משרד הבריאות . הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם .עלה כי נכון למועד סיום הביקורת לכל המרכזים הרפואיים הממשלתיים (הכלליים, .הגריאטריים והפסיכיאטריים) אין ביטוח סייבר . .עוד עלה בנוגע לשא ר המוסדות הרפואיים, כי לחלקם אין ביטוח המכסה את נושא .אבטחת המידע והסייבר ולחלקם יש. .משרד מבקר המדינה ממליץ לחברת ענבל להשלים, בשיתוף משרד הבריאות, את הליך .בחינת הכיסוי הביטוחי למרכזים הרפואיים הממשלתיים בתחום אבטחת המידע והסייבר .ומדגיש את החשיבות שבסיום הליך זה. על משרד הבריאות להעביר מידע שיש בכוונתו לפרסם לציבור לאישור ממונה אבטחת .המידע של המשרד לפני פרסומו, ובפרט בנוגע למידע רגיש המכיל ליקויים בתחום .אבטחת המידע. כמו כן מומלץ שלפני שהמשרד מפרסם לציבור דוחות בקרה הכוללים .ליקויים בתחום אבטחת המידע הוא יביא לידיעת ממוני אבטחת המידע של המוסדות .הרפואיים, את הכוונה לפרסם מידע זה. .עלה כי אף שבהחלטות הממשלה האמורות נקבע כי החטיבה תשמש גוף מטה בתחום .מערכות מידע, ואף שמחוזר מנכ"ל עולה כי אחריות החטיבה כלפי אופן תפקודם של .המרכזים הרפואיים כוללת ומתייחסת גם להיבטים של מערכות מידע, בפועל - בחטיבה .פועל אגף מערכות מידע, המעסיק כ-200 עובדי מחשוב, אולם העיסוק בתחום אבטחת .המידע הוא בידי יחידת הסייבר המגזרית במשרד, והחטיבה אינה מעורבת בכך. במצב .דברים זה לחטיבה אין תמונת מצב מיטבית בדבר איכות אבטחת המידע בכל אחד .מהמרכזים הרפואיים שבאחריותה. .מומלץ שהמשרד יבחן את הממשקים שבין חטיבת המרכזים הרפואיים הממשלתיים לבין .יחידת הסייבר המגזרית ויבחן בידי מי נכון להפקיד את האחריות לטיפול בנושא אבטחת .המידע בכלל המרכזים הרפואיים הממשלתיים, גם נוכח החלטת הממשלה 337 . . כן מומלץ שהמשרד יעמוד על המשמעות של הפרדת תחומי האחריות בין שני הגופים .ויבחן אם יש צורך לעדכן ולשפר ממשקים אלו או לשנות את מבנה האחריות לתחום .אבטחת המידע והגנת סייבר במרכזים הרפואיים הממשלתיים. . נמצא כי15 המוסדות הרפואייםשנבדקו ומשתמשים במכשירי MRI אוCT107 - השתמשו .ב-PACS . .בביקורת עלה כי כל המוסדות מבצעים גיבוי ל-PACS לפחות פעם ביום, פרט למוסד י, .שלא ביצע גיבוי של ה-PACS , ובמועד סיוםהביקורת נמצא בתהליך הטמעה של מערכת .גיבוי. . נמצא כי14 מ-15 המוסדות שהשתמשו ב-PACS שומרים לפחות העתק אחד של הגיבוי .כדי להבטיח את שרידותו. .עלה כי במוסד י"ז אין גיבוי מלא של צילומי הדימות במערכת ה -PACS . .משרד מבקר המדינה ממליץ למוסד י"ז לשפר את שרידות הצילומים ב -PACS באמצעות .שמירה של העתק גיבוי אחד לפחות, וכך להבטיח כי אם ייפגע הגיבוי הקיים בעת מתקפת .סייבר או תקלה טכנית, תהיה אפשרות לשחזר את התצלומים. זאת בהתאם לנוהלי משרד .הבריאות. מהתרשים ומהלוח עולה כי מוסד ט לא הסדיר את אופן ההתחברותמרחוק באמצעות .נוהל. .נוכח החשיפה למידע רפואי וסיכוני אבטחת המידע הנלווים לפעילות התחזוקה .המתבצעת באמצעות חיבור מרחוק, מומלץ שמוסד ט יסדיר בנוהל את אופן ההתחברות .מרחוק. .מהתרשים ומהלוח עולה כי 11 מ-17 המוסדות הרפואיים לא הגדירו קבוצות סיכון למכשור .הרפואי לפי סיווגי סיכון. .במרכזים הרפואיים ובקופות חולים בישראל משתמשים באלפי מכשירים רפואיים מסוגים .שונים, בעלי רמת סיכון משתנה הדורשת ניהול, תיעדוף ומתן מענה בהתאם לכך. משרד .מבקר המדינה מדגיש כי באמצעות הגדרת קבוצות סיכון למכשור רפואי יוכל המוסד .הרפואי לתעדף את השקעת המשאבים למתן הגנה ראויה על מכשירים שנקבעו ברמת .הסיכון הגבוהה ביותר למוסד הרפואי, באופן שתשתפר ההגנה על מכשירים אלה מפני .תקיפות סייבר אפשריות. על המוסדות הרפואיים שעדיין לא עשו זאת - להגדיר קבוצות .סיכון למכשור רפואי. כמו כן מומלץ שמשרד הבריאות יבחן אם יש צורך להגדיר במישור .הלאומי אילו מכשירים רפואיים יש לכלול ברמת הסיכון הגבוהה ביותר, שבהתאם לכך .יש לתת להם את המענה ההגנתי המרבי. .בכל 25 המוסדות הרפואיים שענו על שאלון אבטחת המידע פעלה ועדת היגוי, ובשישה .מהם - מוסד י"ז, מוסד ט"ז, מוסד י"א, מוסד י"ב, מוסד ח ומוסד ה - עמד בראשה מנהל .בית החולים או מנהל הקופה כנדרש בחוזר מנכ"ל משרד הבריאות משנת 2015 . בראשן .של הוועדות במוסדות האחרים עמדו סגן מנהל בית חולים, סמנכ"ל, חבר הנהלה אחר .או המנהל האדמיניסטרטיבי. .הדרישה כי מנהל המוסד הרפואי יעמוד בראש ועדת ההיגוי לתחום הגנת המידע מכוונת .לכך שמדובר בצורך ארגוני, אסטרטגי בעל חשיבות מהמעלה הראשונה. על המוסדות .הרפואיים להבטיח כי מנהל המוסד יעמוד בראש הוועדה כנדרש בחוזר מנכ"ל משרד .הבריאות משנת 2015 . .ב-24 מ-25 המוסדות הרפואיים שהשיבו על שאלון אבטחת המידע ציינו שפועל אצלם .ממונה אבטחת מידע; מוסד י ציין כי ממונה אבטחת המידע נמצא בתהליכי גיוס. מהתרשים ומהלוח עולה כישמונה מ-25 המוסדות הרפואיים לא מינו ממונה הגנה על .הפרטיות. .נוכח המידע האישי הנאגר במערכות המידע ובמכשור הרפואי במוסדות רפואיים ונוכח .הסיכון שבחשיפתם הלא מבוקרת, מומלץ למשרד הבריאות לשקול לקבוע חובת מינוי .ממונה על הגנת הפרטיות בדומה למחויב במדינות מערביות רבות ולמגמות שעולות .מהטיוטות של הרשות להגנת הפרטיות ושל משרד הבריאות. כמו כן מומלץ לבחון לבצע .הפרדה בין ממונה הגנת הפרטיות לממונה אבטחת מידע, כדי להבטיח בקרה מספקת .מצד ממונה הגנת הפרטיות על עבודת צוות אבטחת המידע במוסד הרפואי, כן מומלץ .לבחון הגדרה של הממשקים בין בעלי תפקידים אלה. .מהתרשים עולה כי חמישה מ -17 המוסדות לא גיבשו נוהל המסדיר את הליך סיום .השימוש במכשור רפואי. .בביקורת עלה כי גם מוסד רפואי שאימץ נהלים להסדרת הליך סיום השימוש במכשור .רפואי הוציא מכשור רפואי ישן מכותלי המוסד בלי שמחק את המידע הרפואי שהכיל .המכשיר. מומלץ שכלל המוסדות הרפואיים יגבשו נוהל המסדיר את הפעולות שיש לבצע בעת סיום .השימוש במכשיר רפואי, לפני השמדת ו, גריטת ו או מכירת ו, ואת בעלי התפקידים .האחראים לביצוע כל פעולה. צעד כזה יצמצם את הסיכון שמידע רפואי אישי יגיע לידי .מי שאינם מורשים לכך. .מומלץ גם שמשרד הבריאות יגבש קווים מנחים למוסדות הרפואיים להליך הטיפול .במכשירים רפואיים עם סיום השימוש בהם, ובכלל זה למחיקת המידע ששמור עלי הם .ולתיעוד המחיקה, זאת בדומה לנהליו בנושא אבטחת המידע בעת רכש של מכשור רפואי. מהתרשים ומהלוח עולה כי ל-7 מ-12 המוסדות שהוציאו מכשוררפואי לתחזוקה מחוץ .למוסד הרפואי לא היה מידע מדויק בנוגע למספר המכשירים שהוצאו לתחזוקה בשנת .2020 ( "ולזהותם: חמישה מוסדות ציינו כי "אינם יודעיםמוסד י"ג , מוסד ד, מוסד ט"ז, מוסד .ה ומוסד ח ) ושניים (מוסד י"ד ומוסד ט "ו) ציינו כי הוצאו מכשירים ספורים אך לא ציינו .מספרם. .על המוסדות הרפואיים לנהל רישום מלא של כל המידע הנחוץ קודם להוצאת המכשירים .הרפואיים לתחזוקה מחוץ למוסד, ובכלל זה עליהם לציין במסגרת הרישום אם המידע .הרפואי השמור במכשירים נמחק לפני הוצאתם לתחזוקה. מהתרשים ומהלוח עולה כי שני מוסדות רפואיים מ-17 המוסדותשענו על שאלון אבטחת .המידע: מוסד ד ומוסד ט, לא החתימו את החברות הנותנות שירותי תחזוקה למכשירים .הרפואיים, או את טכנאי חברות אלו, על הסכם סודיות. .מומלץ כי מוסד ד ומוסד ט יגבשו הסכם סודיות כאמור ויחתימו את החברות הנותנות .שירותי תחזוקה למכשירים הרפואיים או את טכנאי חברות אלו על הסכם כזה, על מנת .לשמור על חסיון המידע הרפואי. .ממענה המוסדות הרפואיים על שאלון אבטחת המידע עלה שבמסגרת הליך סיום .השימוש במכשור הרפואי כל 17 המוסדות הרפואיים ביצעו השמדה או גריטה של הכונן .או הדיסק שהכיל את המידע הרפואי. .מומלץ כי כלל המוסדות הרפואיים ישפרו את מערך הבקרה הלוגית במערך מכשירי .הדימות שלהם, ואם קיימת מגבלה להגדרת בקרה כזאת, מומלץ שיטמיעו בקרות מפצות .בסביבת עבודה כזאת, על מנת לצמצם את הסיכונים הנלווים לשימוש במכשירים אלה. מהתרשימים ומהלוח עולה ש-11 מ-17 המוסדות הרפואיים לא גיבשו נוהל המסדיר את .האופן שבו על המוסד הרפואי לעדכן תוכנה, לרבות במכשירים רפואיים, וכי עשרה .מהמוסדות לא תיעדו את עדכוני גרסאות התוכנה שביצעו במכשירים הרפואיים. מוסד ד, .מוסד י"ד, מוסד י "ב, מוסד ו, מוסד י "א ומוסד א לא גיבשו נוהל כאמור ולא תיעדו את .עדכוני גרסאות התוכנה שביצעו. .מומלץ שכלל המוסדות הרפואיים ישלימו גיבוש של נוהל המסדיר את התהליך לעדכוני .התוכנה במוסד הרפואי, בהתאם לנוהל מכשור רפואי של משרד הבריאות משנת 2018 .ולהמלצות מערך הסייבר הלאומי להגנה על מכ שור רפואי. במסגרת זו מומלץ לקבוע את .התדירות הנדרשת לביצוע העדכונים, לקבוע אילו גורמים הא חראים לכך ולפרט את .הדרך לביצוע העדכונים בפועל, בשים לב לכך שיש לצמצם במידת האפשר מפגיעה .בפעילות השוטפת של המרכז הרפואי. מומלץ גם שהמוסדות יתעדו את כל עדכוני .הגרסאות שביצעו במערכות המחשוב, ובכלל זה במערך המכשור הרפואי. .עלה כי מוסד י"א עדכן את הסקר לאחרונה כשמונה שנים לפני סיום הביקורת - בשנת .2013 . יתר המוסדות הרפואיים עדכנו את סקר הסיכונים זה מכבר - בשנים 2019 - 2021 . .היכולת של סקר סיכונים משנת 2013 לעמוד על הסיכונים בתחום אבטחת המידע בשנת .2021 מוגבלת לנוכח השינויים הטכנולוגיים התדירים ואיומי הסייבר המתפתחים. מומלץ .שמוסד י"א יעדכן את סקר הסיכונים באופן שימפה את הסיכונים בתחום אבטחת המידע. .עוד מומלץ שכלל המוסדות הרפואיים יעדכנו את הסקרים באופן עיתי. .מהתרשים ומהלוח עולה כי בשנים 2018 - 2020 13 מ-17 המוסדות הרפואיים לא ביצעו .סקר סיכונים בנושא מכשור רפואי. .האיומים ההולכים וגוברים על מערכות המידע ומאגרי המידע בכלל ועל מערך המכשור .הרפואי מחייבים נק יטת פעולות לצמצום הנזק האפשרי מפגיעה במערכות המידע .התומכות במכשירים ובמאגרי המידע השמורים בהם. על המוסדות הרפואיים לבצע סקר .בנושא הסיכונים הנשקפים למכשירים הרפואיים שהם משתמשים בהם, כנדרש בנוהל .מכשור רפואי של משרד הבריאות משנת 2018 . על משרד הבריאות לוודא שהמוסדות .הרפואיים עומדים בנוהל שקבע. . לכל17 המוסדות הרפואיים שענו על שאלון אבטחת המידע (המרכזים הרפואיים .הכלליים-ממשלתיים, שני המרכזים הרפואיים הציבוריים, וארבע קופות החולים) הייתה .תוכנית עבודה שנתית או רב-שנתית בתחום אבטחת המידע. .בביקורת עלה כי שני מוסדות (מוסד ו ומוסד י"ד) מ- 17 המוסדות שבהם היה מיפוי של .המכשור הרפואי עדכנו את המיפוי בפעם האחרונה לפני יותר משנתיים, בשנת 2019 ;15 . מוסדות עדכנו את המיפוי לכל הפחות באמצע שנת2020 . . בהיעדר תמונת מצב מלאה ועדכנית בנוגע למיפוי המכשור הרפואי במוסד יתקשה צוות .אבטחת המידע להגן על ה מכשור הרפואי הקיים ו להיערך כנדרש, באמצעות כלל .האמצעים העדכניים, להתמודדות עם הנזקים האפשריים והסיכונים שהמכשיר חשוף .אליהם. על המוסדות הרפואיים לעדכן את המיפוי באופן תדיר ושוטף. מומלץ גם שמשרד .הבריאות יקבע את התדירות המזערית הנדרשת לצורך המיפוי. .מומלץ כי המוסדות הרפואיים ישלימו את מיפוי מערך המכשור הרפואי שלהם באופן .שייכללו בהם מדדים נוספים הנוגעים לאבטחה של המכשירים הרפואיים, למשל בנוגע .לתווך החיבור שלהם לרשת, לגרסת התוכנה המותקנת עליהם, למידע שהם אוגרים .ולאופי התחזוקה שהם דורשים, זאת בהמשך לנוהל מכשור רפואי של משרד הבריאות .משנת 2018 ולטבלה שהכין . באמצעות מיפוי מעודכן מסוג זה יכולים המוסדות לקבל .תמונת מצב מקיפה על המכשור הרפואי שבבעלותם, ועל בסיס זה לתכנן את הצעדים .הנדרשים לצורך ניהול אבטחתו באמצעות הבקרות המתאימות. .כמו כן, עלו פערים נוספים בתחום זה. .על המוסדות הרפואיים והנהלתם מוטלת האחריות לפעול להגן על מערכות המידע של .מוסדותיהם ובכלל זה על המכשור הרפואי, בין היתר באמצעות הקפדה על הנחיות .אבטחת המידע של משרד הבריאות ונוהלי האבטחה שלו. תקן ISO , תורות ההגנה של .מערך הסייבר ונוהלי משרד הבריאות הם חלק מההנחיות המכווינות את פעילות המוסדות .בתחום אבטחת המידע, ובפרט בנוגע להגנה על מכשירים רפואיים. בפרק זה הועלו .ליקויים הנוגעים להגנה על המכשירים הרפואיים במוסדות הרפואיים בזמן השימוש בהם, .ובפרט בנוגע להגנה על מכשירי דימות. בשל איומי הסייבר הגוברים ובשל מורכבותם, .מומלץ שמשרד הבריאות יבחן את הפערים שעלו במוסדות הרפואיים מבחינת ההגנה על .כלל מכשיריהם הרפואיים, יגבש הנחיות ונוהלי עבודה בנושאים שבהם ניכרת חולשה .בפעילות אבטחת המידע במוסדות , ויבצע בקרה על פעילות המוסדות הרפואיים בכל .הנוגע לתחומי אבטחת המידע. עוד מומלץ כי המוסדות הרפואיים יגבשו נוהלי עבודה .פנימיים בתחום אבטחת מידע, ובכלל זה בנוגע להגנה על מכשירים רפואיים, ויטמיעו .אותם בעבודתם השוטפת. .בשל סיכוני הסייבר ההולכים ומתעצמים ובשל החשיבות בביצוע מבדקי חדירה .למכשירים רפואיים לצורך איתור חולשות בהם, מומלץ שמשרד הבריאות יעקוב אחר .ביצוע מבדקי חדירה שביצעו המוסדות הרפואיים במכשירים הרפואיים. .על המוסדות הרפואיים לפעול בהתאם לנוהל ולשלב בתוכניות העבודה שלהם מבדקי .חדירה עיתיים למכשור רפואי הן ברמת התשתית והן ברמת היישום. מומלץ כי המבדקים .יבוצעו על בסיס סקר סיכונים שיכינו המוסדות ויאפשר לזהות את המכשירים הרפואיים .החשופים לסיכון האבטחתי הגבוה ביותר , וכי בהתאם לכך תיקבע שיטת המבדק. .מהתרשים ומהלוח עולה כי שמונה מ-17 המוסדות הרפואיים שענו על שאלון אבטחת .המידע לא מחקו באופן יזום ותדיר מידע שנשמר במכשירי הדימות שהפעילו. .מומלץ שהמוסדות: מוסד ז, מוסד י"ז, מוסד ט "ז, מוסד ו, מוסד י "א ומוסד ב, יוודאו שנוהל .הרכש שלהם יתייחס להיבטי אבטחת מידע של מכשור רפואי, בהתאם להמלצות של .תורת ההגנה בסייבר , ובכלל זה - למעורבות בעלי תפקידים בתחום אבטחת מידע, עמידת .המכשירים הרפואיים בתנאי סף שקבע המוסד הרפואי והבדיקות שיש לבצע מול הספק. מהתרשים ומהלוח עולה שחמישה מ-17 המוסדות הרפואיים שענו עלשאלון אבטחת .המידע לא התנו את רכישת המכשור הרפואי בכך שממונה אבטחת המידע יאשר את .ביצוע הרכש. .על המוסדות הרפואיים שטרם עשו זאת לשלב את ממו נה אבטחת המידע בשרשרת .האישורים של מכשור רפואי חדש, ועל כלל המוסדות להטמיע הליך זה בפעילות הרכש .השוטפת שלהם. באופן זה ממונה אבטחת המידע יוכל להעלות סוגיות בתחום אבטחת .המידע, לדרוש תשובות מהספקים או מהיצרנים, ובמידת הצורך - להכין מבעוד מועד את .הבקרות המונעות והבקרות המפצות 92 .שיש להטמיע .יצוין לחיוב כי שישה מ-17 המוסדות הרפואיים שענו על שאלון אבטחת המידע נהגו לבקש .טופסי 2MDS מהיצרנים (מוסד ט, מוסד י"ד, מוסד י, מוסד א, מוסד ט "ו ומוסד ה), ומומלץ .ליתר המוסדות הרפואיים לנהוג כך. .עלה כי בכל 17 המוסדות הרפואיים שנבדקו בוצע סקר סיכונים בתחום אבטחת המידע. על המבקרים הפנימיים במוסדות הרפואיים להכין תוכנית ביקורת פנים שתשלב בחינה של .נושאים בתחום אבטחת המידע כמפ ורט בתקן ISO , ובכלל זה ביקורות על מוכנות המוסדות .להתמודדות עם תקיפות סייבר, עם זליגה של מידע רפואי אישי, עם פגיעה במכשור רפואי .ועוד. מומלץ שמשרד הבריאות יוודא כי המוסדות הרפואיים מקיימים הנחיה זו. מהתרשים ומהלוח עלה כי מבין 16 המוסדות הרפואיים שיש להם נוהל רכש, חמישה: .מוסד ז, מוסד י"ז, מוסד ט"ז, מוסד ו, מוסד י"א - לא כללו בנוהלי הרכש שלהם התייחסות .להיבטי אבטחת מידע במכשור הרפואי. .מוסד ב ציין בשאלון אבטחת המידע שאין לו נוהל רכש, אך במסגרת מכרזי הרכש שהוא .מבצע יש התייחסות להיבטי אבטחת מידע. :מהלוח עולה .• בשלושה מ-17 המוסדות שענו עלשאלון אבטחת המידע אין בקרת הרשאה פיזית .לגישה לאחד מסוגי המכשירים לפחות. ב-14 מ-17 מוסדותאין בקרת הרשאה לוגית .לגישה לאחד מסוגי המכשירים לפחות. .• ב-13 מ-17 המוסדותאין בקרת הרשאה לוגית לגישה למכשיר אולטרסאונד נשים , .כלומר מתאפשרת גישה לנתונים השמורים במכשיר, וכך עלולה להיפגע פרטיות .המטופלות. .• במוסד י"א אין בקרת הרשאה פיזית וגם לא לוגית על הגישה למכשירי הרנטגן שלו, .כך גם בנוגע לחלק ממכשירי הרנטגן במוסד ח. .• במוסד ד, מוסד י"א, מוסד ג ובמוסד ח לא קיימת בקרת הרשאה לוגית בשום סוג של .מכשירי הדימות שנבדקו. .• במוסד י"ד ובמוסד ט "ו אין בקרת הרשאה לוגית בשלושה סוגי מכשירים. .• במוסד ד ובמוסד ח לחלק ממכשירי אולטרסאונד נשים לא הייתה גם בקרת הרשאה .פיזית וגם בקרת הרשאה לוגית100. . מומלץ שכל המוסדות הרפואיים יוודאו כי קיימת בקרת הרשאה פיזית ובקרת הרשאה .לוגית על הגישה למכשירי הדימות כנדרש בהתאם לתקנות הגנת הפרטיות, לחוזר מנכ" ל .משרד הבריאות משנת 2015 ולנוהל מכשור רפואי של משרד הבריאות משנת 2018 . . הטמעת בקרות אלה חשובה במיוחד בקרב מוסדות שבהם יש מכשירי דימות ללא בקרת .הרשאה לוגית ופיזית, שכן בהיעדר בקרה כאמור עלולים להתבצע גישה לא מורשית .למכשירים אלה על השלכותיה השונות.
.מתשובות המוסדות על שאלון אבטחת המידע עלה כי אחד מ-17 המוסדות- מוסד ט"ז, .לא השלים גיבוש של נוהל להתמודדות עם אירוע של אבטחת מידע או מתקפת סייבר . .עוד עולה מהתשובות על השאלון כי הנוהל של מוסד ה נמצא בתהליך אשרור סופ י. .על מוסד ט "ז לגבש נוהל להתמודדות עם אירוע אבטחת מידע, כנדרש בחוזר מנכ " ל .משרד הבריאות משנת 2015 .. נוהל שכזה ישפר את יעילות המענה אם כשל שכזה יתממש