אבטחת ופרטיות המידע הרפואי בארגונים לפי תקן ISO 27799

למה צריך הסמכה לתקן ISO 27799?

מידע רפואי אישי רב ומגוון אצור במאגרי המידע העצומים של ארגוני רפואה, מוסדות רפואה, מרפאות, בתי חולים חברות תרופות וכו’. מידע זה נחשב כמידע רגיש במיוחד היות ומכיל נתונים אישיים ורפואיים, אשר חשיפתם לגורמים לא רלוונטיים/אינטרסנטיים, טומן בחובו סיכון רב, ולרוב בלתי הפיך ולא רק מבחינה כלכלית.

חשוב לזכור כי סביבת השימוש במידע רפואי זה, כגון בתי חולים ומרפאות, נחשבת כסביבה עמוסת עובדים, משתמשים ומבקרים מן החוץ, דבר אשר מעלה את ההסתברות לחשיפת המידע, בין אם באופן חלקי או מלא. מי מאיתנו לא ראה תיקים רפואיים של חולים אחרים כאשר ביקר בחדר המיון?

מידע אשר זלג- לא ניתן יהיה להשיבו והוא עלול להגיע לידי גורמים אשר במקרה הטוב עשויים לעשות בו שימוש לרעה כגון מעבידים, חברות ביטוח, חברות המשווקות תרופות, מכשור רפואי, טיפולים למיניהם או תוספי תזונה. חלקם יוכלו להשתמש במידע זה לצרכי אפליה וסינון מועמדים/לקוחות וחלקם יעשו במידע זה שימוש מסחרי של ממש.

כמו כן, קיים צורך חשוב ואפילו קריטי לשתף מידע רפואי בין ארגונים, סניפים או מחלקות של מוסדות או מתקנים רפואיים הן ברמה הארצית והן ברמה הגלובלית. נפח הנתונים האדיר הקיים בנוגע לפציינטים במוסדות רפואה הוא נכס Big Data לכל דבר ועניין וככזה, ניתוח הנתונים הללו יכול לאפשר קבלת תוצאות מדעיות וקליניות מעניינות מאוד.

לשם כך, יש צורך לשתף את המידע עם צדדים שלישיים על מנת לעבד אותו לצרכים שונים, דבר ששוב מעלה באופן משמעותי את הסיכון לחשיפתו. חשוב גם שהמידע יהיה בעל רמת אמינות ושלמות גבוהות (data integrity). על המידע הרפואי להיות מוגן משינויים בלתי רצויים, מחיקה או עיוות נתונים שעלולים לפגוע במטופל או בהחלטות הרפואיות המתקבלות בהסתמך על נתונים אלה, וזאת באופן בלתי הפיך שאף יכול להגיע לסכנת חיים של ממש.

מי צריך הסמכה לתקן ISO 27799?

מידע רפואי אישי (PHI) מהווה נושא רגיש מאוד, שחובה על ארגוני רפואה כגון בתי חולים, מרפאות בכל העולם לתת את דעתם עליו ולהשיג את ההסמכה עבורו. מידע רפואי יכול להיות כל דבר שקשור למצב הפיזי או הנפשי של האדם, או לשירותי הבריאות המסופקים לו. זה יכול להיות אפילו תאריכי ביקור במרפאה.

חשוב לציין כי זהו נושא אקוטי שרלוונטי לא רק לבתי חולים, מרפאות ומוסדות בריאות אחרים, אלא גם לכל חברה אשר מספקת שירותי מידע מסוגים שונים לארגונים רפואיים כמו שירותי אחסון, עיבוד מידע, תשתיות, תוכנה וכו. למשל חברת המפתחת/מספקת תוכנה רפואית שמעבדת מידע רפואי/אישי ככלי תומך לתהליכי קבלת החלטות רפואיות (SaMD- Software as Medical Device).

לפיכך, מי שצריך הסמכה לתקן ה- ISO 27799 הוא לכל הפחות ארגוני ניהול שירותי רפואה, מרפאות, בתי חולים, ספקי שירותי תוכנה, פארמה וציוד רפואי וכמובן חברות המפתחות ומוכרות תוכנה רפואית, מוצרי בריאות דיגיטלית ושירותי E-Health העושים שימוש במאגרי נתונים של חולים ומטופלים.

על חברות המאחסנות, מנתחות או עושות שימוש במידע אישי רפואי, המתעתדות למכור מוצריהן בשוק האמריקאי חלה דרישה לציית לחוק המקומי, הוא – HIPAA או בשמו המלא- Health Insurance Portability and Accountability Act. חוק זה הוא ארוך מאוד, מורכב מאוד ופעמים רבות לא ברור.

על חברות המאחסנות, מנתחות או עושות שימוש במידע אישי רפואי, המתעתדות למכור מוצריהן בשוק האירופי, לציית לרגולציית ה-GDPR המגינה על מידע אישי מזהה של אינדיבידואל (PII).

לאור כל האמור לעיל, נוצר צורך הכרחי ומיידי בעדכון של הסטנדרט (שהוא למעשה מתווה עבודה כוללני), על מנת שיותאם גם לדרישות ההגנה על מידע רפואי אישי. צורך זה למעשה הוא זה שהוביל לפיתוח ההסמכה לתקן 27799 ISO בשנת 2016 וכן תקן ISO 27701 משנת 2019.

עדכון תקן ISO 27799

היוזמה לעדכון התקן המיועד להגנה על מידע רפואי אישי, הגיעה מישראל מאת הממונה על הגנת המידע בשירותי בריאות כללית. ארגוני הרפואה בישראל מצאו כי לתקן זה חשיבות רבה וכפועל יוצא מכך, מוסדות רפואיים בארץ היו חלוצים בתחום זה. עדכון התקן אינו דבר של מה בכך. מדובר בהליך רגולטורי בינלאומי מורכב, בו מעורבים כל הגופים בתחום הבריאות והרפואה בעולם כמו חברות תרופות, חברות ביטוח וחברות לציוד ומכשור רפואי.

תקן ISO 27799 וייחודו בתחום הבריאות

תקן 27799 ISO מתבסס על הניסיון שנצבר במדינות שונות לאורך השנים. הוא נבנה על סמך המאמצים הלאומיים שנעשו במדינות רבות ובארגוני רפואה מהמובילים בעולם, בכל הנוגע לטיפול בביטחונו של מידע רפואי אישי, חסיונו ופרטיותו. התקן עוסק בשמירת כל מידע רפואי אישי, שניתן לזהות לגביו מיהו “מושא המידע”.

תקן 27799 ISO מגדיר את נכסי המידע של הארגון ותהליכי הציות, כדי לוודא עמידה של הארגון בכללי התקן, וקובע כללים להערכת סיכונים, ניהול וטיפול בהם. התקן מדגיש את החשיבות של מחויבות הנהלת הארגון לכללי התקן, לשם הצלחת הטמעתו בארגון.

התקן מציין כי אבטחת המידע הרפואי, היא מערכת כוללת על פיה יש לשמור על סודיות, שלמות, וזמינות של המידע וכן על פרטיותו (חסיונו). התקן נותן כלים להתמודדות עם חולשות מובנות של ארגוני הבריאות.