזית .
לגישה לאחד מסוגי המכשירים לפחות.
ב-14 מ-17 מוסדותאין בקרת הרשאה לוגית .
• ב-13 מ-17 המוסדותאין בקרת הרשאה לוגית לגישה למכשיר אולטרסאונד נשים , .
כלומר מתאפשרת גישה לנתונים השמורים במכשיר, וכך עלולה להיפגע פרטיות .
• במוסד י"א אין בקרת הרשאה פיזית וגם לא לוגית על הגישה למכשירי הרנטגן שלו, .
כך גם בנוגע לחלק ממכשירי הרנטגן במוסד ח.
• במוסד ד, מוסד י"א, מוסד ג ובמוסד ח לא קיימת בקרת הרשאה לוגית בשום סוג של .
מכשירי הדימות שנבדקו.
• במוסד י"ד ובמוסד ט "ו אין בקרת הרשאה לוגית בשלושה סוגי מכשירים.
• במוסד ד ובמוסד ח לחלק ממכשירי אולטרסאונד נשים לא הייתה גם בקרת הרשאה .
פיזית וגם בקרת הרשאה לוגית100.
מומלץ שכל המוסדות הרפואיים יוודאו כי קיימת בקרת הרשאה פיזית ובקרת הרשאה .
לוגית על הגישה למכשירי הדימות כנדרש בהתאם לתקנות הגנת הפרטיות, לחוזר מנכ" ל .
משרד הבריאות משנת 2015 ולנוהל מכשור רפואי של משרד הבריאות משנת 2018 .
הטמעת בקרות אלה חשובה במיוחד בקרב מוסדות שבהם יש מכשירי דימות ללא בקרת .