ISO 27799 | תקן לניהול אבטחת מידע רפואי
יישום והטמעת תקן ISO 27799 - ניהול אבטחת מידע רפואי
הצעד הראשון שלך באבטחת מידע רפואי
השאירו פרטים כאן לקבלת מידע טלפוני אודות תקן ISO 27799 או התקשרו ל- 03-9550222
הגנה על מידע במערכות ממוחשבות במערכת הבריאות:
לפי חוזר המנהל הכללי, החל מתאריך 1.1.2014 מוסדות הרפואה במדינת ישראל מחויבים להיות מוסמכים לתקן אבטחת מידע למערכות בריאות – ISO 27799.
מוסדות רפואיים אשר לא יעמדו בתקן זה, לא יוכלו לקבל רישיון למוסד רפואי ולא יוכלו לחדש את רישיונם.
החל מתאריך 1.1.2016 ספקים המספקים שירותים למוסדות בריאות מחויבים לעבור הסמכה לתקן בינלאומי לאבטחת מידע – ISO 27001 או לתקן אבטחת מידע למערכות בריאות – ISO 27799.
ספקים אשר לא יוסמכו לתקנים אלו, לא יוכלו לבצע התקשרות עם מוסדות הבריאות. עמידה בתקנים אלו ייבדקו במסגרת הבקרות שעורך משרד הבריאות.
את החוזר המלא תוכלו לקרוא כאן.
מהו תקן ISO 27799?
תקן ISO 27799, הינו תקן בינלאומי לאבטחת מערכות מידע בתחום הבריאות. התקן מגדיר כללי הגנה על מידע רפואי אישי האגור במערכות החברה.
ISO 27799 פורסם בסוף שנת 2010 ומהווה תוספת מחמירה לתקן ISO 27001 – תקן לאבטחת המידע בארגון.
כל מה שצריך לדעת אודות אבטחת המידע בארגון
לקריאת המתודולוגיה של ISO 27001 (מומלץ)
על מי חל התקן?
ISO 27799 חל על ארגונים רפואיים או ארגונים המחזיקים מידע רפואי מכל הסוגים והגדלים, לרבות חברות פרטיות וציבוריות, ישויות ממשלתיות וארגונים ללא כוונת רווח, המספקים ללקוחותיהם שירותי עיבוד מידע רפואי.
איומיים ייחודיים בתחום אבטחת המידע במערכות הבריאות:
- מניעת שירות (Denial Of Service) – פגיעה ישירה במערכות המידע הרפואיות המספקות חלק שירותי הרפואה למטופלים בשגרה ובחירום.
- גניבת מידע – פריצה למערכות המידע וגניבת מידע רפואי אישי אודות מטופלים.
- שיבוש מידע – גישה לנתוני המטופלים והאפשרות לשינוי תוצאות הבדיקות והנתונים בתיק המטופל יכול לגרור להחלטות רפואיות שגויות.
החמרות בהגנת המידע הרפואי והאישי בארגוני הבריאות על פי ISO 27799:
- מערכות ותשתיות המידע, כגון: מערכות הפעלה, רכיבי תקשורת, בסיסי נתונים יאובטחו בהתבסס לנהלים.
- כלים וטכנולוגיות המאושרים לשימוש יתעדכנו על ידי ממונה לאבטחת המידע במשרד הבריאות.
- מדיה המכילה מידע רפואי נדרשת להיות מוגנת באמצעות הצפנת מידע/הגנה פיזית.
- גישה למידע רפואי תחוייב באמצעות חובת הזדהות ומתן הרשאות מתאימות לבעלי התפקידים.
למאמרים על תקנות הגנת הפרטיות
למאמרים על ISO 27001
למאמרים על רגולצית הגנת הפרטיות האירופאית GDPR
מדיניות מחשוב ענן במערכת הבריאות:
מחשוב ענן מאפשר למשתמש לצרוך שירותי מחשוב מרחוק באמצעות רשת האינטרנט או קו תקשורת ייעודי.
בשנים האחרונות ישנה עליה בשימוש בשירותי ענן בתעשיות רבות המאפשרת לארגוני הבריאות לעשות שימוש בטכנולוגיות מתקדמות שיכולות לסייע להם להתמודד עם האתגרים התשתיתיים, הארגוניים, הטכנולוגיים והכלכליים הניצבים בפניהם, ומעודד את חיזוק היכולות הטכנולוגיות של ארגוני הבריאות כמרכיב חשוב בקידום תחום הבריאות הדיגיטלית.
- מדיניות ענן ארגונית – הגדרת מדיניות ענן ארגונית ואישורה על ידי הנהלת הארגון. יש לקיים דיון תקופתי ולעדכנה בהתאם לשינויים בארגון.
מדיניות הארגון תכלול התייחסות לנושאים הבאים:
-
- התנאים להעברת מידע לענן;
- תהליכי האישור הפנימיים;
- סמכויות ואחריות בעלי התפקידים השונים;
- אמצעי פיקוח ובקרה ועוד.
- הליך פנימי לבחינת השימוש במחשוב ענן – יש לבחון את התועלות הצפויות כתוצאה משימוש במערכות מחשוב ענן, הערכת הסיכונים הנובעים מהשימוש במחשוב ענן, בחינה של התאמת השימוש במחשוב ענן לדרישות הדין ועוד.
- הליך ניהול והערכת סיכונים – הליך ניהול והערכת הסיכונים נועד לבחון את רמת הסיכון הנובעת מהשימוש במערכות מחשוב ענן (נמוכה, בינונית, גבוהה) וכתוצאה מכך, לקבוע את הבקרות ואמצעי אבטחת המידע והגנת המידע שנדרש ליישם בכדי למנוע פרצות אבטחה. הממצאים שיופקו כתוצאה מניהול והערכת סיכונים יאושרו על ידי ממונה אבטחת המידע והגנת הסייבר, נציג הלשכה המשפטית וממונה הגנת הפרטיות.
- כלי עזר לניהול סיכונים – כלי עזר לניהול סיכונים מספק כלים להתמודדות עם חולשות מובנות של ארגוני הבריאות ומכיל רשימה של איומים פוטנציאליים שיש לשקול ולהיערך בהתאם כחלק מתהליך הערכת הסיכונים בארגון.
הכלי מכיל שלושה גיליונות המכילים שאלות מנחות סגורות לאפיון המערכת המבוקשת. בהתאם לתשובות, ניתן לכל סיכון ציון, אשר משוקלל יחד עם הציונים של יתר הסיכונים הנבחנים לכדי ציון מסכם הקובע את רמת הסיכון של המערכת/המידע. רמת הסיכון נקבעת באופן הבא: רמת סיכון נמוכה – ציון הנמוך מ-40, רמת סיכון בינונית – ציון בין 75-40 ורמת סיכון גבוהה – ציון גבוה מ-80.
בחלק האחרון של כלי ניהול הסיכונים מצורפים גיליונות משלימים שמטרתם לרכז תחת טופס אחד את כל המידע הנדרש עבור ועדת הענן לצורך בחינת הבקשה וקבלת החלטה בה.
בקרות להגברת אבטחת המידע בארגון:
ISO 27799 מפרט את הבקרות הנוספות הבאות (שאינן קיימות ב- ISO 27001) שיש להטמיע בארגון בכדי להגדיל את רמת ההגנה על הנתונים הרפואיים:
- התאמת מדיניות החברה למטרות, תהליכים, מערכות המידע בהם עובר מידע רפואי.
- הקמת פורום אבטחת מידע שיתכנס אחת לתקופה וקבועה וידון בשינויים בתהליכים ובמערכות המידע בחברה.
- סקירת סיכונים בשימוש באמצעים ניידים בהם זורם מידע רפואי אישי.
- הכשרה, מיון, וגיוס עובדים מהימנים להם ניתן יהיה לתת גישה למידע הרפואי.
- הגדרת גישה לנתונים הרפואיים של לקוחות/ מטופלי החברה.
- מתן אפשרות עיבוד של הנתונים רק למטרה שלשמם סופק.
- ניהול מסמכים בהתאם למדיניות ונהלים של מידע רפואי.
- הגדרת נהלים והסכמי סודיות עבור עובדים היכולים לגשת לנתונים אישיים.
- הגדרת נוהל לגיבוי נתונים רפואיים ושמירה על מהימנות, זמינות וסודיות המידע.
- נוהל לגריסה וגריטת מידע רפואי.
מהם היתרונות בהטמעת תקן 27799 ISO?
- ביטחון לקוחות מוגבר – במידה והחברה עומדת בתקן ISO 27799 אזי ששמירת מידע רפואי בראש מעינייה ומבצעת סקירה תקופתית לעמידה בהגנות שהגדירה החברה.
- דרישת לקוח/גוף ציבורי – עמידה בתקן מאפשרת לפנות לשווקים בינלאומיים ולעבוד עם משרדי הממשלה והחברות הגדולות במשק.
- דרישות חוק – עצם העמידה בדרישות החוקים, תקנות והרגולציה בעיר בעיבוד מידע רפואי, מעמידה את הספק במיצוי יכולות אבטחת המידע שלו וגורמת לשינוי טכני חשוב שבא לידי ביטוי ביצירת שחזורי נתונים, גיבוי חכם והצפנה.
- הימנעות מפרצות אבטחה – בקרה על אי זליגת המידע, אי שימוש במאגרי מידע לצורכי שיווק והקפדה על פרטיות מאגרי המידע המאוחסנים מונעות זליגת מידע רגיש של הארגון ומצמצמות הוצאות על נזקים הקשורים באירועי אבטחה, איבוד מידע או אי זמינות שלו.
תהליך השיפור המתמיד PDCA – Plan-Do-Check-Act:
בסוף התהליך תקבלו גם:
- סקר סיכונים מקיף לאבטחת המידע הרפואי שלכם
- תכנית המשכיות עסקית
- מנגנון בקרה מובנה ומסודר לניהול אבטחת מידע רפואי
היתרונות שלנו
הטמעת תקן קלה ופשוטה
ליווי מקצועי עם יועץ מנוסה
100% הצלחה במבדק ההתעדה
מעל 15 שנות נסיון בתקני אבטחת מידע
מעוניינים לקבל מידע נוסף אודות תקן ISO 27799?
תהליך הטמעת תקן ISO 27799
-
1
פגישת היכרות והבנת התהליכים
אבחון החברה, היכרות ואפיון תכנית עבודה ולוחות זמנים לפרויקט. -
2
כתיבת הנהלים והוראות העבודה
במילים פשוטות: לוקחים את כל התהליכים שקיימים אצלכם היום בעל פה, והופכים אותם לתורה שבכתב. -
3
הטמעת דרישות התקן
נקסטפ מבצעת עבורכם סקר סיכונים לאבטחת המידע, בניית תכנית המשכיות עסקית, הדרכת אבטחת מידע, בקרת איכות לספקים, תיעוד תלונות לקוח וחריגות ועוד. -
4
הכנה למבדק חיצוני שכוללת סקר הנהלה ומבדק פנימי.
ההכנה כוללת ביצוע והכנת סקר הנהלה וביצוע מבדקים פנימיים בכל הארגון, מיפוי הפערים החסרים ותיקונים לפני המבדק. -
5
מבדק חיצוני ע"י מכון ההתעדה
המבדק החיצוני ייערך ע"י גוף בעל הסמכה לנושא ISO 27799, מתחילתו ועד סופו ייערך המבדק בנוכחות מלאה של יועץ Nextep, כולל מענה לשאלות הסוקרים והשלמות מקצועיות ומענה לפעולות המתקנות מהמבדק. -
6
קבלת תעודות ISO 27799
הנפקת תעודות הכוללת את תחום פעילות החברה, ב-2 שפות (אנגלית ועברית).
מוצרים משלימים לתקן זה
אבטחת מידע והגנת הפרטיות
בריאות, מוסדות רפואיים ובתי חולים
האם ניתן לקבל הסמכת GDPR?
החובות שנקבעו במסגרת ה - GDPR
GDPR - רגולציית הגנת הפרטיות האירופאית - כל מה שצריך לדעת
המתודולוגיה של ISO 27001
CCPA – חוק הגנת פרטיות הצרכן בקליפורניה
ההבדל בין Data Processor ו-Data Controller
הרשות להגנת הפרטיות | מחלקת אכיפה
החובות החלות על בעל מאגר מידע
אבטחת מידע בארגון - כל מה שצריך לדעת
SOC2
ניהול אבטחת שרשרת האספקה
הרשות לניירות ערך: גילוי בנושא סייבר
סקר תהליך
סקר ספק
ביצוע מבדק חדירה – מבדק חוסן – PT) Penetration Test)
CISO as a service - ממונה אבטחת מידע
DPR – Data Protection Representative - נציג אירופאי
DPO – Data Protection Officer - קצין אבטחת מידע
לקוחות מספרים
חברת Nextep ביצעה עבודה מקצועית ויעילה, כל זאת בתיאום עם הנהלת הארגון. העמידה בלוחות הזמנים שהוגדרו לפרויקט הייתה מדויקת להפליא. אנו מודים ליועצי Nextep על היוזמה לשיפור מערך השירות במנרב הנדסה.