תקן ISO 27799:2025 – אבטחת מידע בארגוני בריאות

ISO 27799:2025 הוא תקן בינלאומי בתחום אבטחת המידע בסביבת הבריאות, המספק בקרות אבטחת מידע והנחיות ליישומן בארגוני בריאות ובארגונים האחראים למידע בריאותי אישי.

התקן מבוסס על ISO/IEC 27002:2022 ומתאים את בקרות אבטחת המידע לצרכים, לסיכונים, למידע ולמערכות המאפיינים את תחום הבריאות.

מטרתו לסייע בהגנה על מידע בריאותי ובשמירה על סודיות, שלמות וזמינות המידע, תוך התייחסות למאפיינים הייחודיים של שירותי בריאות, מערכות רפואיות והטיפול במידע רגיש.

למי מתאים ISO 27799:2025?

התקן מיועד לארגונים מכל סוג וגודל המספקים שירותי בריאות וכן לארגונים המחזיקים או מעבדים מידע בריאותי אישי עבור אחרים. הוא חל על מידע ללא תלות בצורתו, באופן שמירתו או בדרך שבה הוא מועבר.

התקן רלוונטי, בין היתר, ל:

• בתי חולים, מרכזים רפואיים, מרפאות ומכונים;
• שירותי רפואה מרחוק ושירותי בריאות מקוונים;
• מעבדות, יחידות דימות ושירותי אבחון;
• ספקי תוכנה ומערכות מידע רפואיות;
• מערכות רשומה רפואית אלקטרונית;
• מכשור רפואי הכולל תוכנה;
• ספקי ענן ושירותי מחשוב המחזיקים או מעבדים מידע רפואי;
• ספקים ונותני שירותים הפועלים עבור ארגוני בריאות.

המהדורה הנוכחית מתייחסת במפורש גם למערכות ותוכנות ייעודיות לבריאות, למכשור רפואי הכולל תוכנה ולסביבות שבהן המידע נשמר ומעובד בענן.

מדוע נדרשת התייחסות ייחודית לאבטחת מידע רפואי?

מידע רפואי הוא מידע רגיש, ופגיעה בסודיותו, בשלמותו או בזמינותו עלולה להשפיע לא רק על פרטיות המטופל אלא גם על פעילותם של שירותי הבריאות ועל הטיפול הרפואי.

ארגוני בריאות פועלים בסביבה הכוללת מערכות מידע רבות, משתמשים בעלי תפקידים שונים, ספקים חיצוניים, מערכות רפואיות, שירותי ענן, ציוד ומכשור רפואי ומידע המועבר בין גורמים שונים.

לכן נדרש ניהול שיטתי של סיכוני אבטחת המידע והתאמת הבקרות לסביבה הרפואית.

אילו נושאים נבחנים במסגרת ISO 27799?

יישום ISO 27799 כולל בחינה והתאמה של בקרות אבטחת המידע לפעילות הארגון ולסיכונים הרלוונטיים.

הנושאים עשויים לכלול, בין היתר:

• מדיניות, תפקידים ואחריות בתחום אבטחת המידע;
• זיהוי, הערכה וטיפול בסיכוני אבטחת מידע;
• ניהול מידע ונכסי מידע רפואיים;
• ניהול זהויות, משתמשים והרשאות;
• הגנה על מידע בריאותי אישי;
• אבטחת מערכות מידע רפואיות;
• אבטחת מכשור רפואי הכולל תוכנה, כאשר רלוונטי;
• אבטחת שירותי ענן ושירותים מרחוק;
• ניהול ספקים ונותני שירותים;
• רישום, ניטור ובקרה;
• טיפול באירועי אבטחת מידע;
• גיבוי והתאוששות;
• המשכיות הפעילות;
• אבטחה פיזית וסביבתית;
• מודעות והדרכת עובדים;
• שמירה, העברה ומחיקה מבוקרת של מידע.

הקשר בין ISO 27799 לבין ISO/IEC 27001

חשוב להבחין בין שני התקנים.

ISO/IEC 27001:2022 מגדיר את הדרישות להקמה, ליישום, לתחזוקה ולשיפור מתמיד של מערכת ניהול אבטחת מידע – ISMS.

ISO 27799:2025, לעומת זאת, מספק בקרות אבטחת מידע והנחיות ליישומן בסביבת הבריאות והוא מבוסס על ISO/IEC 27002:2022.

לכן ISO 27799 אינו מחליף את ISO/IEC 27001. ניתן להשתמש בו יחד עם מערכת ניהול אבטחת המידע כדי להתאים את ניהול אבטחת המידע לסיכונים ולמאפיינים הייחודיים של תחום הבריאות.

הערכת סיכונים והתאמת הבקרות

יישום נכון של אבטחת מידע בסביבת הבריאות מתחיל בהבנת המידע, המערכות, התהליכים והסיכונים של הארגון.

יש לזהות את המידע הרפואי ואת המערכות והתהליכים שבאמצעותם הוא נאסף, נשמר, מעובד, מועבר ונגיש למשתמשים.

בהתאם לסיכונים ולדרישות הרלוונטיות, נקבעות הבקרות הנדרשות ומיושמות באופן המתאים לפעילות הארגון.

הבקרה אינה מסתיימת בכתיבת נוהל. יש לוודא שהבקרות מיושמות בפועל ושקיימות ראיות מתאימות ליישומן.

מערכות רפואיות, ענן וספקים

המידע שעליו חל ISO 27799 יכול להישמר ולעבור בסביבות שונות, לרבות במערכות מקומיות ובענן. התקן מתייחס גם למגוון רחב של סביבות שבהן ניתן שירות רפואי, כולל שירות מרחוק או שירות וירטואלי.

לכן יש לבחון, בהתאם לצורך, גם את שרשרת הספקים והשירותים החיצוניים המעורבים בטיפול במידע.

הבחינה יכולה לכלול, בין היתר, הרשאות גישה למידע, העברת מידע, שירותי ענן, אחריות הספק, דרישות אבטחת מידע, אירועי אבטחה, המשכיות השירות וניהול שינויים.

הכנה ויישום של ISO 27799:2025

תהליך ההיערכות מותאם לאופי הארגון, למידע הבריאותי שהוא מחזיק או מעבד, למערכות המידע, לספקים ולסיכונים הרלוונטיים.

במסגרת הליווי אני מבצעת, בהתאם לצורך, בין היתר:

• הגדרת תחום הפעילות והמידע הרלוונטיים;
• מיפוי מידע רפואי, מערכות, תהליכים וספקים;
• ביצוע סקר פערים;
• הערכת סיכוני אבטחת מידע;
• קביעת והתאמת הבקרות הנדרשות;
• כתיבה ועדכון של מדיניות, נהלים ומידע מתועד;
• הגדרת הרשאות ובקרות אבטחת מידע;
• הכנת דוחות וכלי בקרה;
• ליווי ביישום ובהטמעת הבקרות;
• הדרכת עובדים ובעלי תפקידים;
• בדיקת ראיות ליישום;
• ביצוע מבדק פנימי;
• טיפול בממצאים ובפעולות מתקנות;
• הכנת הארגון למבדקים ולדרישות הרלוונטיות החלות עליו.

ליווי מקצועי לארגוני בריאות

אני מעניקה ליווי מעשי לארגוני בריאות ולארגונים המחזיקים, מעבדים או מנהלים מידע רפואי.

הליווי אינו מסתכם בייעוץ או בכתיבת נהלים. הוא כולל עבודה עם הארגון לצורך מיפוי התהליכים והמערכות, הערכת הסיכונים, התאמת הבקרות, הכנת המידע המתועד וכלי הבקרה וליווי יישום הדרישות בפועל.

הרקע שלי כמנתחת מערכות מאפשר לבחון את הקשרים בין תהליכים, מערכות מידע, זרימת מידע, ממשקים, הרשאות, ספקים וסיכוני אבטחת מידע – היבטים משמעותיים במיוחד בסביבה שבה מידע רפואי עובר בין מערכות ובין גורמים שונים.

מעוניינים להיערך ליישום ISO 27799:2025?

אני מבצעת הכנה וליווי מעשי ליישום דרישות אבטחת המידע הרלוונטיות לארגון, משלב בדיקת המצב הקיים ומיפוי המידע והמערכות, דרך הערכת הסיכונים והתאמת הבקרות ועד ליישום, מבדק פנימי והיערכות למבדקים הרלוונטיים.

ליצירת קשר בטלפון או ב־WhatsApp:052-540-0566