משרד הבריאות . הגנת סייבר על מכשירים רפואיים ואבטחת המידע הנאגר בהם .עלה כי נכון למועד סיום הביקורת לכל המרכזים הרפואיים הממשלתיים (הכלליים, .הגריאטריים והפסיכיאטריים) אין ביטוח סייבר . .עוד עלה בנוגע לשא ר המוסדות הרפואיים, כי לחלקם אין ביטוח המכסה את נושא .אבטחת המידע והסייבר ולחלקם יש. .משרד מבקר המדינה ממליץ לחברת ענבל להשלים, בשיתוף משרד הבריאות, את הליך .בחינת הכיסוי הביטוחי למרכזים הרפואיים הממשלתיים בתחום אבטחת המידע והסייבר .ומדגיש את החשיבות שבסיום הליך זה. על משרד הבריאות להעביר מידע שיש בכוונתו לפרסם לציבור לאישור ממונה אבטחת .המידע של המשרד לפני פרסומו, ובפרט בנוגע למידע רגיש המכיל ליקויים בתחום .אבטחת המידע. כמו כן מומלץ שלפני שהמשרד מפרסם לציבור דוחות בקרה הכוללים .ליקויים בתחום אבטחת המידע הוא יביא לידיעת ממוני אבטחת המידע של המוסדות .הרפואיים, את הכוונה לפרסם מידע זה. .עלה כי אף שבהחלטות הממשלה האמורות נקבע כי החטיבה תשמש גוף מטה בתחום .מערכות מידע, ואף שמחוזר מנכ"ל עולה כי אחריות החטיבה כלפי אופן תפקודם של .המרכזים הרפואיים כוללת ומתייחסת גם להיבטים של מערכות מידע, בפועל - בחטיבה .פועל אגף מערכות מידע, המעסיק כ-200 עובדי מחשוב, אולם העיסוק בתחום אבטחת .המידע הוא בידי יחידת הסייבר המגזרית במשרד, והחטיבה אינה מעורבת בכך. במצב .דברים זה לחטיבה אין תמונת מצב מיטבית בדבר איכות אבטחת המידע בכל אחד .מהמרכזים הרפואיים שבאחריותה. .מומלץ שהמשרד יבחן את הממשקים שבין חטיבת המרכזים הרפואיים הממשלתיים לבין .יחידת הסייבר המגזרית ויבחן בידי מי נכון להפקיד את האחריות לטיפול בנושא אבטחת .המידע בכלל המרכזים הרפואיים הממשלתיים, גם נוכח החלטת הממשלה 337 . . כן מומלץ שהמשרד יעמוד על המשמעות של הפרדת תחומי האחריות בין שני הגופים .ויבחן אם יש צורך לעדכן ולשפר ממשקים אלו או לשנות את מבנה האחריות לתחום .אבטחת המידע והגנת סייבר במרכזים הרפואיים הממשלתיים. . נמצא כי15 המוסדות הרפואייםשנבדקו ומשתמשים במכשירי MRI אוCT107 - השתמשו .ב-PACS . .בביקורת עלה כי כל המוסדות מבצעים גיבוי ל-PACS לפחות פעם ביום, פרט למוסד י, .שלא ביצע גיבוי של ה-PACS , ובמועד סיוםהביקורת נמצא בתהליך הטמעה של מערכת .גיבוי. . נמצא כי14 מ-15 המוסדות שהשתמשו ב-PACS שומרים לפחות העתק אחד של הגיבוי .כדי להבטיח את שרידותו. .עלה כי במוסד י"ז אין גיבוי מלא של צילומי הדימות במערכת ה -PACS . .משרד מבקר המדינה ממליץ למוסד י"ז לשפר את שרידות הצילומים ב -PACS באמצעות .שמירה של העתק גיבוי אחד לפחות, וכך להבטיח כי אם ייפגע הגיבוי הקיים בעת מתקפת .סייבר או תקלה טכנית, תהיה אפשרות לשחזר את התצלומים. זאת בהתאם לנוהלי משרד .הבריאות. מהתרשים ומהלוח עולה כי מוסד ט לא הסדיר את אופן ההתחברותמרחוק באמצעות .נוהל. .נוכח החשיפה למידע רפואי וסיכוני אבטחת המידע הנלווים לפעילות התחזוקה .המתבצעת באמצעות חיבור מרחוק, מומלץ שמוסד ט יסדיר בנוהל את אופן ההתחברות .מרחוק. .מהתרשים ומהלוח עולה כי 11 מ-17 המוסדות הרפואיים לא הגדירו קבוצות סיכון למכשור .הרפואי לפי סיווגי סיכון. .במרכזים הרפואיים ובקופות חולים בישראל משתמשים באלפי מכשירים רפואיים מסוגים .שונים, בעלי רמת סיכון משתנה הדורשת ניהול, תיעדוף ומתן מענה בהתאם לכך. משרד .מבקר המדינה מדגיש כי באמצעות הגדרת קבוצות סיכון למכשור רפואי יוכל המוסד .הרפואי לתעדף את השקעת המשאבים למתן הגנה ראויה על מכשירים שנקבעו ברמת .הסיכון הגבוהה ביותר למוסד הרפואי, באופן שתשתפר ההגנה על מכשירים אלה מפני .תקיפות סייבר אפשריות. על המוסדות הרפואיים שעדיין לא עשו זאת - להגדיר קבוצות .סיכון למכשור רפואי. כמו כן מומלץ שמשרד הבריאות יבחן אם יש צורך להגדיר במישור .הלאומי אילו מכשירים רפואיים יש לכלול ברמת הסיכון הגבוהה ביותר, שבהתאם לכך .יש לתת להם את המענה ההגנתי המרבי. .בכל 25 המוסדות הרפואיים שענו על שאלון אבטחת המידע פעלה ועדת היגוי, ובשישה .מהם - מוסד י"ז, מוסד ט"ז, מוסד י"א, מוסד י"ב, מוסד ח ומוסד ה - עמד בראשה מנהל .בית החולים או מנהל הקופה כנדרש בחוזר מנכ"ל משרד הבריאות משנת 2015 . בראשן .של הוועדות במוסדות האחרים עמדו סגן מנהל בית חולים, סמנכ"ל, חבר הנהלה אחר .או המנהל האדמיניסטרטיבי. .הדרישה כי מנהל המוסד הרפואי יעמוד בראש ועדת ההיגוי לתחום הגנת המידע מכוונת .לכך שמדובר בצורך ארגוני, אסטרטגי בעל חשיבות מהמעלה הראשונה. על המוסדות .הרפואיים להבטיח כי מנהל המוסד יעמוד בראש הוועדה כנדרש בחוזר מנכ"ל משרד .הבריאות משנת 2015 . .ב-24 מ-25 המוסדות הרפואיים שהשיבו על שאלון אבטחת המידע ציינו שפועל אצלם .ממונה אבטחת מידע; מוסד י ציין כי ממונה אבטחת המידע נמצא בתהליכי גיוס. מהתרשים ומהלוח עולה כישמונה מ-25 המוסדות הרפואיים לא מינו ממונה הגנה על .הפרטיות. .נוכח המידע האישי הנאגר במערכות המידע ובמכשור הרפואי במוסדות רפואיים ונוכח .הסיכון שבחשיפתם הלא מבוקרת, מומלץ למשרד הבריאות לשקול לקבוע חובת מינוי .ממונה על הגנת הפרטיות בדומה למחויב במדינות מערביות רבות ולמגמות שעולות .מהטיוטות של הרשות להגנת הפרטיות ושל משרד הבריאות. כמו כן מומלץ לבחון לבצע .הפרדה בין ממונה הגנת הפרטיות לממונה אבטחת מידע, כדי להבטיח בקרה מספקת .מצד ממונה הגנת הפרטיות על עבודת צוות אבטחת המידע במוסד הרפואי, כן מומלץ .לבחון הגדרה של הממשקים בין בעלי תפקידים אלה. .מהתרשים עולה כי חמישה מ -17 המוסדות לא גיבשו נוהל המסדיר את הליך סיום .השימוש במכשור רפואי. .בביקורת עלה כי גם מוסד רפואי שאימץ נהלים להסדרת הליך סיום השימוש במכשור .רפואי הוציא מכשור רפואי ישן מכותלי המוסד בלי שמחק את המידע הרפואי שהכיל .המכשיר. מומלץ שכלל המוסדות הרפואיים יגבשו נוהל המסדיר את הפעולות שיש לבצע בעת סיום .השימוש במכשיר רפואי, לפני השמדת ו, גריטת ו או מכירת ו, ואת בעלי התפקידים .האחראים לביצוע כל פעולה. צעד כזה יצמצם את הסיכון שמידע רפואי אישי יגיע לידי .מי שאינם מורשים לכך. .מומלץ גם שמשרד הבריאות יגבש קווים מנחים למוסדות הרפואיים להליך הטיפול .במכשירים רפואיים עם סיום השימוש בהם, ובכלל זה למחיקת המידע ששמור עלי הם .ולתיעוד המחיקה, זאת בדומה לנהליו בנושא אבטחת המידע בעת רכש של מכשור רפואי. מהתרשים ומהלוח עולה כי ל-7 מ-12 המוסדות שהוציאו מכשוררפואי לתחזוקה מחוץ .למוסד הרפואי לא היה מידע מדויק בנוגע למספר המכשירים שהוצאו לתחזוקה בשנת .2020 ( "ולזהותם: חמישה מוסדות ציינו כי "אינם יודעיםמוסד י"ג , מוסד ד, מוסד ט"ז, מוסד .ה ומוסד ח ) ושניים (מוסד י"ד ומוסד ט "ו) ציינו כי הוצאו מכשירים ספורים אך לא ציינו .מספרם. .על המוסדות הרפואיים לנהל רישום מלא של כל המידע הנחוץ קודם להוצאת המכשירים .הרפואיים לתחזוקה מחוץ למוסד, ובכלל זה עליהם לציין במסגרת הרישום אם המידע .הרפואי השמור במכשירים נמחק לפני הוצאתם לתחזוקה.
מהתרשים ומהלוח עולה כי שני מוסדות רפואיים מ-17 המוסדותשענו על שאלון אבטחת .המידע: מוסד ד ומוסד ט, לא החתימו את החברות הנותנות שירותי תחזוקה למכשירים .הרפואיים, או את טכנאי חברות אלו, על הסכם סודיות. .מומלץ כי מוסד ד ומוסד ט יגבשו הסכם סודיות כאמור ויחתימו את החברות הנותנות .שירותי תחזוקה למכשירים הרפואיים או את טכנאי חברות אלו על הסכם כזה, על מנת .לשמור על חסיון המידע הרפואי.