ISO 27799 – תקן אבטחת מידע רפואי בארגון
תקן ייעודי לבריאות שמתרגם בקרות אבטחת מידע להגנה ישימה על מידע קליני ואישי
מהו ISO 27799?
ISO 27799 הוא תקן אבטחת מידע בתחום הבריאות ומהווה סטאנדרט אבטחת מידע.
ISO 27799 הוא תקן בתחום ה Health Informatics שמספק בקרות והנחיות לניהול אבטחת מידע בארגוני בריאות ובגופים שמטפלים במידע בריאותי.
התקן מוגדר כתקן נלווה ל ISO/IEC 27002, והוא נועד לסייע בבחירה, יישום וניהול של בקרות, בהתאם לסביבת הסיכון של הארגון. בגרסה העדכנית, התקן מבוסס על ISO/IEC 27002:2022 ומציג גם הנחיות יישום ייעודיות לתחום הבריאות.
ISO 27799 הוא תקן ייעודי לבריאות שמרחיב את יישום ISO/IEC 27002 לעולמות אבטחת מידע בתחום הרפואי.
עבור מי ISO 27799 רלוונטי?
לא רק בתי חולים, גם ספקים ונותני שירות שנוגעים במידע בריאותי נדרשים לתקן כסטנדרט בתעשייה
ISO 27799 מתאים לארגוני בריאות, לקופות, למכוני אבחון, לרשתות מרפאות ולגופים המטפלים במידע בריאותי אישי,
וכן לספקי טכנולוגיה ושירות שמחזיקים או מעבדים מידע רפואי כחלק מהשירות.
התקן מסייע לייצר שפה אחידה של בקרות, אחריות ותיעוד, במיוחד כשעובדים עם מערכות קליניות, פתרונות SaaS ושרשראות אספקה מורכבות.
המרכיבים המרכזיים של ISO 27799
חמשת העקרונות המרכזיים של התקן:
- Foundation (יסודות התקן): ISO 27799 משמש כתקן משלים (Companion Standard) ל-ISO/IEC 27002 ומותאם ל-Health Informatics, תוך מתן הנחיות יישום מעשיות (Implementation Guidance) לבקרות אבטחת מידע.
- Scope (היקף התחולה): התקן חל על כל סוגי ה-Health Information, כולל מידע דיגיטלי, מסמכים מודפסים, תמונות והקלטות.
- Goal (מטרת התקן): הגנה על נתוני מטופלים מפני Security Breaches, גישה לא מורשית (Unauthorized Access) ומתקפות סייבר, תוך תמיכה בעמידה ברגולציה כגון GDPR (Regulatory Compliance).
- Risk Management (ניהול סיכונים): מיקוד בהערכה וניהול סיכונים (Assessing and Managing Risks) סביב אבטחת מידע רפואי, כדי לתעדף בקרות ולהפחית חשיפה.
- Key Requirements (דרישות מרכזיות): הקמת Security Policies, הקשחת סביבות IT, ניהול Access Rights, וביצוע Internal Audits כחלק ממנגנון בקרה ושיפור מתמיד.
מדוע זה יכול ליות חשוב עסקית לכם עסקית?
אמון, רציפות טיפול, וצמצום סיכון שמגיע עם מערכות קריטיות ומידע רגיש.
יישום ISO 27799 מסייע לארגון לצמצם סיכוני דליפה, שיבוש ושימוש לא מורשה במידע רפואי, לשפר מוכנות לאירועי סייבר, ולהציג ללקוחות ולשותפים תשתית בקרה עקבית.
עבור גופים רפואיים, זה משפיע ישירות גם על רציפות שירות, זמינות מערכות קריטיות, ויכולת עבודה בטוחה עם ספקים חיצוניים.
עבור גופים טכנולוגיים וספקים התקן מהווה תנאי התקשרות.
מהו הקשר בין ISO 27799 ל ISO 27001 ו ISO 27002
תקן ייעודי לבריאות שמספק בקרות והנחיות יישום להגנה על מידע רפואי, על בסיס ISO/IEC 27002.
- ISO 27001 מספק את מסגרת הניהול
- ISO 27002 מספק הנחיות ופרקטיקות מומלצות Best Practices ושיטות הבקרות
- ISO 27799 מוסיף שכבת בריאות ייעודית
בארגונים רבים ISO 27001 משמש בסיס למערכת ניהול אבטחת מידע (ISMS), בעוד ISO 27002 מספק ספר בקרות והנחיות יישום.
ISO 27799 משתלב מעליהם ומתרגם את בקרות 27002 לעולם הבריאות, עם דגשים שמותאמים לטיפול במידע בריאותי ולסיכונים אופייניים בסביבות קליניות ותפעוליות.
כך ניתן לבנות תכנית אחת שמשרתת גם ניהול ISMS, גם מוכנות לביקורות לקוח, וגם דרישות ייעודיות במגזר הבריאות.
ISO 27799 הוא תקן שמתרגם את עולם בקרות אבטחת המידע לסביבה רפואית, ומספק לארגוני בריאות סט בקרות והנחיות יישום שמותאמות למאפייני מידע בריאותי ולסיכונים אופייניים במערכות קליניות ותפעוליות. הוא נועד לסייע בבחירה, יישום וניהול בקרות תוך התייחסות לסביבת הסיכון של הארגון, והוא מוגדר כמבוסס על ISO/IEC 27002, עם דגשים והרחבות לעולמות הבריאות.
בנוסף, התקן יכול לשמש ארגוני בריאות בקביעת ויישום בקרות בתוך ISMS שעומד ב ISO/IEC 27001, כחלק מתהליך שיטתי של ניהול סיכונים, יישום בקרות, תיעוד ושיפור מתמיד.
בפועל, Key Aspects של ISO 27799 מתבטאים באותם תחומי ליבה שמוכרים מעולם 27002, רק עם התאמה למערכות, תהליכים וספקים בתחום הבריאות:
- מדיניות אבטחת מידע (Information Security Policies)
- ממשל וארגון אבטחת מידע (Organization of Information Security)
- אבטחת משאבי אנוש (Human Resource Security)
- ניהול נכסי מידע וסיווג (Asset Management)
- בקרות גישה והרשאות (Access Control)
- קריפטוגרפיה והצפנה (Cryptography)
- אבטחה פיזית וסביבתית (Physical and Environmental Security)
- אבטחה תפעולית (Operations Security)
- אבטחת תקשורת ורשת (Communications Security)
- אבטחה ברכש, פיתוח ותחזוקת מערכות (System Acquisition, Development and Maintenance)
- ניהול ספקים וצדדים שלישיים (Supplier Relationships)
- ניהול אירועי אבטחת מידע (Information Security Incident Management)
- המשכיות עסקית והתאוששות (Business Continuity Management)
- ציות ועמידה בדרישות (Compliance)
מה בודקים ומיישמים במסגרת ISO 27799
המיקוד הוא בשליטה במידע רפואי, זהויות והרשאות, תפעול מאובטח וניהול ספקים.
יש לבסס את הפרויקט על מיפוי סיכונים ונכסי מידע, ולאחר מכן מיישמים בקרות רלוונטיות לתחום הבריאות, לדוגמה:
- מיפוי זרימות מידע רפואי בין מערכות, יחידות, ספקים ושירותי ענן
- סיווג מידע והגדרת כללי טיפול במידע רפואי לפי רגישות ושימוש
- הרשאות וזהויות: תפקידים, גישה מינימלית, הפרדת תפקידים, חשבונות שירות
- ניהול ספקים והתקשרויות, כולל דרישות אבטחה ובקרות תפעוליות מול צד ג’
- ניטור ולוגים, טיפול באירועים ותהליכי תגובה מתואמים
- הקשחות, גיבויים, התאוששות, והגנות זמינות סביב מערכות קריטיות
- הדרכות והטמעת נהלים לצוותים רלוונטיים בארגון
איך נראה תהליך ליווי בהסמכה ל-ISO 27799?
תהליך מקצה לקצה שמסתיים בהסמכה, בתשתית ישימה ובתיק תוצרים שניתן לבקר.
- Scoping והגדרת גבולות: מערכות, תהליכים, סביבות, ספקים ונכסי מידע רפואי
- Gap Analysis מול בקרות ISO 27799 ותעדוף לפי סיכון והשפעה
- תכנית עבודה וסגירת פערים: נהלים, בקרות, הרשאות, ניטור ותהליכים
- יישום והטמעה: עבודה משותפת עם IT, אבטחה, תפעול, וספקים
- בנייה של תיק תיעוד וראיות: מדיניות, נהלים, רישומים, דוחות ובקרות
- הכנה לביקורת: סימולציית שאלות, בדיקת ראיות, והקשחת תהליכי בקרה
תוצרים אופייניים בפרויקט
מה אתם צרכים לקבל בפועל כדי להפעיל ולתחזק את התקן.
- מפת נכסי מידע רפואי וזרימות מידע
- דו״ח פערים ותכנית Remediation מתועדפת
- סט נהלים ומדיניות, כולל ניהול הרשאות, ספקים, אירועים והמשכיות
- מטריצת בקרות: בעלים, תדירות, ראיות, KPI
- תיק ראיות לביקורת פנימית וחיצונית
- תכנית הדרכות ותיעוד הטמעה
מוכנים ל-ISO 27799? כך מתחילים נכון
מיפוי מידע, תיעדוף סיכונים ותוכנית יישום שמחזיקה בביקורות וברגולציה
אם אתם שוקלים הסמכה ל-ISO 27799 או רוצים לחזק את ההגנה על מידע רפואי גם בלי “לרוץ לתעודה”, נכון להתחיל במיפוי מדויק: אילו סוגי מידע בריאותי אתם מנהלים, היכן הוא נשמר ונע בין מערכות, מי נחשף אליו בפועל, ומה התלות שלכם בספקים, ענן וממשקי צד ג’. משם בונים מסלול יישום ריאלי הכולל הגדרת Scope, תיעדוף פערים לפי סיכון והשפעה על רציפות טיפול, והקמה של תיק תוצרים וראיות שמחזיק בביקורות, בשאלוני ספקים ובדרישות רגולציה.
אנחנו תומכים בארגונים במגוון סקטורים וורטיקלים בתהליכי ייעוץ, ליווי והסמכה לתקני אבטחת מידע, כך שהתהליך לא נשאר פרויקט נקודתי, אלא הופך לשגרה ניתנת למדידה שמצמצמת חשיפה לאורך זמן.
