אבטחת מידע למרפאות

כרופאים, אתם מתמקדים בהענקת הטיפול הרפואי הטוב, המקצועי והמסור ביותר למטופלים שלכם. אבל מה לעשות, אנחנו חיים בעידן שבו המידע שלנו דיגיטלי ולעתים קרובות מדי מסתובב חופשי. תיקי המטופלים, ההיסטוריה הרפואית, תוצאות המעבדה ואפילו פרטי האשראי של המטופלים שלכם – כולם מאוחסנים במערכות ממוחשבות. המעבר לניהול דיגיטלי הפך את עבודת המרפאה ליעילה מאי פעם, אך במקביל, הוא פתח חזית חדשה ומסוכנת שרופאים רבים אינם מודעים לה מספיק: חזית הסייבר ואבטחת המידע.

המידע הרפואי שאתם מחזיקים בקליניקה אינו רק "טקסט". זהו המידע האינטימי, הרגיש והחשוב ביותר של האנשים ששמו בכם את מבטחם. זליגה של מידע כזה עלולה להוביל לנזק עצום למטופלים, ולרסק את המוניטין המקצועי שבניתם במשך שנים.

החשיבות הקריטית של אבטחת המידע הרפואי

מידע רפואי נחשב ל"זהב" של הרשת האפלה. פרטי כרטיס אשראי גנוב מאבדים את ערכם ברגע שהכרטיס מבוטל על ידי הבנק. אבל היסטוריה רפואית, אבחנות פסיכיאטריות, תוצאות בדיקות גנטיות ומידע על מחלות כרוניות – הם נתונים שאי אפשר לבטל. האקרים משתמשים במידע הזה כדי לבצע גניבת זהות, לסחוט מטופלים, או כדי להפעיל תוכנות כופר (Ransomware) נגד המרפאה עצמה.

מתקפת כופר מתרחשת כאשר תוכנה זדונית נועלת ומצפינה את כל המחשבים והתיקים הרפואיים בקליניקה, והתוקפים דורשים תשלום של עשרות עד מאות אלפי שקלים (לרוב במטבעות וירטואליים כמו ביטקוין) רק כדי "להחזיר לכם את המפתח" לנתונים שלכם.

קליניקה (או כל עסק שהוא) שנופלת קורבן למתקפה כזו, תהיה משותקת לחלוטין: אי אפשר לקבל מטופלים, אי אפשר לדעת למי יש תור, ואי אפשר לגשת להיסטוריה הטיפולית. מעבר לנזק התפעולי, אירוע כזה חושף את בעל המרפאה לתביעות רשלנות ענק מצד מטופלים שפרטיותם הופרה. רופאים רבים נוטים לחשוב: "אני רק קליניקה קטנה, למה שיפרצו דווקא אליי?". המציאות מוכיחה אחרת; תוקפי סייבר משתמשים בתוכנות אוטומטיות הסורקות את האינטרנט בחיפוש אחר מטרות קלות. קליניקה קטנה, שאינה מגובה בצוות אבטחה של בית חולים, היא מטרה נוחה הרבה יותר ממערכת גדולה ומאובטחת (אם כי כל ארגון רפואי מצוי בסיכון, בשל הערך הגבוה של הדאטה).

סטנדרטים ותקנות של אבטחת מידע רפואי בישראל

בישראל, המחוקק והרגולטורים מתייחסים למידע רפואי בשיא הרצינות, והאחריות מוטלת בראש ובראשונה עליכם – בעלי המרפאות. על פי החוק, אתם מוגדרים כ"בעלי מאגר המידע", והאחריות המשפטית במקרה של דלף מידע נופלת על כתפיכם. להלן הסטנדרטים המרכזיים שכל קליניקה חייבת להכיר:

1. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017: על פי חוק הגנת הפרטיות, מידע על מצב בריאותו של אדם מוגדר כ"מידע בעל רגישות מיוחדת". התקנות קובעות כי מאגר מידע רפואי מחויב לעמוד לכל הפחות ב"רמת אבטחה בינונית", ובהתאם לגודל המרפאה ומספר המטופלים, לעיתים גם ב"רמת אבטחה גבוהה". המשמעות היא שהחוק דורש מכם לנהל יומני גישה כדי לדעת מי נכנס לאיזה תיק, לקיים נהלי גיבוי קפדניים, לבצע בקרת הרשאות ולהטמיע אמצעים טכנולוגיים מוגדרים להגנה על המאגר. אנחנו ממליצים לקרוא את המסמך של משרד המשפטים והרשות להגנת הפרטיות בנושא.
2. חוזר מנכ"ל משרד הבריאות 06/2022 ("רגולציית יסוד להגנת סייבר במערכת הבריאות בישראל"): חוזר זה, שנכנס לתוקף בסוף שנת 2022, מהווה מהפכה של ממש בדרישות משרד הבריאות. החוזר קובע שמערכת הבריאות, מהמוסדות הגדולים ועד לקליניקות הקטנות המחוברות אליהם, חייבת ליישר קו עם סטנדרט הגנה לאומי. הוא דורש מבעלי מרפאות לקחת אחריות ניהולית ישירה על אבטחת המידע, לבצע גיבויים קפדניים, לשלוט בהרשאות גישה של עובדים, ולהבטיח שגם ספקי התוכנה של המרפאה (שרשרת האספקה) עומדים בתקני סייבר מחמירים.
3. הנחיות הרשות להגנת הפרטיות (2024-2025): בשנים האחרונות פירסמה הרשות מספר הנחיות וניירות עמדה המחמירים את הדרישות ממרפאות. הדגש המרכזי הוא על איסור שימוש בכלים פרטיים ולא ייעודיים להעברת מידע רפואי. הרשות מזהירה מפני העברת מסמכים רפואיים, צילומים או תוצאות מעבדה דרך אפליקציות כמו ווטסאפ, טלגרם או תיבות דוא"ל פרטיות כמו ג'ימייל. כלים אלו אינם עומדים בסטנדרטים של אבטחה תאגידית. בנוסף, הרשות מבהירה כי אחסון מידע רפואי על תוכנות מקומיות או מחשבים מיושנים במרפאה ("שרת בארון") נחשב כיום לפרקטיקה מסוכנת שאינה עומדת בדרישות בקרת הגישה והגיבוי המודרניות.

איפה רוב הקליניקות נופלות? נקודות התורפה המרכזיות

מרבית הכשלים באבטחת מידע במרפאות מתחלקים לשתי קטגוריות: כשלים טכנולוגיים וכשלים אנושיים.

החולשות האנושיות

הגורם האנושי הוא לרוב החוליה החלשה ביותר בשרשרת האבטחה.
● התייעצויות בוואטסאפ: תופעה נפוצה מאוד היא רופא המצלם נגע עורי, צילום רנטגן או מסמך סיכום ביקור, ושולח אותו לקולגה להתייעצות או למטופל עצמו דרך הוואטסאפ. זוהי הפרה ישירה של חוק הגנת הפרטיות. המידע נשמר על שרתי החברה, עשוי להיות מגובה לענן הפרטי הלא-מאובטח של המשתמש (Google Drive / iCloud), וחשוף לכל מי שיש לו גישה למכשיר.
● שיתוף סיסמאות ומשתמשים: במרפאות רבות, כל צוות הקבלה משתמש באותו שם משתמש כדי להיכנס לתוכנת ניהול המרפאה. זוהי טעות קריטית. אם יתרחש אירוע אבטחה או זליגת מידע מתוך המרפאה, לא יהיה ניתן לדעת איזה פקיד או איש צוות ביצע את הפעולה, דבר המפר את דרישת החוק לניהול יומן פעולות.
● מודעות סייבר ירודה ופישינג: צוות המרפאה מקבל עשרות מיילים ביום. לחיצה תמימה על קישור זדוני שנראה כמו הודעה מדואר ישראל או מהבנק, עלולה להתקין תוכנת כופר שתרסק את רשת המרפאה כולה בתוך דקות.

החולשות הטכנולוגיות

● "האשליה המקומית" - שרת פיזי במרפאה: בעבר, רופאים הרגישו בטוחים יותר כשהמידע היה שמור על "מחשב מרכזי" שיושב מתחת לשולחן בקבלה. כיום, זה נחשב לסיכון אבטחה. מחשבים מקומיים לרוב לא זוכים לעדכוני אבטחה שוטפים, אין להם מערכות ניטור המזהות פריצות בזמן אמת, והם פגיעים פיזית (ניתן לגנוב אותם בקלות במהלך פריצה פיזית לקליניקה או שריפה).
● גיבויים חובבניים: מרפאות רבות מסתמכות על גיבוי ל"דיסק און קי" או לכונן נייד שמחובר למחשב דרך קבע. במקרה של מתקפת כופר, התוכנה הזדונית מצפינה גם את הכונן הנייד שמחובר למחשב, ומשאירה את המרפאה ללא שום גיבוי. גיבוי שאינו מוצפן, או שאינו מנותק פיזית או רשתית, אינו גיבוי אמיתי. כל מרפאה צריכה לפחות שני גיבויים בפורמטים שונים (כלומר, אחד פיזי ואחד בענן). הגיבויים צריכים להיות מוצפנים, ורצוי שיהיה גם גיבוי פיזי שלא נמצא במרפאה (מה שנקרא Off site), למקרה של שריפה, פריצה, נפילת טיל או כל נזק פיזי אחר.
● היעדר מנגנוני אימות רב שלבי: כניסה למערכת הרפואית רק באמצעות שם משתמש וסיסמה חלשה (כמו "123456" או שם המרפאה) היא פרצה קוראת לגנב. ללא שכבת הגנה נוספת, כל אדם שישיג את הסיסמה יוכל לגשת לתיקים רפואיים מכל מקום. הכניסה למערכות הממוחשבות צריכה להיות ממוגנת באימות רב שלבי, כמו SMS עם קוד, אפליקציית Authenticator או אמצעים פיזיים שונים כמו מפתחות אבטחה, קוראים ביומטריים ועוד.

ארגז הכלים של הרופא: כיצד תגנו על המרפאה והמידע?

כדי להפוך את המרפאה שלכם לסביבה בטוחה העומדת בסטנדרטים של משרד הבריאות והרשות להגנת הפרטיות, אינכם צריכים להיות מומחי מחשבים, אך עליכם לדרוש מספקי הטכנולוגיה שלכם את הסטנדרטים הבאים:

מעבר לתוכנות ניהול מרפאה מבוססות ענן מאובטח

במקום לנהל את המידע על השרת המקומי בקליניקה, מומלץ לעבור למערכות ניהול מרפאה ייעודיות בענן. חברות אלו מחזיקות צוותי אבטחת מידע, מגבות את המידע בשרתים מרוחקים ומאובטחים, ודואגות לעדכוני אבטחה שוטפים. ודאו כי ספק התוכנה שלכם עומד בתקני אבטחה מחמירים (כמו ISO 27799 לאבטחת מידע בבריאות או HIPAA האמריקאי) ומספק התחייבות חוזית לעמידה בתקנות הגנת הפרטיות הישראליות.

אימות דו-שלבי

דרשו שכל כניסה לתוכנת ניהול התיקים הרפואיים תדרוש אימות דו-שלבי. בדיוק כמו כניסה לאפליקציית הבנק שלכם, שבה אתם מקבלים קוד חד-פעמי לטלפון הנייד (SMS או אפליקציית אימות), כך חייבת להיות הגישה למידע של המטופלים. זהו קו ההגנה היעיל ביותר נגד גניבת סיסמאות.

מידור, הרשאות ויומני פעילות

לכל עובד במרפאה חייב להיות שם משתמש וסיסמה אישיים. בנוסף, יש ליישם את "עקרון ההרשאה המינימלית" (Need-to-Know): לפקידת הקבלה צריכה להיות גישה ליומן התורים ולמערכת הגבייה, אך לא בהכרח לתוכן הקליני המלא של סיכומי הביקור. המערכת שלכם חייבת לתעד כל פעולה – מי נכנס לאיזה תיק, מתי, ומה הוא עשה (קרא, שינה או מחק).

פתרונות גיבוי מודרניים

מערך הגיבוי שלכם חייב להיות נפרד ומוצפן. יש לייצר לפחות שני גיבויים, כשאחד מהם נמצא מחוץ לאתר (Off-site), למשל בענן מאובטח. גיבוי זה חייב להיבדק תקופתית כדי לוודא שבאמת ניתן לשחזר ממנו נתונים במקרה של קריסת מערכות.

הפסקת השימוש באפליקציות פרטיות לצרכים רפואיים

יש לעקור מהשורש את הרגל העברת המידע הרפואי בוואטסאפ או במייל פרטי. אם אתם צריכים לשלוח למטופל סיכום ביקור, השתמשו בפורטל מטופלים ייעודי ומאובטח שהתוכנה הרפואית שלכם מספקת, או לחלופין, שלחו מסמך מוצפן שהגישה אליו דורשת קוד שנשלח בנפרד. כמו כן, אסרו על הצוות לצלם מסמכים רפואיים בטלפונים הסלולריים האישיים שלהם.

הדרכת עובדים ומודעות סייבר

הטכנולוגיה הטובה ביותר לא תעזור אם איש הצוות יעביר את הסיסמה שלו לגורם לא מורשה. קיימו פגישת הדרכה שנתית לכלל עובדי הקליניקה. הסבירו להם על סכנות הפישינג במייל, על האיסור לשתף סיסמאות, ועל החשיבות של נעילת מסך המחשב כאשר הם קמים מעמדת הקבלה. אתם כמובן לא צריכים לעשות זאת בעצמכם, יש אנשי מקצוע רבים בתחום הסייבר שמכירים את הסכנות העדכניות ביותר ויודעים כיצד להסביר את הנושא בצורה הכי טובה, גם לאנשים שאינם אנשי טכנולוגיה.

אבטחת מידע היא לא טרנד חולף

ניהול קליניקה פרטית הוא עסק תובעני, והוספת תחום אבטחת המידע לרשימת המטלות עשויה להיראות כמו נטל בירוקרטי וטכנולוגי כבד. עם זאת, מתקפות סייבר הן עניין יומיומי ודליפת מידע יכולה להרוס קריירה רפואית, ולכן שמירה על המידע היא לא המלצה – היא חובה מוסרית, מקצועית ומשפטית.

אל תחכו שאירוע אבטחת המידע יגיע אליכם למרפאה. התייעצו עם ספקי מחשוב ומומחי הגנת פרטיות המבינים את הדרישות הייחודיות של משרד הבריאות והרשות להגנת הפרטיות, שדרגו את המערכות שלכם לכלים מנוהלים ומאובטחים, והטמיעו נהלים פשוטים אך קפדניים. השקעה נכונה היום תבטיח לכם שקט נפשי מחר, ותשמור על הדבר היקר ביותר שיש לכם כרופאים - האמון של המטופלים שלכם.