מבקר המדינה: בתי החולים אינם ערוכים למתקפות סייבר

מדו"ח מבקר המדינה שמתפרסם היום (שלישי) חושף כי בתי החולים בישראל מהווים יעד מוביל למתקפות סייבר, אך לפי בדיקת המבקר הם אינם ערוכים לכך.

מחדל הדרכונים הביומטריים | דו"ח המבקר

בניסיון חדירת סייבר שביצע משרד מבקר המדינה לאחד מבתי החולים בישראל זוהו 13 ממצאים משמעותיים, עשרה מהממצאים היו בדרגת חומרה גבוהה ושלושה בדרגת חומרה בינונית. המבקר ממליץ למשרד הבריאות לבצע בבתי החולים ובקופות החולים מבדקי חדירת סייבר, בהתאם לתוכנית סדורה ולהטמיע את הלקחים מהביקורת בפעילות בתי החולים.

בשנים האחרונות גברו גם איומי הסייבר על מערכת הבריאות, ובכלל זה על מרכזים רפואיים. לפי מערך הסייבר הלאומי מגזר הבריאות היה אחד מעשרת המגזרים המותקפים ביותר בישראל בשנת 2021.

המתקפה שגרמה לנזקים הרבים ביותר היתה באמצע אוקטובר 2021, כאשר האקרים פרצו למחשבים ולשרתים במרכז הרפואי הממשלתי הלל יפה שבחדרה. התקיפה שיבשה את הפעילות במרכז הרפואי במשך כשלושה חודשים, גרמה להסטת חולים מהמרכז הרפואי למרכזים אחרים, למעבר לעבודה ידנית ולא ממוחשבת, למניעת גישה למידע הרפואי של המטופלים ועוד. עלות שיקום המרכז הרפואי הלל יפה אחרי מתקפת הסייבר הוערכה בכ-36 מיליון ש"ח.
במשרד המבקר מציינים כי תקיפה זו מחדדת את החשיבות להיערכות מיטבית של מערכת הבריאות לאיום הסייבר ולאבטחת המידע.

משרד מבקר המדינה ערך מבדק חדירה, בסיוע חברה חיצונית, למרכז רפואי ששמו לא פורסם. במבדק נעשתה תקיפה של מערכות הארגון כדי לאתר בהן חולשות. במקרים אחרים מאותרת חולשה באפליקציות ואתרים של הארגון או נקודות חולשה בשרתים ומערכות הפעלה.

מטרת המבדק הייתה למדוד את רמת ההגנה על רשת המכשור הרפואי במרכז הרפואי, לרבות של מכשירים המשמשים לבדיקות הדמיה כמו MRI CT וממוגרפיה וגם של מאגר תוצאות בדיקות הדמיה. במסגרת המבדק נסרקו יותר מ-100 שרתים ועמדות קצה במערכות הקשורות למכשור הרפואי. כאמור, נמצאו 13 ליקויים, כאשר חלקם תוקנו עד למועד סיום הביקורת. הליקויים התגלו בחמישה תחומים: סגמנטציה ובקרת זרימה, בקרת גישה לרשת, הגנת עמדות ושרתים, תוכנה לא עדכנית וגישה לא מאובטחת.

הנהלת המרכז הרפואי מסרה בתגובתה לממצאי הביקורת שעוד לפני ביצוע המבדק היא התמודדה עם פגיעויות שעלו, בין השאר, גם במבדק החדירה, והטמיעה פעולות להפחתת סיכון, שבכוחן להקטין נזקים שעלולים להיגרם בשל פגיעויות המערכת. עוד העריכו בבית החולים שהעלות הכוללת של תיקון הליקויים יכולה להסתכם ביותר מ-10 מיליון ש"ח לשנה באופן שוטף.

משרד הבריאות מסר בתגובה לדו"ח המבקר: "המשרד פועל בכמה מישורים כדי להגביר את רמת המוכנות של המוסדות הרפואיים לאירועים כאלה. במסגרת זו המשרד פרסם חוזר הקובע למוסדות הרפואיים עקרונות להתמודדות עם איומי הסייבר; המשרד החל בשנת 2022 בקידום פרויקט לאומי להגנה על מכשור רפואי במוסדות הרפואיים, שהטמעתו תחל בשנת 2023; ב- 2022 בוצעו סקרי סיכונים בבתי החולים, במטרה לאמוד את מוכנותם להתמודדות עם האיומים ולשפר את מערך ההגנה של המוסדות הרפואיים ואת חוסנם. עוד נעשו ב- 2022 מבדקי חדירה ב-19 בתי חולים ובשתי קופות חולים".