ISO 27799:2025 – אבטחת מידע במערכות בריאות והגנה על מידע רפואי

מהו תקן ISO 27799:2025?

ISO 27799:2025 הוא תקן בינלאומי בתחום אבטחת המידע במערכות בריאות. התקן מספק בקרות אבטחת מידע והנחיות ליישומן בסביבת הבריאות, במטרה להגן על מידע בריאותי ועל המערכות שבהן הוא נשמר, מעובד ומועבר.

התקן מבוסס על ISO/IEC 27002:2022 ומתאים לארגוני בריאות וכן לארגונים אחרים המחזיקים או מנהלים מידע בריאותי אישי.

מידע רפואי הוא מידע רגיש במיוחד, ולכן נדרשת התייחסות שיטתית להגנה על סודיות, שלמות וזמינות המידע.

למי מתאים ISO 27799?

התקן רלוונטי לארגונים מסוגים ובגדלים שונים המספקים שירותי בריאות או מחזיקים מידע בריאותי אישי.

לדוגמה:

• בתי חולים ומרפאות.
• מעבדות ומכונים רפואיים.
• ספקי שירותים למערכת הבריאות.
• ארגונים המחזיקים או מעבדים מידע בריאותי.
• שירותי רפואה מרחוק.
• גופים המפעילים מערכות ומכשור הכוללים מידע רפואי.

התקן חל על מידע בצורות שונות, לרבות מידע דיגיטלי, מסמכים, הקלטות, תמונות ומידע רפואי המועבר או נשמר באמצעים שונים.

מערכות וטכנולוגיות בסביבת הבריאות

ISO 27799:2025 אינו מתייחס רק למערכות מחשוב כלליות.

תחולתו כוללת גם מערכות וטכנולוגיות ייעודיות לסביבת הבריאות, כגון מערכות רשומה רפואית אלקטרונית, מערכות מידע רפואיות ומכשור רפואי הכולל תוכנה.

המידע עשוי להישמר ולעבור במערכות הארגון, בסביבות ענן ובאמצעות שירותים ומערכות חיצוניות, ולכן יש לבחון את הסיכונים ואת אמצעי ההגנה לאורך כל תהליך הטיפול במידע.

ניהול סיכוני אבטחת מידע רפואי

יישום בקרות אבטחת המידע צריך להיות מותאם לסביבת הפעילות ולסיכונים הרלוונטיים לארגון ולמידע הבריאותי שבאחריותו.

במסגרת ההיערכות נבחנים, בין היתר, המידע והמערכות הרלוונטיות, הרשאות וגישה למידע, תהליכי העברת מידע, ספקים ושירותים חיצוניים, סביבות ענן, זמינות המערכות והגנה מפני גישה או שינוי בלתי מורשים.

בהתאם לסיכונים שנמצאו נקבעות הבקרות ואמצעי ההגנה הנדרשים.

הקשר בין ISO 27799 לבין ISO/IEC 27002

ISO 27799:2025 מבוסס על בקרות אבטחת המידע של ISO/IEC 27002:2022 ומספק הנחיות ליישומן בסביבת הבריאות.

התקן מתייחס לבקרות ארגוניות, בקרות הקשורות לאנשים, בקרות פיזיות ובקרות טכנולוגיות, תוך התייחסות למאפיינים ולסיכונים של מידע ומערכות בתחום הבריאות.

כך ניתן להתאים את עקרונות אבטחת המידע לסביבה שבה קיימים מידע רפואי רגיש, מערכות רפואיות, מכשור רפואי, ספקים ושירותים דיגיטליים.

ISO 27799:2025 והגרסה הקודמת

גרסת ISO 27799:2025 היא המהדורה העדכנית של התקן והיא מחליפה את ISO 27799:2016.

לכן ארגונים שעבדו בהתאם לגרסה הקודמת צריכים לבחון את השינויים ואת ההתאמות הנדרשות בהתאם למהדורת 2025.

הכנה והיערכות ל־ISO 27799:2025

במסגרת ההיערכות ל־ISO 27799:2025, אני מבצעת יחד עם הארגון את בחינת המצב הקיים והפערים, מיפוי והערכת סיכוני אבטחת המידע, התאמת הבקרות לסביבת הבריאות, הכנת נהלים ומידע מתועד, ליווי ביישום הדרישות וביצוע מבדק פנימי.

כאשר בארגון קיימת גם מערכת ניהול אבטחת מידע לפי ISO/IEC 27001:2022, ניתן לשלב את העבודה וליצור מערכת ניהול ובקרה מתואמת, תוך התייחסות לדרישות ולסיכונים הייחודיים למידע ולמערכות בתחום הבריאות.