משרד הבריאות . הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם .עלה כי נכון למועד סיום הביקורת לכל המרכזים הרפואיים הממשלתיים (הכלליים, .הגריאטריים והפסיכיאטריים) אין ביטוח סייבר . .עוד עלה בנוגע לשא ר המוסדות הרפואיים, כי לחלקם אין ביטוח המכסה את נושא .אבטחת המידע והסייבר ולחלקם יש. .משרד מבקר המדינה ממליץ לחברת ענבל להשלים, בשיתוף משרד הבריאות, את הליך .בחינת הכיסוי הביטוחי למרכזים הרפואיים הממשלתיים בתחום אבטחת המידע והסייבר .ומדגיש את החשיבות שבסיום הליך זה. על משרד הבריאות להעביר מידע שיש בכוונתו לפרסם לציבור לאישור ממונה אבטחת .המידע של המשרד לפני פרסומו, ובפרט בנוגע למידע רגיש המכיל ליקויים בתחום .אבטחת המידע. כמו כן מומלץ שלפני שהמשרד מפרסם לציבור דוחות בקרה הכוללים .ליקויים בתחום אבטחת המידע הוא יביא לידיעת ממוני אבטחת המידע של המוסדות .הרפואיים, את הכוונה לפרסם מידע זה. .עלה כי אף שבהחלטות הממשלה האמורות נקבע כי החטיבה תשמש גוף מטה בתחום .מערכות מידע, ואף שמחוזר מנכ"ל עולה כי אחריות החטיבה כלפי אופן תפקודם של .המרכזים הרפואיים כוללת ומתייחסת גם להיבטים של מערכות מידע, בפועל - בחטיבה .פועל אגף מערכות מידע, המעסיק כ-200 עובדי מחשוב, אולם העיסוק בתחום אבטחת .המידע הוא בידי יחידת הסייבר המגזרית במשרד, והחטיבה אינה מעורבת בכך. במצב .דברים זה לחטיבה אין תמונת מצב מיטבית בדבר איכות אבטחת המידע בכל אחד .מהמרכזים הרפואיים שבאחריותה. .מומלץ שהמשרד יבחן את הממשקים שבין חטיבת המרכזים הרפואיים הממשלתיים לבין .יחידת הסייבר המגזרית ויבחן בידי מי נכון להפקיד את האחריות לטיפול בנושא אבטחת .המידע בכלל המרכזים הרפואיים הממשלתיים, גם נוכח החלטת הממשלה 337 . . כן מומלץ שהמשרד יעמוד על המשמעות של הפרדת תחומי האחריות בין שני הגופים .ויבחן אם יש צורך לעדכן ולשפר ממשקים אלו או לשנות את מבנה האחריות לתחום .אבטחת המידע והגנת סייבר במרכזים הרפואיים הממשלתיים. . נמצא כי15 המוסדות הרפואייםשנבדקו ומשתמשים במכשירי MRI אוCT107 - השתמשו .ב-PACS . .בביקורת עלה כי כל המוסדות מבצעים גיבוי ל-PACS לפחות פעם ביום, פרט למוסד י, .שלא ביצע גיבוי של ה-PACS , ובמועד סיוםהביקורת נמצא בתהליך הטמעה של מערכת .גיבוי. . נמצא כי14 מ-15 המוסדות שהשתמשו ב-PACS שומרים לפחות העתק אחד של הגיבוי .כדי להבטיח את שרידותו. .עלה כי במוסד י"ז אין גיבוי מלא של צילומי הדימות במערכת ה -PACS . .משרד מבקר המדינה ממליץ למוסד י"ז לשפר את שרידות הצילומים ב -PACS באמצעות .שמירה של העתק גיבוי אחד לפחות, וכך להבטיח כי אם ייפגע הגיבוי הקיים בעת מתקפת .סייבר או תקלה טכנית, תהיה אפשרות לשחזר את התצלומים. זאת בהתאם לנוהלי משרד .הבריאות. מהתרשים ומהלוח עולה כי מוסד ט לא הסדיר את אופן ההתחברותמרחוק באמצעות .נוהל. .נוכח החשיפה למידע רפואי וסיכוני אבטחת המידע הנלווים לפעילות התחזוקה .המתבצעת באמצעות חיבור מרחוק, מומלץ שמוסד ט יסדיר בנוהל את אופן ההתחברות .מרחוק. .מהתרשים ומהלוח עולה כי 11 מ-17 המוסדות הרפואיים לא הגדירו קבוצות סיכון למכשור .הרפואי לפי סיווגי סיכון. .במרכזים הרפואיים ובקופות חולים בישראל משתמשים באלפי מכשירים רפואיים מסוגים .שונים, בעלי רמת סיכון משתנה הדורשת ניהול, תיעדוף ומתן מענה בהתאם לכך. משרד .מבקר המדינה מדגיש כי באמצעות הגדרת קבוצות סיכון למכשור רפואי יוכל המוסד .הרפואי לתעדף את השקעת המשאבים למתן הגנה ראויה על מכשירים שנקבעו ברמת .הסיכון הגבוהה ביותר למוסד הרפואי, באופן שתשתפר ההגנה על מכשירים אלה מפני .תקיפות סייבר אפשריות. על המוסדות הרפואיים שעדיין לא עשו זאת - להגדיר קבוצות .סיכון למכשור רפואי. כמו כן מומלץ שמשרד הבריאות יבחן אם יש צורך להגדיר במישור .הלאומי אילו מכשירים רפואיים יש לכלול ברמת הסיכון הגבוהה ביותר, שבהתאם לכך .יש לתת להם את המענה ההגנתי המרבי. .בכל 25 המוסדות הרפואיים שענו על שאלון אבטחת המידע פעלה ועדת היגוי, ובשישה .מהם - מוסד י"ז, מוסד ט"ז, מוסד י"א, מוסד י"ב, מוסד ח ומוסד ה - עמד בראשה מנהל .בית החולים או מנהל הקופה כנדרש בחוזר מנכ"ל משרד הבריאות משנת 2015 . בראשן .של הוועדות במוסדות האחרים עמדו סגן מנהל בית חולים, סמנכ"ל, חבר הנהלה אחר .או המנהל האדמיניסטרטיבי. .הדרישה כי מנהל המוסד הרפואי יעמוד בראש ועדת ההיגוי לתחום הגנת המידע מכוונת .לכך שמדובר בצורך ארגוני, אסטרטגי בעל חשיבות מהמעלה הראשונה. על המוסדות .הרפואיים להבטיח כי מנהל המוסד יעמוד בראש הוועדה כנדרש בחוזר מנכ"ל משרד .הבריאות משנת 2015 . .ב-24 מ-25 המוסדות הרפואיים שהשיבו על שאלון אבטחת המידע ציינו שפועל אצלם .ממונה אבטחת מידע; מוסד י ציין כי ממונה אבטחת המידע נמצא בתהליכי גיוס. מהתרשים ומהלוח עולה כישמונה מ-25 המוסדות הרפואיים לא מינו ממונה הגנה על .הפרטיות. .נוכח המידע האישי הנאגר במערכות המידע ובמכשור הרפואי במוסדות רפואיים ונוכח .הסיכון שבחשיפתם הלא מבוקרת, מומלץ למשרד הבריאות לשקול לקבוע חובת מינוי .ממונה על הגנת הפרטיות בדומה למחויב במדינות מערביות רבות ולמגמות שעולות .מהטיוטות של הרשות להגנת הפרטיות ושל משרד הבריאות. כמו כן מומלץ לבחון לבצע .הפרדה בין ממונה הגנת הפרטיות לממונה אבטחת מידע, כדי להבטיח בקרה מספקת .מצד ממונה הגנת הפרטיות על עבודת צוות אבטחת המידע במוסד הרפואי, כן מומלץ .לבחון הגדרה של הממשקים בין בעלי תפקידים אלה. .מהתרשים עולה כי חמישה מ -17 המוסדות לא גיבשו נוהל המסדיר את הליך סיום .השימוש במכשור רפואי. .בביקורת עלה כי גם מוסד רפואי שאימץ נהלים להסדרת הליך סיום השימוש במכשור .רפואי הוציא מכשור רפואי ישן מכותלי המוסד בלי שמחק את המידע הרפואי שהכיל .המכשיר. מומלץ שכלל המוסדות הרפואיים יגבשו נוהל המסדיר את הפעולות שיש לבצע בעת סיום .השימוש במכשיר רפואי, לפני השמדת ו, גריטת ו או מכירת ו, ואת בעלי התפקידים .האחראים לביצוע כל פעולה. צעד כזה יצמצם את הסיכון שמידע רפואי אישי יגיע לידי .מי שאינם מורשים לכך. .מומלץ גם שמשרד הבריאות יגבש קווים מנחים למוסדות הרפואיים להליך הטיפול .במכשירים רפואיים עם סיום השימוש בהם, ובכלל זה למחיקת המידע ששמור עלי הם .ולתיעוד המחיקה, זאת בדומה לנהליו בנושא אבטחת המידע בעת רכש של מכשור רפואי. מהתרשים ומהלוח עולה כי ל-7 מ-12 המוסדות שהוציאו מכשוררפואי לתחזוקה מחוץ .למוסד הרפואי לא היה מידע מדויק בנוגע למספר המכשירים שהוצאו לתחזוקה בשנת .2020 ( "ולזהותם: חמישה מוסדות ציינו כי "אינם יודעיםמוסד י"ג , מוסד ד, מוסד ט"ז, מוסד .ה ומוסד ח ) ושניים (מוסד י"ד ומוסד ט "ו) ציינו כי הוצאו מכשירים ספורים אך לא ציינו .מספרם. .על המוסדות הרפואיים לנהל רישום מלא של כל המידע הנחוץ קודם להוצאת המכשירים .הרפואיים לתחזוקה מחוץ למוסד, ובכלל זה עליהם לציין במסגרת הרישום אם המידע .הרפואי השמור במכשירים נמחק לפני הוצאתם לתחזוקה. מהתרשים ומהלוח עולה כי שני מוסדות רפואיים מ-17 המוסדותשענו על שאלון אבטחת .המידע: מוסד ד ומוסד ט, לא החתימו את החברות הנותנות שירותי תחזוקה למכשירים .הרפואיים, או את טכנאי חברות אלו, על הסכם סודיות. .מומלץ כי מוסד ד ומוסד ט יגבשו הסכם סודיות כאמור ויחתימו את החברות הנותנות .שירותי תחזוקה למכשירים הרפואיים או את טכנאי חברות אלו על הסכם כזה, על מנת .לשמור על חסיון המידע הרפואי. .ממענה המוסדות הרפואיים על שאלון אבטחת המידע עלה שבמסגרת הליך סיום .השימוש במכשור הרפואי כל 17 המוסדות הרפואיים ביצעו השמדה או גריטה של הכונן .או הדיסק שהכיל את המידע הרפואי. .מומלץ כי כלל המוסדות הרפואיים ישפרו את מערך הבקרה הלוגית במערך מכשירי .הדימות שלהם, ואם קיימת מגבלה להגדרת בקרה כזאת, מומלץ שיטמיעו בקרות מפצות .בסביבת עבודה כזאת, על מנת לצמצם את הסיכונים הנלווים לשימוש במכשירים אלה. מהתרשימים ומהלוח עולה ש-11 מ-17 המוסדות הרפואיים לא גיבשו נוהל המסדיר את .האופן שבו על המוסד הרפואי לעדכן תוכנה, לרבות במכשירים רפואיים, וכי עשרה .מהמוסדות לא תיעדו את עדכוני גרסאות התוכנה שביצעו במכשירים הרפואיים. מוסד ד, .מוסד י"ד, מוסד י "ב, מוסד ו, מוסד י "א ומוסד א לא גיבשו נוהל כאמור ולא תיעדו את .עדכוני גרסאות התוכנה שביצעו. .מומלץ שכלל המוסדות הרפואיים ישלימו גיבוש של נוהל המסדיר את התהליך לעדכוני .התוכנה במוסד הרפואי, בהתאם לנוהל מכשור רפואי של משרד הבריאות משנת 2018 .ולהמלצות מערך הסייבר הלאומי להגנה על מכ שור רפואי. במסגרת זו מומלץ לקבוע את .התדירות הנדרשת לביצוע העדכונים, לקבוע אילו גורמים הא חראים לכך ולפרט את .הדרך לביצוע העדכונים בפועל, בשים לב לכך שיש לצמצם במידת האפשר מפגיעה .בפעילות השוטפת של המרכז הרפואי. מומלץ גם שהמוסדות יתעדו את כל עדכוני .הגרסאות שביצעו במערכות המחשוב, ובכלל זה במערך המכשור הרפואי. .עלה כי מוסד י"א עדכן את הסקר לאחרונה כשמונה שנים לפני סיום הביקורת - בשנת .2013 . יתר המוסדות הרפואיים עדכנו את סקר הסיכונים זה מכבר - בשנים 2019 - 2021 . .היכולת של סקר סיכונים משנת 2013 לעמוד על הסיכונים בתחום אבטחת המידע בשנת .2021 מוגבלת לנוכח השינויים הטכנולוגיים התדירים ואיומי הסייבר המתפתחים. מומלץ .שמוסד י"א יעדכן את סקר הסיכונים באופן שימפה את הסיכונים בתחום אבטחת המידע. .עוד מומלץ שכלל המוסדות הרפואיים יעדכנו את הסקרים באופן עיתי. .מהתרשים ומהלוח עולה כי בשנים 2018 - 2020 13 מ-17 המוסדות הרפואיים לא ביצעו .סקר סיכונים בנושא מכשור רפואי. .האיומים ההולכים וגוברים על מערכות המידע ומאגרי המידע בכלל ועל מערך המכשור .הרפואי מחייבים נק יטת פעולות לצמצום הנזק האפשרי מפגיעה במערכות המידע .התומכות במכשירים ובמאגרי המידע השמורים בהם. על המוסדות הרפואיים לבצע סקר .בנושא הסיכונים הנשקפים למכשירים הרפואיים שהם משתמשים בהם, כנדרש בנוהל .מכשור רפואי של משרד הבריאות משנת 2018 . על משרד הבריאות לוודא שהמוסדות .הרפואיים עומדים בנוהל שקבע. . לכל17 המוסדות הרפואיים שענו על שאלון אבטחת המידע (המרכזים הרפואיים .הכלליים-ממשלתיים, שני המרכזים הרפואיים הציבוריים, וארבע קופות החולים) הייתה .תוכנית עבודה שנתית או רב-שנתית בתחום אבטחת המידע. .בביקורת עלה כי שני מוסדות (מוסד ו ומוסד י"ד) מ- 17 המוסדות שבהם היה מיפוי של .המכשור הרפואי עדכנו את המיפוי בפעם האחרונה לפני יותר משנתיים, בשנת 2019 ;15 . מוסדות עדכנו את המיפוי לכל הפחות באמצע שנת2020 . . בהיעדר תמונת מצב מלאה ועדכנית בנוגע למיפוי המכשור הרפואי במוסד יתקשה צוות .אבטחת המידע להגן על ה מכשור הרפואי הקיים ו להיערך כנדרש, באמצעות כלל .האמצעים העדכניים, להתמודדות עם הנזקים האפשריים והסיכונים שהמכשיר חשוף .אליהם. על המוסדות הרפואיים לעדכן את המיפוי באופן תדיר ושוטף. מומלץ גם שמשרד .הבריאות יקבע את התדירות המזערית הנדרשת לצורך המיפוי. .מומלץ כי המוסדות הרפואיים ישלימו את מיפוי מערך המכשור הרפואי שלהם באופן .שייכללו בהם מדדים נוספים הנוגעים לאבטחה של המכשירים הרפואיים, למשל בנוגע .לתווך החיבור שלהם לרשת, לגרסת התוכנה המותקנת עליהם, למידע שהם אוגרים .ולאופי התחזוקה שהם דורשים, זאת בהמשך לנוהל מכשור רפואי של משרד הבריאות .משנת 2018 ולטבלה שהכין . באמצעות מיפוי מעודכן מסוג זה יכולים המוסדות לקבל .תמונת מצב מקיפה על המכשור הרפואי שבבעלותם, ועל בסיס זה לתכנן את הצעדים .הנדרשים לצורך ניהול אבטחתו באמצעות הבקרות המתאימות. .כמו כן, עלו פערים נוספים בתחום זה. .על המוסדות הרפואיים והנהלתם מוטלת האחריות לפעול להגן על מערכות המידע של .מוסדותיהם ובכלל זה על המכשור הרפואי, בין היתר באמצעות הקפדה על הנחיות .אבטחת המידע של משרד הבריאות ונוהלי האבטחה שלו. תקן ISO , תורות ההגנה של .מערך הסייבר ונוהלי משרד הבריאות הם חלק מההנחיות המכווינות את פעילות המוסדות .בתחום אבטחת המידע, ובפרט בנוגע להגנה על מכשירים רפואיים. בפרק זה הועלו .ליקויים הנוגעים להגנה על המכשירים הרפואיים במוסדות הרפואיים בזמן השימוש בהם, .ובפרט בנוגע להגנה על מכשירי דימות. בשל איומי הסייבר הגוברים ובשל מורכבותם, .מומלץ שמשרד הבריאות יבחן את הפערים שעלו במוסדות הרפואיים מבחינת ההגנה על .כלל מכשיריהם הרפואיים, יגבש הנחיות ונוהלי עבודה בנושאים שבהם ניכרת חולשה .בפעילות אבטחת המידע במוסדות , ויבצע בקרה על פעילות המוסדות הרפואיים בכל .הנוגע לתחומי אבטחת המידע. עוד מומלץ כי המוסדות הרפואיים יגבשו נוהלי עבודה .פנימיים בתחום אבטחת מידע, ובכלל זה בנוגע להגנה על מכשירים רפואיים, ויטמיעו .אותם בעבודתם השוטפת. .בשל סיכוני הסייבר ההולכים ומתעצמים ובשל החשיבות בביצוע מבדקי חדירה .למכשירים רפואיים לצורך איתור חולשות בהם, מומלץ שמשרד הבריאות יעקוב אחר .ביצוע מבדקי חדירה שביצעו המוסדות הרפואיים במכשירים הרפואיים. .על המוסדות הרפואיים לפעול בהתאם לנוהל ולשלב בתוכניות העבודה שלהם מבדקי .חדירה עיתיים למכשור רפואי הן ברמת התשתית והן ברמת היישום. מומלץ כי המבדקים .יבוצעו על בסיס סקר סיכונים שיכינו המוסדות ויאפשר לזהות את המכשירים הרפואיים .החשופים לסיכון האבטחתי הגבוה ביותר , וכי בהתאם לכך תיקבע שיטת המבדק. .מהתרשים ומהלוח עולה כי שמונה מ-17 המוסדות הרפואיים שענו על שאלון אבטחת .המידע לא מחקו באופן יזום ותדיר מידע שנשמר במכשירי הדימות שהפעילו. .מומלץ שהמוסדות: מוסד ז, מוסד י"ז, מוסד ט "ז, מוסד ו, מוסד י "א ומוסד ב, יוודאו שנוהל .הרכש שלהם יתייחס להיבטי אבטחת מידע של מכשור רפואי, בהתאם להמלצות של .תורת ההגנה בסייבר , ובכלל זה - למעורבות בעלי תפקידים בתחום אבטחת מידע, עמידת .המכשירים הרפואיים בתנאי סף שקבע המוסד הרפואי והבדיקות שיש לבצע מול הספק. מהתרשים ומהלוח עולה שחמישה מ-17 המוסדות הרפואיים שענו עלשאלון אבטחת .המידע לא התנו את רכישת המכשור הרפואי בכך שממונה אבטחת המידע יאשר את .ביצוע הרכש. .על המוסדות הרפואיים שטרם עשו זאת לשלב את ממו נה אבטחת המידע בשרשרת .האישורים של מכשור רפואי חדש, ועל כלל המוסדות להטמיע הליך זה בפעילות הרכש .השוטפת שלהם. באופן זה ממונה אבטחת המידע יוכל להעלות סוגיות בתחום אבטחת .המידע, לדרוש תשובות מהספקים או מהיצרנים, ובמידת הצורך - להכין מבעוד מועד את .הבקרות המונעות והבקרות המפצות 92 .שיש להטמיע .יצוין לחיוב כי שישה מ-17 המוסדות הרפואיים שענו על שאלון אבטחת המידע נהגו לבקש .טופסי 2MDS מהיצרנים (מוסד ט, מוסד י"ד, מוסד י, מוסד א, מוסד ט "ו ומוסד ה), ומומלץ .ליתר המוסדות הרפואיים לנהוג כך. .עלה כי בכל 17 המוסדות הרפואיים שנבדקו בוצע סקר סיכונים בתחום אבטחת המידע. על המבקרים הפנימיים במוסדות הרפואיים להכין תוכנית ביקורת פנים שתשלב בחינה של .נושאים בתחום אבטחת המידע כמפ ורט בתקן ISO , ובכלל זה ביקורות על מוכנות המוסדות .להתמודדות עם תקיפות סייבר, עם זליגה של מידע רפואי אישי, עם פגיעה במכשור רפואי .ועוד. מומלץ שמשרד הבריאות יוודא כי המוסדות הרפואיים מקיימים הנחיה זו. מהתרשים ומהלוח עלה כי מבין 16 המוסדות הרפואיים שיש להם נוהל רכש, חמישה: .מוסד ז, מוסד י"ז, מוסד ט"ז, מוסד ו, מוסד י"א - לא כללו בנוהלי הרכש שלהם התייחסות .להיבטי אבטחת מידע במכשור הרפואי. .מוסד ב ציין בשאלון אבטחת המידע שאין לו נוהל רכש, אך במסגרת מכרזי הרכש שהוא .מבצע יש התייחסות להיבטי אבטחת מידע. :מהלוח עולה .• בשלושה מ-17 המוסדות שענו עלשאלון אבטחת המידע אין בקרת הרשאה פיזית .לגישה לאחד מסוגי המכשירים לפחות. ב-14 מ-17 מוסדותאין בקרת הרשאה לוגית .לגישה לאחד מסוגי המכשירים לפחות. .• ב-13 מ-17 המוסדותאין בקרת הרשאה לוגית לגישה למכשיר אולטרסאונד נשים , .כלומר מתאפשרת גישה לנתונים השמורים במכשיר, וכך עלולה להיפגע פרטיות .המטופלות. .• במוסד י"א אין בקרת הרשאה פיזית וגם לא לוגית על הגישה למכשירי הרנטגן שלו, .כך גם בנוגע לחלק ממכשירי הרנטגן במוסד ח. .• במוסד ד, מוסד י"א, מוסד ג ובמוסד ח לא קיימת בקרת הרשאה לוגית בשום סוג של .מכשירי הדימות שנבדקו. .• במוסד י"ד ובמוסד ט "ו אין בקרת הרשאה לוגית בשלושה סוגי מכשירים. .• במוסד ד ובמוסד ח לחלק ממכשירי אולטרסאונד נשים לא הייתה גם בקרת הרשאה .פיזית וגם בקרת הרשאה לוגית100. . מומלץ שכל המוסדות הרפואיים יוודאו כי קיימת בקרת הרשאה פיזית ובקרת הרשאה .לוגית על הגישה למכשירי הדימות כנדרש בהתאם לתקנות הגנת הפרטיות, לחוזר מנכ" ל .משרד הבריאות משנת 2015 ולנוהל מכשור רפואי של משרד הבריאות משנת 2018 . . הטמעת בקרות אלה חשובה במיוחד בקרב מוסדות שבהם יש מכשירי דימות ללא בקרת .הרשאה לוגית ופיזית, שכן בהיעדר בקרה כאמור עלולים להתבצע גישה לא מורשית .למכשירים אלה על השלכותיה השונות. .מתשובות המוסדות על שאלון אבטחת המידע עלה כי אחד מ-17 המוסדות- מוסד ט"ז, .לא השלים גיבוש של נוהל להתמודדות עם אירוע של אבטחת מידע או מתקפת סייבר . .עוד עולה מהתשובות על השאלון כי הנוהל של מוסד ה נמצא בתהליך אשרור סופ י. .על מוסד ט "ז לגבש נוהל להתמודדות עם אירוע אבטחת מידע, כנדרש בחוזר מנכ " ל .משרד הבריאות משנת 2015 .. נוהל שכזה ישפר את יעילות המענה אם כשל שכזה יתממש .מומלץ שבהמשך להנחיה שנקבעה בנוהל מכשור רפואי משנת 2018 , המוסדות הרפואיים .יקבעו בנוהליהם פרקי זמן קבועים לביצוע עדכון של רשימת המשתמשים המורשים .במכשור הרפואי ויפעלו לעדכון ההרשאות בהתאם לכך. אשר למכשור רפואי שהוגדר .כבעל סיווג גבוה, עליהם להקפיד על עדכון ההרשאות אחת לשישה חודשים, כנדרש .בנוהל מכשור רפואי. עוד מומלץ שהמשרד יוודא כי המוסדות מבצעים את עדכון .ההרשאות למכשירים המוגדרים בעלי סיווג גבוה על פי הקבוע בנוהל. .נכון למועד סיום הביקורת משרד הבריאות לא השלים את גיבוש מסמכי ההנחיות, והם .לא הופצו, אף שמדובר בהנחיות יסוד החיוניות לשם הגנה על תשתיות, מכשור ומידע .במערכת הבריאות, ואף שההנחיות כוללות כלים להתמודדות עם אירועי סייבר .שהמציאות מוכיחה את היתכנותם. נוכח האיומים הגוברים על מגזר הבריאות בתחום אבטחת המידע ובכלל בנושא הגנה .מפני תקיפות סייבר והתמודדות איתן, מומלץ שמשרד הבריאות ישלים את גיבוש הנהלים .ויפרסם אותם למוסדות הרפואיים. .מומלץ שהמשרד יוודא כי המוסדות הרפואיים מטמיעים את הנהלים באופן שהם יתווספו .לארגז הכלים העומד לרשותם לצורך התמודדות עם אתגרי הסייבר. . בביקורת עלה כי בבקרות שביצע המשרד בבתי החולים ובקופות החולים בשנים2019 .ו-0202 שאותן בדק צוות הביקורת, המשרד ביצע בקרה בנושא אבטחת מידע59 , אולם .במסגרת הבקרות האמורות הוא לא ביצע בקרה בנושא מכשור רפואי, בהתאם למסמך .הבקרה שגיבש בשנת 2018 . .עולה מכך שהמשרד כמאסדר אינו מבצע מעקב סדור אחר תיקון ליקויים שהועלו בדוחות .הבקרה, ובכך לא מוודא את אי-הישנותם, לשם צמצום סיכוני הסייבר שאליהם חשופים .המוסדות. .מבקר המדינה ממליץ למערך הסייבר לקדם את תהליך האסדרה של סמכויות מערך .הסייבר הלאומי כלפי היחידות המגזריות במשרדי הממשלה, ובכללן כלפי מגזר הבריאות, .ושל הפער בין סמכויות המאסדרים. מומלץ כי משרד הבריאות ישלב באופן סדור בבקרות שהוא מבצע במרכזים הרפואיים .ובקופות החולים בדיקה הן של נושא אבטחת מידע והן של מכשור רפואי. הטמעת נושאים .אלה בבקרות תניע את המוסדות הרפואיים לתקן ליקו יים שעלו ותשפר את עמידתם .בנוהלי אבטחת המידע של משרד הבריאות, וכן תאפשר למשרד הבריאות כמאסדר .לגבש תמונת מצב מקיפה בעניין אתגרי אבטחת המידע (ובכלל זה של מכשור רפואי) .בשטח ובעניין הדרכים הראויות להתמודד עימם בהתאם לכך. עוד מומלץ כי המשרד .יבצע הליך סדור של מעקב אחר תיקון הליקויים שעלו בבקרות. .עלה כי כ-20 דוחות כללו, בין היתר, ממצאים בתחום אבטחת המידע, ובכלל זה חולשות .שהתגלו במוסדות הרפואיים ובקופות החולים בתחום זה. .עלה כי המשרה של אחראי תחום הבקרות אינה מאוישת, והבקרה מבוצעת באופן חלקי .בידי בעל תפקיד אחר. בהמשך להמלצות מערך הסייבר הלאומי להגנה על מכשור רפואי, מומלץ כי מוסד י"א .יוודא כי טכנאים חיצוניים המבצעים עבודות תחזוקה במוסד הרפואי יגיעו למוסד רק לאחר .תיאום עם הגורמים הרלוונטיים, וכי במסגרת עבודתם הם ילוו כל העת בעובד המוסד. .כך ניתן יהיה לפקח על עבודתם ולצמצם את חשיפת המכשור הרפואי לסיכוני אבטחת .מידע - חשיפת מידע רפואי אישי והעתקתו, החדרת פוגענים למכשיר, ביצוע שינויים .במידע שנאגר על המכשיר או ברכיבי המכשיר, חבלה מכוונת או שאינה מכוונת ועוד. כמוכן מומלץ שכלל ה מוסדות הרפואיים ישלבו בתוכניות שלהם להמשכיות עסקית .והתאוששות מאסון התייחסות לאופן הטיפול והשחזור של מ ערך המכשור הרפואי, .בהתאם לתיעדוף של המכשירים על פי מידת חשיבותם במסגרת פעילות המוסד הרפואי. .זאת בהמשך להוראת מנכ"ל משרד הבריאות ולהמלצות תורת ההגנה בסייבר. .מומלץ גם כי הנהלות המוסדות שאינם ממשלתיים ואין להם ביטוח סייבר - ישקלו לשלב .ביטוח כזה במסגרת ביטוחי המוסד הרפואי, וכי סוגיה זו תועלה לבחינה מחודשת מפעם .לפעם. .מהתרשים ומהלוח עולה שכמחצית (שמונה) מהמוסדות הרפואיים לא ביצעו ביקורת פנים .בתחום אבטחת מידע, ובהם מוסדות שהם מרכזים רפואיים גדולים - מוסד ט"ז ומוסד א. .מהתרשים ומהלוח עולה כי שני מוסדות רפואיים - מוסד ט ומוסד י "א - מתוך 14 המוסדות .שבהם טכנאים מתחברים מרחוק לצורך תחזוקת מכשירי הדימות, לא ביצעו ניטור של .התחברות מרחוק, למשל באמצעות רישום הפעולות או הקלטת ההתחברות. .יש חשש שמוסדות אלה יתקשו לעקוב אחר פעולות התחזוקה שבוצעו בנוגע למכשירים .שלהם, וכי יתקשו לאסוף מידע עובדתי ההכרחי לתחקור כל תקלה במכשיר, פגיעה בו .או אירוע אבטחת מידע שהתרחש לאחר פעילות התחזוקה. .מומלץ שמוסד ט ומוסד י"א יטמיעו תהליכי בקרה על פעילות התחזוקה מ רחוק שיכללו .תיעוד של פעולות התחזוקה שביצעו ספקים אלה, לצורך צמצום הסיכונים הקיימים, .ויטמיעו זאת בנוהל המסדיר תחזוקה מרחוק של מכשירים רפואיים. . עם זאת עלה כי לא היה ברשות הקופות מכבי והכללית מידע בנוגע למספר הספקים .החיצוניים אשר מחזיקים בפועל בתקני ISO תקפים. הכללית הוסיפה בתשובתה כי היא .מבצעת בחינה מחודשת לכל ספקי הדימות החיצוניים במחוזות כדי לוודא שהם עומדים .בפועל בתקן ISO ; מכבי הוסיפה בתשובתה כי בדיקת העמידה בתקניISO בקרב הספקים .החיצוניים מבוצעת במסגרת תהליך ההתקשרות החוזי עם כל ספק חדש החל בשנת .2019 , והם נדרשים להציג בו תעודת ISO .עדכניתעוד ציינה מכבי כי היא התקשרה עם .ספקים חיצוניים רבים לפני שהחלה פעילות מחלקת אבטחת מידע והגנת סייבר (בתחילת .שנת 2019,) ולכןלא ביצעה בדיקה עימם . מ יפוי כללי של מכשור רפואי: עלה כי שישה מ-17 המוסדות הרפואיים שענו על שאלון .אבטחת המידע - מוסד י"ד, מוסד י "א, מוסד ו, מוסד א, מוסד ב, ומוסד ה - לא מיפו באופן .מלא את כל המכשירים הרפואיים שברשותם. .על המוסדות הרפואיים למפות את המכשור הרפואי שבבעלותם באופן מלא, כנדרש .בנוהל מכשור רפואי של משרד הבריאות משנת 2018 . מהתרשים ומהלוח עולה כי שבעה מ-17 המוסדות הרפואיים לא הגישו לממונה אבטחת .המידע בשנים 2018 - 2021 טופס ובו המדדים הטכניים הנדרשים במסגרת הליך הרכש .כנדרש בנוהל מכשור רפואי של משרד הבריאות משנת 2018 . . על המוסדות הרפואיים למלא את הטופס כנדרש, ובכלל זה למלא את הפרטים על .המדדים הטכניים הנוגעים למכשור הרפואי, על מנת להציגו לממונה אבטחת המידע .במוסד ולקבל את אישורו. כך יוכל הממונה לבחון את המכשיר ולתת את דעתו עליו .כאמור, וזאת על בסיס מידע מלא ושלם על המכשור הרפואי. .עלה כי במוסד י "א אנשי המוסד הרפואי מלווים את הטכנאים החיצוניים רק בחלק מזמן .הימצאותם במוסד ואינם עוקבים אחר פעילות התחזוקה המתבצעת בפועל, ולא מתבצע .תיעוד מלא של ביקורי הטכנאים. בבדיקה של חמשת הרכיבים במערך ההגנה הפנימית באדריכלות הרשת של המוסדות .הרפואיים עלה כי קיימים חֲסָרים מהותיים במערך ההגנה שהמוסדות הרפואיים הטמיעו .לצורך הגנה על מכשו ר רפואי, וכי בחלק מהמוסדות יש שילוב של חֲסָרים המגביר את .חשיפתם לסיכוני אבטחת מידע. .מומלץ כי כל המוסדות הרפואיים שבהם עלה חוסר באחד או יותר מהמרכיבים של ההגנה .על מכשור רפואי ישלימו את החוסרים שנמצאו אצלם. המלצות אלו תואמות את המלצות .מערך הסייבר הלאומי להגנה על מכשור רפואי, ונוכח חשיבותן מומלץ כי המוסדות יאמצו .אותן. אי-ביצוע עדכון של רשימת המשתמשים כאמור במשך שנתיים במערך המכשור הרפואי, .הכולל אלפי מכשירים ובכלל זה מכשירים רגישים בעלי חשיבות רבה לפעילות השוטפת .של המוסד הרפואי, עלול להגביר את חשיפת המכשירים לאיומי אבטחת מידע וסייבר. משאלון אבטחת המידע עולה כי ניכרים פערים בין סוגי הבדיקות שביצעו המוסדות .הרפואיים בעת רכישת מכשור רפואי ולפני התחלת השימוש בו ומספרן - שמונה .מהמוסדות הרפואיים לא ביצעו יותר ממחצית מהבדיקות האמורות (ארבע בדיקות .ומעלה), ושניים מהשמונה לא ביצעו שום בדיקה מבדיקות אלה. יצוינו לחיוב שני מוסדות .שביצעו את כל הבדיקות המצוינות בעת רכישת מכשור רפואי ו קודם להתחלת השימוש .בו. .מהלוח עולה כי לשני מוסדות רפואיים (מ-17 המוסדות הרפואיים שענו על שאלון אבטחת .המידע): מוסד ט "ז ומוסד ט, אין תוכנית להתאוששות מאסון או תוכניות להמשכיות .עסקית; ולשישה אין אתר חלופי ( DR) זמין שנותן מענה מלא במקרה של אסון. .עוד עולה כי מרבית המוסדות הרפואיים - 13 מ-17 המוסדות (כ-76%) - לא שילבו .בתוכניות שלהם להתאוששות מאסון או בתוכנית להמשכיות עסקיות את אופן הטיפול .וההתאוששות של מערך המכשור הרפואי, מערך המורכב מאלפי מכשירים בכל ארגון, .ובהם מכשירים החיוניים לשם אבחון קליני מדויק ולשם הצלת חיי אדם. .על מנת להבטיח את היכולת של המוסדות הרפואיים לחזור, בהקדם האפשרי, לפעילות .תקינה וסבירה במקרה של אירוע אסון, נדרש שהמוסדות הרפואיים יקדמו הקמה של .אתר חלופי ( DR ). בשל חשיבות הנושא, מומלץ כי משרד הבריאות, כמי שמנחה את .המוסדות הרפואיים בכל הנוגע להגנה על מידע ב מערכות הממוחשבות שלהם ושעליו .לפקח על יישום ההנחיות ולעקוב אחרי יישומן, יוודא כי למוסדות יש אתרי DR שיכולים .לתת מענה מלא באירועי חירום. בדומה למידע הרפואי השמור במכשירים רפואיים במוסדות הרפואיים, גם מידע רפואי .המעובד ונאגר במכונים שמפעילים ספקים חיצוניים עשוי להיות יעד לתקיפות סייבר. .מכאן החשיבות לעמידה של ספקים חיצוניים אלה בתקני אבטחת המידע האמורים, וזאת .על מנת להבטיח את קיומה של רמת אבט חה בסיסית הנדרשת לשמירה על המידע .הרפואי. .מומלץ כי נוסף על הדרישה מהספקים החיצוניים לעמוד בתקני ISO לאבטחת מידע .במסגרת ההתקשרות עימם, יבצעו מכבי והכללית מעקב ובקרה שוטפים בעניין מידת .עמידתם של הספקים החיצוניים בתקנים אלה, וישלימו בחינה בנושא של כלל הספקים .שהן עובדות עימם. .היעדרה של התרעת האבטחה בנושא ה -PACS מעורר חשש שמערך הסייבר הלאומי .ומשרד הבריאות אינם מנטרים את כל ההתרעות החושפות פגיעה אפשרית במערכות .המידע הרפואיות, ובפרט התרעות קריטיות הנוגעות למכשור רפואי. .מומלץ כי משרד הבריאות ומער ך הסייבר הלאומי יפעלו להעשרת מקורות המידע .המשמשים אותם לצורך איסוף התרעות אבטחת מידע הנוגעות למכשור הרפואי, לרבות .מהגופים הרלוונטיים בעולם, ויפיצו אותן למוסדות הרפואיים בהתאם לכך. .מהתרשים ומהלוח עולה כי שבעה מ-17 מוסדות רפואיים לא ביצעו לפחות פעם אחת .עדכון של רשימת המשתמשים בעלי הרשאות לוגיות למערך המכשור הרפואי בשנים .2019 - 2020 . .יש לציין לחיוב את יוזמת משרד הבריאות להקמת ה-SOC המגזרי הנותן שירות לכלל .המוסדות הרפואיים. .מומלץ כי משרד הבריאות יפעל להשלמת החיבור של כלל המוסדות הרפואיים ל-SOC . .בביקורת עלה כי ה-SOC של משרד הבריאות מאויש חלקית בימי חול, בשעות היום מ- .07:30 עד 18:00 . בשאר הזמן ה-SOC מקבל שירות של ספק חיצוני הבוחן את המידע .שאוסף ה-SOC .אחת לכמה שעות בלבד ולא באופן שוטף .עולה כי במועד סיום הביקורת המשרד לא נתן מענה לאומי לצורך בקביעת מדדים .מחייבים בתחום אבטחת מידע בעת אישור לייבוא ול שיווק של מכשור רפואי בישראל. .מומלץ שמשרד הבריאות ישקול לשלב תקני אבטחת מידע בהליך האישור של אמ"ר לייבוא .ולשיווק של מכשור רפואי לישראל. צעד זה יאפשר לנהל בדיקה מרוכזת בדבר קיומם של .מדדי אבטחת המידע הנדרשים במכשור רפואי חדש וישפר את רמת האבטחה של מכשירים .רפואיים המשמשים את בתי החולים, קופות החולים ומוסדות רפואיים נוספים. .מומלץ כי משרד הבריאות יפעל לכך שה -SOC יפעל באופן שוטף, באופן שיאפשר .התמודדות מקיפה ובזמן אמת עם איומי הסייבר הקיימים. היבטים בפעילות ה -SOC: עלו פערים מסוימים בנושא זה. .משרד מבקר המדינה ממליץ למשרד הבריאות לתת מענה לפערים אלו. .הפעלת מעבדה לצורך מחקר וביצוע בדיקות אבטחה של מכשור רפואי הם צעדים .חשובים בצבירת ידע בדרג הלאומי ובשיפור ההגנה עליהם. יש לכך חשיבות יתרה בשל .העובדה שמעורבים בתהליך שותפים שונים שהם בעלי עניין - המוסדות הרפואיים, .הגורמים המקצועיים והמאסדרים ממגזר זה וגורמים מקצועיים פרטיים. פעילותם .המשותפת יכולה לייצר ערך מוסף ייחודי שיתרום לקידום תחום אבטחת המידע, תביא .לשיפור היכולת לאתר חולשות ותשפר את האבטחה הקיימת על המכשירים; ביצוע .הבדיקות במרוכז עשוי גם לייעל תהליכים - הן בשל שיתוף ידע ולמידת עמיתים והן בשל .האפשרות לבצע ולממן במשותף את אותם מבדקים עבור אותם המכשירים. .מומלץ למשרד הבריאות ולמערך הסייבר הלאומי לשקול את יישום ההקמה של מעבדת .סייבר למכשור רפואי ולבחון לשם כך מודלים אפשריים של תקצוב. . תחום הגנת הסייבר במערכת הבריאות הוא בעל חשיבות רבה, שכן זמינותם המלאה .והקבועה של מע רכות המידע והמכשור הרפואי נחוצה לתהליכים מצילי חיים. היעדר .אסדרה של סמכויות מערך הסייבר הלאומי כלפי היחידות המגזרית במשרדי הממשלה .עלול להקשות את שיתוף הפעולה עם הגופים. לצד ההנחיה של מערך הסייבר הלאומי, .משרד הבריאות פועל כמאסדר של המוסדות הרפואיים, בכלל זה בתחום אבטחת המידע. .על משרד הבריאות כמאסדר של המוסדות הרפואיים להשלים את גיבוש הנהלים בתחום .אבטחת המידע. על המשרד מוטלת האחריות גם לוודא כי המוסדות פועלים לשפר את .ההגנה שלהם על מערכות המידע והמכשור הרפואי, וכן כי הם עומדים בנוהלי המשרד .בתחום אבטחת המידע. כפי שעלה בדוח זה, בקרות הרישוי של משרד הבריאות בבתי .החולים ובקופות החולים בשנים 2019 - 2020 לא כללו בקרה בנושא מכשור רפואי, וכן .המשרד לא בדק אם תוקנו ליקויים שהועלו בתחום אבטחת המידע. .מומלץ שמשרד הבריאות יגבש תוכנית רב -שנתית להגנת סייבר במוסדות הרפואיים .הכוללת הגדרת יעדים, סדרי עדיפויות, מדדים וכן הערכה תקציבית נדרשת ואת מקורות .המימון האפשריים. .לנוכח איומי הסייבר על מערכת הבריאות ובהיותן של מערכות המידע משאב חיוני .הנדרש, בין השאר, לצורך הצלת חיים, מומלץ שמשרד הבריאות ישלים את איוש המשרות .שבתקן היחידה המגזרית. מהלוח עולה כי המוסדות הרפואיים נבדלים ביניהם במידה רבה מבחינת היחס בין מספר .עובדי המוסד העוסקים בתחום אבטחת המידע או הגנת סייבר ובין מספר העובדים .במוסד: בחמישה מוסדות יש איש צוות אבטחת מידע ל- 1,000 עובדים ומטה ובשלושה יש .איש צוות אחד ל- 3,000 .עובדים .מומלץ כי משרד הבריאות ומערך הסייבר הלאומי ישקלו את הצורך לקבוע תקן מזערי .ודרישות לגבי גודל צוות אבטחת המידע הרצוי במוסד רפואי בהתאם למאפייניו. . עלה גם כי המוסדות הרפואיים נבדלים ביניהם מבחינת הסעיפים התקציביים שהם .מכלילים בחישוב ההקצאה התקציבית להגנת סייבר, ועל כן, בין היתר, קיימת שונות בין .התקציבים עליהם דיווחו המוסדות בשאלון אבטחת המידע. .על הנהלות המוסדות הרפואיים לפעול בהתאם להוראות החלטת הממשלה ולהקצות .תקציב ייעודי להגנת סייבר בשיעור שקבעה החלטת הממשלה. מומלץ שמשרד הבריאות .יגבש קווים מנחים שיגדירו את ההוצאות אותן יש לכלול במסגרת הקצאת תקציב להגנת .סייבר. עוד מומלץ שבמסגרת התוכנית הרב -שנתית להגנת סייבר יכלול המשרד גם את .ההערכה התקציבית הנדרשת ואת מקורות המימון האפשריים. מהתרשים ומהלוח עולה כי חמישה מוסדות רפואיים לא כללו בתוכנית העבודה שלהם .לשנים 2020 ו- 2021 .התייחסות לשיפור ההגנה על מכשור רפואי ואבטחת המידע הנאגר בו .מומלץ שהמוסדות הרפואיים יגבשו תוכנית עבודה בנושא אבטחת המידע, הכוללת .התייחסות לשיפור ההגנה על מכשור רפואי ואבטחת המידע הנאגר בו, זאת בהמשך .להמלצות שבתורת ההגנה בסייבר .
מומלץ שמערך הסייבר הלאומי יקדם את תהליך האסדרה של סמכויותיו כלפי היחידות .המגזריות במשרדי הממשלה, ובכללן כלפי מגזר הבריאות, ו של ה פער בין סמכויות .המאסדרים . על משרד הבריאות להמשיך לפעול כמאסדר על מנת לסייע במישור הלאומי .למוסדות הרפואיים להתמודד עם אתגרי אבטחת המידע במכשור הרפואי. על המוסדות .הרפואיים לפעול על מנת לתקן את הליקויים שעלו בדוח זה ולהטמיע אמצעי אבטחת .מידע ובקרות ראויות בכל מסלול חייו של המכשיר הרפואי - טרם רכישתו, בעת קליטתו .במוסד הרפואי, במהלך השימוש השוטף בו ותחזוקתו ובעת סיום השימוש בו. מתן מענה .על ליקויים אלה יצמצם את סיכוני אבטחת המידע שאליהם נחשפים המוסדות הרפואיים .בעת השימוש השוטף במכשירים רפואיים. עוד עלה בביקורת כי כל המוסדות הרפואיים .שאותם בדק דוח זה עמדו בתקן ISO 27799 , וכולם מבצעים סקרי סיכונים בתחום אבטחת .המידע. .איומי הסייבר על מערכת הבריאות הולכים ומתרבים, הם ממשיים ואינם רק בגדר איום. .ניסיונות תקיפה של פצחנים מתבצעים כל העת, לעיתים הם מצליחים, כמו המתקפה .שהתקיימה בתקופת הביקורת (אוקטובר 2021 ) על המרכז הרפואי הלל יפה והשביתה .את מערכותיו. תקיפות כאלה עלולות להוביל לשיבוש בפעילות השוטפת של המוסדות .הרפואיים, לזליגה של מידע רפואי של מטופלים ולגרימת נזק למכשירים רפואיים חיוניים. .ואולם לא מדובר רק בניסיונות תקיפה של פצחנים אלא גם בניסיונות מצד גורמים בעלי .עניין שיש להם גישה למערכות ולמכשור ומעוניינים לפגוע בהם או לשבש את פעילותם. .נוסף על כך, אף פעילות שגרתית ותמימה עלולה להביא לפגיעה במערכות המידע, .במאגרי המידע ובמכשור רפואי. איומים אלה מחייבים את משרד הבריאות ואת הנהלות .המוסדות הרפואיים לשים את הדגש הראוי על סיכוני אבטחת המידע הכרוכים בשימוש .במכשירים רפואיים ועל הדרך הראויה להתמודדות עימם.