HeTree/MevakerConcSen huggingface dataset:
הרשאה לוגית ופיזית, שכן בהיעדר בקרה כאמור עלולים להתבצע גישה לא מורשית .
למכשירים אלה על השלכותיה השונות.
מוסד י"ג מסר בתגובתו למשרד מבקר המדינה בינואר 2022 (להלן- תגובת מוסד י"ג) כי בכוונתו .
להוסיף את בקרת ההרשאה הלוגית במכשירים אם יתאפשר לבצע זאת מהבחינה הטכנולוגית, .
וכי יגבש נוהל בנושא וכן יבחן מינוי גורם אחראי לתחום בקרות ההרשאה.
מוסד י"ב מסר בתגובתו כי יפעל להגדיר בקרת הרשאות כניסה לוגית בכל מכשיר שבו ניתן .
מוסד י"ב הוסיף בתגובתו כי יפעל לשנות את הסיסמאות במכשירים .
הרפואיים בתדירות קבועה וכן יבחן את האפשרות לנעול את המכשירים לאחר כמה ניסיונות .
כניסה כושלים בהתאם למאפייני המכשיר.
כמו כן מוסד י"ב יבחן את ישימות השימוש בהרשאות .
אישיות במכשירים רפואיים.
מוסד ז מסר בתגובתו כי במכשירים ישנים לא ניתן להגדיר בקרת הרשאה לוגית.
יבצע מיפוי של המכשור הרפואי שניתן להוסיף לו בקרת הרשאה לוגית, ינחה להגדיר סיסמאות .
המוסדות לא ציינו במענה על שאלון אבטחת המידע את מספר המכשירים שאינם נעולים בחדר סגור .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם אישיות ולהחליפן אחת לתקופה במכשירים שבהם ניתן לעשות זאת, ופעילות זו תתבצע בשנת .
מוסד ז הוסיף כי יבצע גם בקרה על החלפת הסיסמאות האישיות בפרקי זמן שייקבעו.
מוסד ו מסר בתגובתו כי בדק היתכנות להגדרת שם משתמש וסיסמה אישיים ומצא כי הגדרה .
כזאת תפגע ברצף הפעילות של השימוש במכשירים הרפואיים.
מוסד א מסר בתגובתו כי לא ניתן להגדיר הרשאת גישה אישית לכניסה למערכות הדימות.
מוסד ח מסר בתגובת ו כאמור כי במרבית המכשירים אין ביכולתו להחליף שמות משתמש .
וסיסמאות ברירת מחדל, וזאת בשל הגדרות יצרני המכשור הרפואי.
מוסד ט"ו מסר בתגובתו שבמכשירים רפואיים, כדוגמת מכשירי דימות, שבהם יש קושי טכנולוגי .
להגדיר בקרת גישה לוגית, הוא הנחה לבצע מחיקה של המידע הנשמר על המכשירים אחת .
לשבועיים כדרך להתגבר על ה קושי.
מוסד ב מסר בתגובתו כי יבחן את האפשרות להוסיף בקרת הרשאה לוגית מהבחינה .
מומלץ כי כלל המוסדות הרפואיים ישפרו את מערך הבקרה הלוגית במערך מכשירי .
הדימות שלהם, ואם קיימת מגבלה להגדרת בקרה כזאת, מומלץ שיטמיעו בקרות מפצות .
בסביבת עבודה כזאת, על מנת לצמצם את הסיכונים הנלווים לשימוש במכשירים אלה.
עדכון רשימת המשתמשים בעלי הרשאות לוגיות .
הפעילות הרפואית במוסדות הרפואיים משתנה במהלך הזמן.
למשל - רופאים, מתמחים ואחיות .
פורשים ומגיעים חדשים, עובדים מחליפים תפקיד, צוות המינהלה מתחלף, מכשור רפואי חדש .
נכנס לשימוש במקום מכשור ישן ועוד.
בשל כך יש צורך לעדכן, מפעם לפעם, את רשימת .
המשתמשים שיש להם הרשאות לשימוש במכשירים הרפואיים וכך להבטיח שתינתן הרשאת .
הגישה למכשור הרפואי רק למי שנקבע כי היא נדרשת עבורו.
תקנות הגנת הפרטיות קובעות כי בעל מאגר ידאג לביטול הרשאות של משתמש שסיים את .
בחוזר מנכ" ל משרד הבריאות משנת 2015 נקבע כאמור כי יש להקנות זכויות פעילות .
במערכת המידע על בסיס "הצורך לדעת" ולהתאימן לתפקיד שממלא העובד.
עוד קובע החוזר כי נדרשת ביקורת תקופתית על פרטי רישום המשתמשים בכל מערכות המידע, .
על מנת לוודא את שלמותם ודיוקם, וכי עדיין נדרשת גישה למשתמשים הקיימים.
רפואי של משרד הבריאות משנת 2018 קובע כי הרשאות הגישה לכל העובדים והמכשירים .
הרפואיים ייבחנו לפי שיקול דעתה של ההנהלה, ויש לבצע בחינה של הרשאות אלה במערכות .
בעלות סיווג גבוה אחת לשישה חודשים.
צוות הביקורת בדק אם בשנים 2019 - 2020 המוסדות הרפואיים ביצעו לפחות פעם אחת עדכון .
של רשימת המשתמשים בעלי הרשאות לוגיות למכשירים הרפואיים.
ראו בתרשיםובלוח שלהלן את המוסדות שביצעו עדכון הרשאות לפחות פעם אחת בשנים 2019 .
ו-2020 :, והפרטים על המוסדות .
תרשים 17: ביצועעדכון הרשאות לפחות פעם אחת , 2019 ו- 2020 .
לוח12: ביצועעדכון הרשאות לפחות פעם אחת , 2019 ו- 2020 .
ביצעו עדכון הרשאותבשנים 2019 ו- 2020 לא ביצעו .
מהתרשים ומהלוח עולה כי שבעה מ-17 מוסדות רפואיים לא ביצעו לפחות פעם אחת .
עדכון של רשימת המשתמשים בעלי הרשאות לוגיות למערך המכשור הרפואי בשנים .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם אי-ביצוע עדכון של רשימת המשתמשים כאמור במשך שנתיים במערך המכשור הרפואי, .
הכולל אלפי מכשירים ובכלל זה מכשירים רגישים בעלי חשיבות רבה לפעילות השוטפת .
של המוסד הרפואי, עלול להגביר את חשיפת המכשירים לאיומי אבטחת מידע וסייבר.
מוסד ח מסר בתגובתו כי אין לו הרשאת גישה לחלק מהמכשור הרפואי לצורך ביצוע עדכון .
מומלץ שבהמשך להנחיה שנקבעה בנוהל מכשור רפואי משנת 2018 , המוסדות הרפואיים .
יקבעו בנוהליהם פרקי זמן קבועים לביצוע עדכון של רשימת המשתמשים המורשים .
במכשור הרפואי ויפעלו לעדכון ההרשאות בהתאם לכך.
אשר למכשור רפואי שהוגדר .
כבעל סיווג גבוה, עליהם להקפיד על עדכון ההרשאות אחת לשישה חודשים, כנדרש .
עוד מומלץ שהמשרד יוודא כי המוסדות מבצעים את עדכון .
ההרשאות למכשירים המוגדרים בעלי סיווג גבוה על פי הקבוע בנוהל.
מוסד ז מסר בתגובתו כי יגבש נוהל שיחייב כל מנהל יחידה רפואית לבקר את רשימת .
המשתמשים המורשים להשתמש במכשירים הרפואיים.
המידע הרפואי הנאגר במכשירי הדימות .
מידע רפואי אישי הנאסף במכשירים הרפואיים נשמר בו לפרק זמן מסוים התלוי, בין היתר, בנפח .
האחסון של המכשיר; המידע גם מועבר בד בבד, או לאחר פרק זמן מסוים, למערכת ארכיב .
דיגיטלית (PACS , ראו להלן) ובמידת הצורך גם למערכות נוספות ברשת המוסד הרפואי, באופן .
שאין צורך לשמור לאורך זמן את המידע גם על המכשירים עצמם; אם גיבוי הקובץ נכשל או .
נפגם - ניתן לחזור לקובץ המקורי השמור במכשיר; בחלק ממכשירי הדימות המפענחים ניתן .
לעיתים לבצע פעולות פיענוח מורכבות רק בקובץ הצילום המקורי, השמור במכשיר עצמו, ולא .
בהעתקים שהועברו ממנו אל ה-PACS .
על פי המלצות מערך הסייבר הלאומי להגנה על מכשור רפואי, יש למחוק מידע ונתונים שנאגרים .
במכשירים רפואיים, לאחר שימוש במכשיר ועיבוד המידע בו או בעת החלפת המשתמש .
ראו בתרשים ובלוח שלהלן את המוסדות שביצעו מחיקה יזומה של המידע שנשמר במכשירי .
הדימות שלהם, ופרטים על המוסדות האלה: .
תרשים18: מוסדות שביצעומחיקה יזומה של המידע שנשמר במכשירי .
לוח 13: מוסדות שביצעומחיקה יזומה של המידע שנשמר על מכשירי הדימות .
מחקו לא מחקו לא רלוונטי .
מוסד י"ד מוסד י"ג מוסד ב* .
* מוסד ב ציין כי מכשירי הדימות שברשותו לא אוגרים מידע.
מהתרשים ומהלוח עולה כי שמונה מ-17 המוסדות הרפואיים שענו על שאלון אבטחת .
המידע לא מחקו באופן יזום ותדיר מידע שנשמר במכשירי הדימות שהפעילו.
מוסד ח מסר בתגובתו כי מחיקת המידע מהמכשירים הרפואיים עלולה לג רום לאובדן מידע .
רפואי חשוב הנדרש לעיתים, עד להגעתו בצורה תקינה לארכיב.
מוסד ח הוסיף כי קיים קושי .
תפעולי למחוק מידע מהמכשירים הרבים שברשותו.
מוסד י"ב מסר בתגובתו כי במכשירי ה -MRI וה-CT שברשותו לא ניתן לבצע מחיקה יזומה, וכי .
הוא יבחן ביצוע מחיקה כזאת במכשירי הרנטגן והאולטרסאונד.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם נוסף על המחיקה המובנית המתבצעת בחלק ממכשירי הדימות, המושפעת מנפח האחסון .
הקיים במכשירים, מומלץ כי המוסדות הרפואיים יסדירו את התהליך לניהול המידע האגור .
במכשירים הרפואיים, ובכלל זה במכשירי הדימות, ויקבעו את תדירות בדיקת המידע, מהו .
המידע שנדרש להמשיך לשמור אך ניתן להעבירו למערכות אחסון אחרות, מהו המידע .
שניתן למחוק ואיזה מידע חשוב שימשיך להישמר במכשיר, וזאת בהמשך להמלצות מערך .
הסייבר הלאומי להגנה על מכשור רפואי.
מומלץ כי פעולה זו תהיה מוסדרת בנוהל אשר .
יגדיר את בעלי התפקידים שיהיו אחראים לביצוע המחיקה וכן את תדירות ביצועה.
מוסד י"ג מסר בתגובתו כי יגבש נוהל בנושא אשר יסדיר את מחיקת המידע שנשמר במכשירי .
מוסד י"ז מסר בתגובתו כי יבחן את הנושא במסגרת תוכנית העבודה שלו לשנת 2022 .
ניהול עדכוני גרסאות תוכנה .
( Management Patch ) .
במכשירים רפואיים רבים משולב מחשב עם מערכת הפעלה.
בדומה למחשבים אחרים, היצרנים .
מפרסמים, מפעם לפעם, עדכוני גרסה לתוכנה, באמצעות "טלאים" (אשר מכונים " Patches ,)" .
שאותם יש להתקין במכשור הרפואי.
חלק מהעדכונים נוגעים לתחום אבטחת מידע, שמטרתם .
יש חשיבות עליונה להתקנת עדכוני תוכנה ללא שיהוי הן על מנת לשפר .
את איכות התפעול של המערכות והן על מנת למנוע פגיעה במערכות ובמידע עד להתקנת .
סיכון נוסף נשקף גם בשל ניצול לרעה של פרק הזמן שנוצר בין מועד פרסום הצורך .
בעדכון התוכנה לבין המועד שבו העדכון מתבצע בפועל - תקיפות על ידי פצחנים שיכולים .
לפגוע בפרצות האבטחה שה"טלאי" אמור לתת לו מענה.
דוח שפרסם משרד מבקר המדינה בבריטניה בשנת 2018101 בדק את תגובת שירות הבריאות .
הלאומי בבריטניה ( NHS - National Health Service ) על מתקפתסייבר שאירעה במאי 2017 ושמה .
, וממצאיו ממחישים את החשיבות שבביצוע עדכוני תוכנה במתקפה זו נפגעו 80 .
מרכזים רפואיים (בתי חולים ומרפאות), והיא הובילה למניעת גישה של צוות שירותי הבריאות .
לתיקים רפואיים ולנעילה של מכשור רפואי, דבר ששיבש את הפעילות של מכשירי דימות .
בדיקת מבקר המדינה בבריטניה העלתה כי בחודשיים שקדמו לתקיפה צוות .
אבטחת המידע בשירותי הבריאות הלאומי התריע לפני המרכזים הרפואיים כי יש להתקין "טלאי" .
אבטחת מידע כדי למנוע פגיעה באמצעות פרצת האבטחה שאכן נוצלה בפועל במתקפת .
בדוח צוין שמרכזים רפואיים רבים לא ביצעו את העדכונים הנדרשים, ובעקבות כך .
מערכות המידע במרכזים אלה הותקפו בהצלחה והפעילות בהם שובשה.
בעקבות מתקפת סייבר על המרכז הרפואי הלל יפה באוקטובר 2021, פרסם מערך הסייבר .
הלאומי המלצות לארגונים, על מנת שיוכלו לזהות מתקפה דומה ולמנוע התרחשותה.
המליץ, בין היתר, לוודא כי כלל שרתי הדואר האלקטרוני ( דוא"ל) וה-VPN102 משודרגים לגרסאות .
101 , 2018" "Investigation: WannaCry cyber attack and the NHS National Audit Office ,(NAO) .
102 Virtual Private Network - .
רשת וירטואלית פרטית המשמשת כתווך תקשורת מאובטח .
עדכניות, ו ליזום החלפת סיסמאות גורפת לכל המשתמשים בשרתים אלו, ל מקרה שהתוקף .
על פי המלצות מערך הסייבר הלאומי להגנה על מכשור רפואי ראוי שהארגונים ישלטו בתהליכי .
עדכוני התוכנה, שיוגדרו במדיניות הארגון לביצוע בתדירות סבירה או ייקבעו על פי מידת .
דחיפותם, לצורך צמצום הסיכונים שבהם.
נוהל מכשור רפואי של משרד הבריאות משנת 2018 .
קובע כי על מנת להבטיח פעולה רציפה ובטוחה של המכשור הרפואי יש צורך בעדכון מתמיד .
של גרסאות היצרן העדכניות.
על מנת לעמוד בדרישה זו יש להגדיר מדיניות ותהליכים ולהתייחס .
לניהול מבוקר של שינויים בתפעול, בתשתיות ובמערכת, ולקיים תהליך לביצוע עדכונים .
ו"טלאים " מאומתים למערכות הפעלה או לתוכנת המכשיר הרפואי, בהתאם לצרכים.
להלן בתרשים מוצגים המוסדות הרפואיים על פי פעולותיהם בתחומים אלה: גיבוש נוהל המגדיר .
את מדיניותם בנושא עדכון תוכנה ותיעוד עדכוני הגרסאות במכשירים , וכן מוצגים בתרשים .
תרשים 19: גיבוש נוהל להסדרת עדכוני תוכנה ותיעוד של עדכוני הגרסאות .
103 מערך הסייבר הלאומי- התרעות, "מתקפת כופרה כנגד גוף במגזר הבריאות בישראל " ( 13.
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם לוח 14: גיבוש נוהל להסדרת עדכוני תוכנה ותיעוד עדכוני הגרסאות שבוצעו .
שם המוסד האם המוסד גיבש נוהל .
להסדרת עדכוני תוכנה האם המוסד תיעד את עדכוני הגרסה .
שביצע במכשירים הרפואיים .
מהתרשימים ומהלוח עולה ש-11 מ-17 המוסדות הרפואיים לא גיבשו נוהל המסדיר את .
האופן שבו על המוסד הרפואי לעדכן תוכנה, לרבות במכשירים רפואיים, וכי עשרה .
מהמוסדות לא תיעדו את עדכוני גרסאות התוכנה שביצעו במכשירים הרפואיים.
מוסד י"ד, מוסד י "ב, מוסד ו, מוסד י "א ומוסד א לא גיבשו נוהל כאמור ולא תיעדו את .
עדכוני גרסאות התוכנה שביצעו.
מומלץ שכלל המוסדות הרפואיים ישלימו גיבוש של נוהל המסדיר את התהליך לעדכוני .
התוכנה במוסד הרפואי, בהתאם לנוהל מכשור רפואי של משרד הבריאות משנת 2018 .
ולהמלצות מערך הסייבר הלאומי להגנה על מכ שור רפואי.
במסגרת זו מומלץ לקבוע את .
התדירות הנדרשת לביצוע העדכונים, לקבוע אילו גורמים הא חראים לכך ולפרט את .
הדרך לביצוע העדכונים בפועל, בשים לב לכך שיש לצמצם במידת האפשר מפגיעה .
בפעילות השוטפת של המרכז הרפואי.
מומלץ גם שהמוסדות יתעדו את כל עדכוני .
הגרסאות שביצעו במערכות המחשוב, ובכלל זה במערך המכשור הרפואי.
מוסד ו מסר בתגובתו כי יגבש נוהל המסדיר את תהליך עדכוני התוכנה וכן את תיעודם.
מוסד י"ז מסר בתגובתו כי יקדם את הנושא במסגרת תוכנית העבודה שלו לשנת 2022.
מוסד ז מסר בתגובתו כי יגבש נוהל בתחילת שנת2022.
מוסדי"ב מסר בתגובתו כי יגבש נוהל להסדרת עדכוני תוכנה ויתעד את עדכוני הגרסה שהוא .
מבצע במערכת ניהול המכשירים.
מוסד ח מסר בתגובתו כי יקפיד לתעד את עדכוני הגרסה במכשירים הרפואיים.
מוסד ב מסר בתגובתו כי יתעד את כל עדכוני הגרסאות שהוא מבצע.
מוסד ט"ו מסר בתגובתו כי רכש מערכת ל ניטור ו למיפוי של ציוד רפואי שתמפה, בין היתר , גם .
את מצב עדכוני הגרסה בכל מכשיר שמחובר לרשת, וכך יוכל ל תעד את עדכוני הגרסאות.
מבדקי חדירה למכשירים רפואיים .
מבדקי חוסן הם מבדקים שנועדו לאתגר את מערכות האבטחה של הארגון ולאתר פרצות .
אבטחה וסיכונים אפשריים.
ראו בתרשים שלהלן את סוגי מבדקי החוסן שניתן לבצע: .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם תרשים 20: סוגי מבדקי החוסן שניתן לבצע בארגון .
מבדק חדירה (PT - Penetration Test :) מבדק חדירה הוא הליך שבמהלכו מתבצעת תקיפה .
מבוקרת ומתוכננת של המערכת הממוחשבת של הארגון על מנת לאתר בה חולשות.
יכול להתבצע בכמה סביבות עבודה של המערכות הממוחשבות, ובהן סביבה "נקייה" שאפשר .
לבצע בה בדיקות עם סיכון נמוך לגרימת נזק למערכות המידע (סביבת בדיקה - Testing ), או .
לחלופין במערכות הממוחשבות עצמן (סביבת ייצור - Production ) באופן שמאפשר לבחון באופן .
מדויק יותר את החולשות במבדק החדירה, אך הכרוך בסיכון גדול יותר לפגיעה במערכות אלה.
מבדקי חדירה - המלצות מערך הסייבר הלאומי: על פי המלצות מערך הסייבר הלאומי .
להגנה על מכשור רפואי, יש לבצע מבדקי חדירה תקופתיים על רכיבי המכשור הרפואי כדי .
לוודא את חוסנה של הרשת ושל הרכיבים.
רצוי כי מבדקים אלה יתמקדו בשינויים שניתן לבצע .
ברשת בסביבת המכשירים, בתפקודם של המכשירים וביכולות לתקוף מהרשת את הרכיבים .
ולתקוף מהרכיבים את הרשת.
נוהל מכשור רפואי: נוהל מכשור רפואי של משרד הבריאות משנת 2018 קובע כי מנהל .
אבטחת המידע בארגון ייזום מבדקי חדירה למערך המכשור הרפואי הן ברמת התשתית והן .
ברמת היישום (אפליקציה), במידת האפשר בשיתוף ספקי המכשור והנציגים של יצרני המכשור, .
או לחלופין במבדקים שיבצעו יצרני המכשור.
הנוהל קובע שעל מבדקים אלה לדמות ניסיונות .
פריצה שפצחנים יכולים לבצע מתוך המוסד או מחוצה לו.
עוד נקבע בנוהל כי גורם מקצועי, .
עצמאי, בלתי תלוי וחיצוני למוסד הוא זה שיבצע את מבדקי החדירה.
מוצגים המוסדות על פי ביצוע מבדקי חדירה למכשור רפואי בשנים 2018 - 2021 , וכן פרטים על .
המוסדות: סקר סיכונים .
(ראו לעיל )סקר אבטחת מידע .
בחינת מדיניות האבטחה .
במוסד ואופן ההגנה שלו .
על תהליכים עסקיים ועל .
נכסי המידע מבדק חדירהמבדק תאימות .
בדיקה אם המוסד עומד .
תרשים21: המוסדות שביצעו מבדקי חדירה למכשור רפואי, 2018 - 2021 .
לוח 15: ביצועמבדקי חדירה למכשור רפואי בידי המוסדות .
ביצעו מבדק חדירה לא ביצעו .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם * מוסד ט"ו מפעיל באופן קבוע שתי מערכות המדמות תקיפה ברשת, כדי לאתר חולשות וקווי תקיפה, .
בין היתר למערכות , לציוד רפואי ו למערכת ההדמיה עצמה (PACS) .
** מוסד ט"ז ציין שלא ביצע בדיקת חדירה ממוקדת למכשור, אך בדק גישה למכשור רפואי במסגרת .
בדיקת חדירה כללית למוסד הרפואי.
מהתרשים ומהלוח עולה שרובם המוחלט של המוסדות הרפואיים - 14 מוסדות (כ-82% ,) .
לאביצעו מבדקי חדירה שכללו תקיפה של מכשור רפואי בשנים 2018 - 2021.
ח, מוסד י"ג ומוסד א ביצעו בתקופה זו מבדקי חדירה למכשור רפואי.
את המבדקים בשלושת המוסדות האמורים ביצעו חברות חיצוניות שהמוסדות התקשרו עימן, .
ובמוסד ח בוצעו חלק מהבדיקות בידי צוות אבטחת המידע של המוסד.
הבדיקות כללו ניסיון .
חדירה למכשירים באופן שפגע באמינות ובזמינות שלהם, ניסיונות להזליג מידע מהמכשירים או .
מהשרתים שלהם ואף ניסיונות חדירה למכשירי דימות גדולים כמו MRI ו-CT.
מוסד י"ז מסר בתגובתו כי מבדקי חדירה שביצע לא כללו את נושא המכשור הרפואי עקב עלותם .
על המוסדות הרפואיים לפעול בהתאם לנוהל ולשלב בתוכניות העבודה שלהם מבדקי .
חדירה עיתיים למכשור רפואי הן ברמת התשתית והן ברמת היישום.
יבוצעו על בסיס סקר סיכונים שיכינו המוסדות ויאפשר לזהות את המכשירים הרפואיים .
החשופים לסיכון האבטחתי הגבוה ביותר , וכי בהתאם לכך תיקבע שיטת המבדק.
מוסד ו מסר בתגובתו כי יבצע מבדקי חדירה למכשור רפואי בהתאם לסיווג רמת הסיכון של .
מוסד ז מסר בתגובתו כי יבצע מבדקי חדירה במסגרת תוכנית העבודה שלו לשנת 2022.
מוסד י"ב מסר בתגובתו כי יבחן את האפשרות לבצוע מבדק חדירה במכשור רפואי.
מוסד ב מסר בתגובתו כי הוא מקבל את המלצת משרד מבקר המדינה אך הוסיף כי ייתכן שיהיה .
קושי לבצע מבדקי חדירה במכשירים רפואיים בשל הסיכון לפגיעה במכשיר הרפואי והחשש .
לביטול אחריות הספק או היצרן למכשיר .
בשל סיכוני הסייבר ההולכים ומתעצמים ובשל החשיבות בביצוע מבדקי חדירה .
למכשירים רפואיים לצורך איתור חולשות בהם, מומלץ שמשרד הבריאות יעקוב אחר .
ביצוע מבדקי חדירה שביצעו המוסדות הרפואיים במכשירים הרפואיים.
משרד הבריאות מסר בתגובתו כי יבחן את האפשרות לב צע מעקב אחר מבדקי חדירה ל מכשור .
רפואי, וכי ישנה את המדיניות אם ימצא לנכון.
להלן בתרשים מוצגריכוז ממצאים מסוימים בנושא הגנה על המכשירים הרפואיים בזמן השימוש .
בהם במוסד הרפואי, כפי שעלו בפרק זה: .
תרשים 22: ריכוז ממצאים מסוימים בנושאהגנה על המכשירים הרפואיים .
בזמן השימוש בהם במוסד הרפואי .
כמו כן, עלו פערים נוספים בתחום זה.
על המוסדות הרפואיים והנהלתם מוטלת האחריות לפעול להגן על מערכות המידע של .
מוסדותיהם ובכלל זה על המכשור הרפואי, בין היתר באמצעות הקפדה על הנחיות .
אבטחת המידע של משרד הבריאות ונוהלי האבטחה שלו.
תקן ISO , תורות ההגנה של .
מערך הסייבר ונוהלי משרד הבריאות הם חלק מההנחיות המכווינות את פעילות המוסדות .
בתחום אבטחת המידע, ובפרט בנוגע להגנה על מכשירים רפואיים.
ליקויים הנוגעים להגנה על המכשירים הרפואיים במוסדות הרפואיים בזמן השימוש בהם, .
ובפרט בנוגע להגנה על מכשירי דימות.
בשל איומי הסייבר הגוברים ובשל מורכבותם, .
מומלץ שמשרד הבריאות יבחן את הפערים שעלו במוסדות הרפואיים מבחינת ההגנה על .
כלל מכשיריהם הרפואיים, יגבש הנחיות ונוהלי עבודה בנושאים שבהם ניכרת חולשה .
בפעילות אבטחת המידע במוסדות , ויבצע בקרה על פעילות המוסדות הרפואיים בכל .
הנוגע לתחומי אבטחת המידע.
עוד מומלץ כי המוסדות הרפואיים יגבשו נוהלי עבודה .
פנימיים בתחום אבטחת מידע, ובכלל זה בנוגע להגנה על מכשירים רפואיים, ויטמיעו .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם הגנה על מערכת הארכיב של צילומי .
טכנולוגייתPACS ( Picture Archiving and Communication System ) היא ארכיב דיגיטלי של צילומי .
דימות ממכשירי דימות, ובהם MRI ו-CT .
מוסדות רפואיים יכולים לרכוש טכנולוגיה זו מספקים .
שונים המייצרים סביבת עבודה של PACS הכוללת תשתיות, מערכות ושרתים ייעודיים.
עשוי לשמור כגיבוי תצלומים למשך תקופות ארוכות, וכפועל יוצא מכךנאגר בו במשך השנים .
מידע רפואי אישי של מאות אלפי מטופלים.
במשך השנים נחשפו מקרים שבהם זלגו צילומים משרתי ה-PACS ,שלא אובטחו כראוי.
חברת אבטחת מידע מגרמניה תיארה בשנת 2019 כיצד איתרה שרתיPACS המחוברים למרשתת .
והצליחה להשיג גישה למאות מיליוני תצלומים רפואיים ובהם פרטים אישיים 104 .
על ה-PACS יש לתת את הדעת, בין היתר, על גיבוי המידע השמור בשרתים אלה, על אפשרות .
הגישה לתצלומים הנשמרים בשרתים אלה ועל מתן מענה להתרעות אבטחה הנוגעות ל-PACS .
גיבוי ארכיב ה- PACS של מכשירי ה-MRI וה-CT .
חשוב מאוד לגבות לטווח הרחוק את תצלומי הדימות הנאגרים ב-PACS , וזאת, בין היתר, מסיבות .
אלה: רופאים עשויים להידרש בעתיד לבחון מחדש תצלום לצורך מתן אבחנה קלינית ומעקב .
טיפול; ושמירת המידע מייתרת ביצוע בדיקה נוספת שעלולה לגרום אי-נוחות למטופל או חשיפה .
לקרינה מייננת (ב-CT .
:תקנות הגנת הפרטיות על פי תקנות הגנת הפרטיות מידע רפואי מסווג כאמור כמידע שחלה .
עליו רמת אבטחה בינונית (לכל הפחות)105 ,ובעליהם של מאגרים שבהם שמור מידע מסווג .
ברמה זו נדרש לקבוע נהלים לגיבוי מידע זה באופן תקופתי.
חוזר מנכ"ל משרד הבריאות: חוזר מנכ "ל משרד הבריאות משנת 2015 קובע כי יש להכין .
עותקי גיבוי של מידע של מערכות מידע ולבדוק מידע זה באופן סדיר, לפי מדיניות גיבוי מוסכמת.
נוהל מכשור רפואי של משרד הבריאות: נוהל מכשור רפואי של משרד הבריאות משנת 2018 .
קובע כי הנהלת הארגון תגדיר דרישות לגיבוי מידע של מכשור רפואי שהוגדר כחיוני בתהליך .
הערכת סיכונים, מנהל אבטחת המידע יהיה אחראי לבקרה על איכות הגיבויים, ואלה יישמרו .
במקום מרוחק, מאובטח ומוגן מפני פגיעה.
בישראל אירע לפחות מקרה אחד שבו נמחקו תצלומים מה-PACS .
בשנת2014 מרכז רפואי דיווח .
למשרד הבריאות על שני אירועים שבמהלכם נמחקו ממערכת ה -PACS שלו כ- 2,700 תצלומים .
של מטופלים שלא היה ניתן לשחזרם, כיוון שה-PACS לא היה מגובה.
בסיכום של תחקור האירוע .
104 "Update Issued on Unsecured PACS as Exposed Medical Image Total Rises to 1.
19 Billion", HIPPA Journal website .
105 בהתאם לתנאים שנקבעו בתוספת הראשונה והשנייה לתקנות.
משנת2014 הדגיש משרד הבריאות כי מרכזים רפואיים נדרשים לגבות מידע ממוחשב כפי .
שקבע חוזר מנכ"ל משרד הבריאות בשנת 2012106 , ואף ציין כי האירוע דווח ל-FDA .
ביצוע גיבוי יומי ל- PACS .
נמצא כי15 המוסדות הרפואייםשנבדקו ומשתמשים במכשירי MRI אוCT107 - השתמשו .
בביקורת עלה כי כל המוסדות מבצעים גיבוי ל-PACS לפחות פעם ביום, פרט למוסד י, .
שלא ביצע גיבוי של ה-PACS , ובמועד סיוםהביקורת נמצא בתהליך הטמעה של מערכת .
שמירת העתקי גיבוי של PACS .
נמצא כי14 מ-15 המוסדות שהשתמשו ב-PACS שומרים לפחות העתק אחד של הגיבוי .
כדי להבטיח את שרידותו.
עלה כי במוסד י"ז אין גיבוי מלא של צילומי הדימות במערכת ה -PACS .
מוסד י"ז מסר בתגובתו כי הסיבה לכך היא עלויות גבוהות של הפעולה.
משרד מבקר המדינה ממליץ למוסד י"ז לשפר את שרידות הצילומים ב -PACS באמצעות .
שמירה של העתק גיבוי אחד לפחות, וכך להבטיח כי אם ייפגע הגיבוי הקיים בעת מתקפת .
סייבר או תקלה טכנית, תהיה אפשרות לשחזר את התצלומים.
זאת בהתאם לנוהלי משרד .
הפצת התרעות בנוגע לפרצות באבטחת מידע .
במכשור רפואי וברכיביו .
כלי מרכזי לשיפור ההגנה מפני תקיפות סייבר הוא מודיעין איכותי הכולל מידע על כוונות תקיפה .
של פצחנים ברחבי העולם, על טכניקות העבודה של גורמים אלה ועל חולשות חדשות שהתגלו .
בהחלטת הממשלה בנושא הגנת הסייבר משנת 2015 נקבע שאחד מתפקידי .
היחידה המגזרית הוא לגבש ולהפעיל תהליכי שיתוף מידע פנימיים וחיצוניים בתוך המגזר, וכן .
להגדיר נהלים ושיטות להעברת מידע בין הגופים במגזר.
משרד הבריאות מפעיל כאמור SOC שהוא חמ"ל לניטור, אירועי אבטחת מידע וסייבר במגזר .
הבריאות, לשליטה ולבקרה עליהם, ובמסגרת פעילותו הוא משתף מידע עם המוסדות הרפואיים .
106 משרד הבריאות, חוזר מנכ"ל מס' 18/12 " בנושאהגנה על מידע במערכות ממוחשבות במערכת הבריאות " ( 13.
קיים נוסח מעודכן לחוזר - חוזר מנכ"ל משרד הבריאות משנת 2015 .
ללאומית ולמכבי אין מכשירים כאלה .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם ומוסר להם התרעות.
מידע זה יכול להתקבל ממגוון מקורות: ממחקרים שמבצעים אנליסטים .
בתחום הסייבר העובדים ב-SOC ,, ממוסדות רפואיים אחרים, מיצרנים וספקים של מכשור רפואי .
מכתבות חדשותיות, ממערך הסייבר הלאומי, מגורמי ביטחון נוספים ומשיתוף ידע עם ארגונים .
לנוכח החולשות שהתגלו ב-PACS , בשנים2018 - 2021 פרסמו הרשויות האמריקניות הנחיות .
והתרעות הנוגעות לטיפול בחולשות אלה: בדצמבר 2020 ביצע המכון הלאומי לתקנים .
וטכנולוגיה בארה"ב 108 סקר סיכונים מקיף לחולשות של ה -PACS ופרסם מסמך מנחה ובו .
מפורטות הדרכים להתמודד עם חולשות אלה 109 ; בשנים 2018 ו- 2021 כמה סוכנויות ממשל .
בארה"ב פרסמו התרעות על פרצות אבטחה ב-PACS במכשירי דימות ספציפיים110 .
היות שהתרעות אלו היו רלוונטיות גם למוסדות הרפואיים בישראל שיש בהם מערכת כזאת, צוות .
הביקורת בדק אם הגורמים הלאומיים - מערך הסייבר הלאומי ומשרד הבריאות - הפיצו אותן .
מערך הסייבר הלאומי מסר לצוות הביקורת כי בשנים 2019 - 2021 הוא לא הפיץ התרעות .
בנושא מכשירי דימות ובכלל זה התרעות בנוגע לפגיעה אפשרית בטכנולוגיות ה-PACS .
משרד הבריאות מסר לצוות הביקורת כי התרעות אלה לא הגיעו לידיומוסד י "ד ומוסד .
ג, שבידיהם מכשירי דימות ו -PACS ,שבהם עסקו ההתרעות האמורות מסרו לצוות .
הביקורת כי הם לא קיבלו התרעות אלה ממערך הסייבר הלאומי ומהמשרד.
משרד הבריאות הוסיף וציין כי לפי עמדתו, מערך הסייבר הלאומי הוא שאחראי לריכוז כלל .
ההתרעות בתחום המכשור הרפואי, ובכלל זה לביצוע חיפושים יזומים לאיתור חולשות בתחום .
זה, וכי המערך מפעיל כמה כלים לטובת הנושא.
המשרד הוסיף כי הוא התקשר עם חברה .
חיצונית המפעילה עבורו אנליסט בתחום הסייבר, אולם התקשרות זו מבוצעת בהתאם לתקציב .
המשרד ובהיקף משרה חלקי.
היעדרה של התרעת האבטחה בנושא ה -PACS מעורר חשש שמערך הסייבר הלאומי .
ומשרד הבריאות אינם מנטרים את כל ההתרעות החושפות פגיעה אפשרית במערכות .
המידע הרפואיות, ובפרט התרעות קריטיות הנוגעות למכשור רפואי.
מומלץ כי משרד הבריאות ומער ך הסייבר הלאומי יפעלו להעשרת מקורות המידע .
המשמשים אותם לצורך איסוף התרעות אבטחת מידע הנוגעות למכשור הרפואי, לרבות .
מהגופים הרלוונטיים בעולם, ויפיצו אותן למוסדות הרפואיים בהתאם לכך.
משרד הבריאות מסר בתגובתו כי הוא פועל לשפר את מקורות המידע המשמשים אותו.
108 NIST - National Institute of Standards and Technology .
109 Securing Picture Archiving and Communication System (PACS), NIST 1800-24A, 2020 .
110 02),-037-18- Cybersecurity and Infrastructure Security Agency, 2018, ICS Advisory (ICSMA] קישור[ ; .
Picture Archiving Communication Systems (PACS) Vulnerabilities, 2021, HHS Cybersecurity Program .
הגנה על המכשירים ועל המידע שבהם בעת .
תחזוקתם ובעת פיענוח תוצאות .
תחזוקת מכשירי דימות .
מכשירי דימות משמשים מוסדות רפואיים שנים רבות (לעיתים אף עשרות שנים), ולפיכך נדרשת .
תחזוקה שוטפת בעת השימוש בהם.
יש ארבע דרכים לביצוע התחזוקה: באמצעות טכנאים .
עובדי המוסד הרפואי, באמצעות טכנאים חיצוניים המגיעים למוסד הרפואי עצמו לתיקון .
המכשירים, באמצעות התחברות מרחוק של אנשי תחזוקה למכשיר, או באמצעות הוצאת .
המכשיר אל מחוץ לכותלי המוסד לביצוע תחזוקה חיצונית.
פרק זה מתבסס על תשובות .
המוסדות הרפואיים שהתבקשו להשיב ע ל שאלון אבטחת המידע; הכללית השיבה בעניין זה .
בשם כל שמונת המרכזים הרפואיים הכלליים שלה ומרפאות הקהילה - כגוף מרוכז אחד, ולכן .
מספר המוסדות הכולל הוא 17.
טכנאים המבצעים עבודת תחזוקה במכשירים .
הרפואיים במוסד הרפואי .
ב-17 המוסדות הרפואיים שענו על שאלון אבטחת המידע מתבצעת תחזוק ה של מכשירים .
באמצעות טכנאים המגיעים למוסד הרפואי.
על פי המלצות מערך הסייבר הלאומי להגנה על מכשור רפואי, יש למנוע באופן ממשי גישה .
לא מורשית למכשור הרפואי ולרכיביו או למנוע ביצוע שינויים בסביבות המכשור הרפואי ורכיביו, .
למשל באמצעות ליווי של הטכנאים על ידי עובדים מטעם המוסד הרפואי.
ראו בתרשים ובלוח שלהלן את המוסדות בהם עובדי המוסד הרפואי מתלווים לטכנאים .
החיצוניים בעת ביצוע פעילות התחזוקה במכשירים הרפואיים, והפרטים על המוסדות: .
תרשים 23: המוסדותשבהם עובדי המוסד הרפואי מתלווים לטכנאים .
החיצוניים בעת ביצוע פעילות התחזוקה במכשירים הרפואיים .
הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם לוח 16: המוסדותשבהם עובדי המוסד הרפואי מתלווים לטכנאים החיצוניים .
בעת ביצוע פעילות התחזוקה במכשירים הרפואיים .
המוסדות בהם עובדי המוסד מתלווים .
לטכנאים המוסדות בהם עובדי המוסד לא מתלווים .
על פי מענה המוסדות הרפואיים לשאלון אבטחת המידע, בעיבוד משרד מבקר המדינה.
עלה כי במוסד י "א אנשי המוסד הרפואי מלווים את הטכנאים החיצוניים רק בחלק מזמן .
הימצאותם במוסד ואינם עוקבים אחר פעילות התחזוקה המתבצעת בפועל, ולא מתבצע .
תיעוד מלא של ביקורי הטכנאים.
בהמשך להמלצות מערך הסייבר הלאומי להגנה על מכשור רפואי, מומלץ כי מוסד י"א .
יוודא כי טכנאים חיצוניים המבצעים עבודות תחזוקה במוסד הרפואי יגיעו למוסד רק לאחר .