ISO 27799 | תקן לניהול אבטחת מידע רפואי

מהם היתרונות בהטמעת תקן 27799 ISO?

• דרישת לקוח/גוף ציבורי – בהתאם לנהלי משרד הבריאות, החל מיום 1.1.2016 על ארגוני בריאות לבצע התקשרויות רק עם ספקים העומדים בתקני אבטחת מידע 27799 ISO ו-27001 ISO.
• דרישות סף – הסמכה לתקן 27799 ISO מהווה תנאי לקבלת רישיון למוסד רפואי ולחידוש הרישיון. עמידה בתנאי התקן תיבדק במסגרת ביקורות שעורך משרד הבריאות (ראה חוזר המנהל הכללי 3/15 של משרד הבריאות).
• מיתוג / תדמית – ההסמכה מאפשרת לארגון לפנות לשוק הבינלאומי ולעבוד עם משרדים ממשלתיים וחברות גדולות במשק.
• התייעלות פנימית – הטמעת תקן 27799 ISO מגבירה ומחזקת את אמינות המידע והשירותים שמספק הארגון וכן את ביטחון ואמון לקוחותיו עקב הבטחת שיפור משמעותי ברמות אבטחת המידע (דבר המהווה יתרון על פני מתחרים).

תהליך המנא"מ (מערכת ניהול אבטחת מידע):

החמרות בהגנת המידע הרפואי והאישי בארגוני הבריאות על פי ISO 27799:

• מערכות ותשתיות המידע, כגון: מערכות הפעלה, רכיבי תקשורת, בסיסי נתונים יאובטחו בהתבסס לנהלים.
• כלים וטכנולוגיות המאושרים לשימוש יתעדכנו על ידי ממונה לאבטחת המידע במשרד הבריאות.
• מדיה המכילה מידע רפואי נדרשת להיות מוגנת באמצעות הצפנת מידע/הגנה פיזית.
• גישה למידע רפואי תחויב באמצעות חובת הזדהות ומתן הרשאות מתאימות לבעלי התפקידים.

למאמרים על תקנות הגנת הפרטיות

למאמרים על ISO 27001

למאמרים על רגולציית הגנת הפרטיות האירופאית GDPR

מדיניות מחשוב ענן במערכת הבריאות:

מחשוב ענן מאפשר למשתמש לצרוך שירותי מחשוב מרחוק באמצעות רשת האינטרנט או קו תקשורת ייעודי. בשנים האחרונות ישנה עליה בשימוש בשירותי ענן בתעשיות רבות המאפשרת לארגוני הבריאות לעשות שימוש בטכנולוגיות מתקדמות שיכולות לסייע להם להתמודד עם האתגרים התשתיתיים, הארגוניים, הטכנולוגיים והכלכליים הניצבים בפניהם, ומעודד את חיזוק היכולות הטכנולוגיות של ארגוני הבריאות כמרכיב חשוב בקידום תחום הבריאות הדיגיטלית.

• מדיניות ענן ארגונית – הגדרת מדיניות ענן ארגונית ואישורה על ידי הנהלת הארגון. יש לקיים דיון תקופתי ולעדכנה בהתאם לשינויים בארגון. מדיניות הארגון תכלול התייחסות לנושאים הבאים:
  • התנאים להעברת מידע לענן;
  • תהליכי האישור הפנימיים;
  • סמכויות ואחריות בעלי התפקידים השונים;
  • אמצעי פיקוח ובקרה ועוד.
• הליך פנימי לבחינת השימוש במחשוב ענן –  יש לבחון את התועלות הצפויות כתוצאה משימוש במערכות מחשוב ענן, הערכת הסיכונים הנובעים מהשימוש במחשוב ענן, בחינה של התאמת השימוש במחשוב ענן לדרישות הדין ועוד.
• הליך ניהול והערכת סיכונים – הליך ניהול והערכת הסיכונים נועד לבחון את רמת הסיכון הנובעת מהשימוש במערכות מחשוב ענן (נמוכה, בינונית, גבוהה) וכתוצאה מכך, לקבוע את הבקרות ואמצעי אבטחת המידע והגנת המידע שנדרש ליישם בכדי למנוע פרצות אבטחה. הממצאים שיופקו כתוצאה מניהול והערכת סיכונים יאושרו על ידי ממונה אבטחת המידע והגנת הסייבר, נציג הלשכה המשפטית וממונה הגנת הפרטיות.
• כלי עזר לניהול סיכונים – כלי עזר לניהול סיכונים מספק כלים להתמודדות עם חולשות מובנות של ארגוני הבריאות ומכיל רשימה של איומים פוטנציאליים שיש לשקול ולהיערך בהתאם כחלק מתהליך הערכת הסיכונים בארגון. הכלי מכיל שלושה גיליונות המכילים שאלות מנחות סגורות לאפיון המערכת המבוקשת. בהתאם לתשובות, ניתן לכל סיכון ציון, אשר משוקלל יחד עם הציונים של יתר הסיכונים הנבחנים לכדי ציון מסכם הקובע את רמת הסיכון של המערכת/המידע. רמת הסיכון נקבעת באופן הבא: רמת סיכון נמוכה – ציון הנמוך מ-40, רמת סיכון בינונית – ציון בין 75-40 ורמת סיכון גבוהה – ציון גבוה מ-80. בחלק האחרון של כלי ניהול הסיכונים מצורפים גיליונות משלימים שמטרתם לרכז תחת טופס אחד את כל המידע הנדרש עבור ועדת הענן לצורך בחינת הבקשה וקבלת החלטה בה.

בקרות להגברת אבטחת המידע בארגון:

ISO 27799 מפרט את הבקרות הנוספות הבאות (שאינן קיימות ב- ISO 27001) שיש להטמיע בארגון בכדי להגדיל את רמת ההגנה על הנתונים הרפואיים:

• התאמת מדיניות החברה למטרות, תהליכים, מערכות המידע בהם עובר מידע רפואי.
• הקמת פורום אבטחת מידע שיתכנס אחת לתקופה וקבועה וידון בשינויים בתהליכים ובמערכות המידע בחברה.
• סקירת סיכונים בשימוש באמצעים ניידים בהם זורם מידע רפואי אישי.
• הכשרה, מיון, וגיוס עובדים מהימנים להם ניתן יהיה לתת גישה למידע הרפואי.
• הגדרת גישה לנתונים הרפואיים של לקוחות/ מטופלי החברה.
• מתן אפשרות עיבוד של הנתונים רק למטרה שלשמם סופק.
• ניהול מסמכים בהתאם למדיניות ונהלים של מידע רפואי.
• הגדרת נהלים והסכמי סודיות עבור עובדים היכולים לגשת לנתונים אישיים.
• הגדרת נוהל לגיבוי נתונים רפואיים ושמירה על מהימנות, זמינות וסודיות המידע.
• נוהל לגריסה וגריטת מידע רפואי.

היום גם אתם יכולים להפוך לארגון המוסמך לתקן ISO 27799 בעזרת ליווי וייעוץ מקיף של יועצי נקסטפ. השאירו פרטים כאן או התקשרו ל- 03-9550222