מרפאות קטנות וסיכוני סייבר

לי זה לא יקרה #1 – יש לי קליניקה קטנה

"אני מרפאה קטנה, מה יש לי שמעניין האקרים?" - זו ההנחה הכי נפוצה, והכי מסוכנת. ההגיון נשמע סביר: הגדולים - בתי חולים, קופות חולים - הם היעדים הכדאיים. אבל המציאות פועלת בדיוק הפוך.

תוקפי סייבר יודעים שמרפאה פרטית קטנה לרוב לא מעסיקה מנהל אבטחת מידע, לא עובדת עם מערכות מיגון מתקדמות, ולא בודקת את הגיבויים שלה בצורה סדירה. זה הופך אותה ל"טרף קל" - פחות מאמץ, אותו רווח. בשנת 2024, נחשף מידע רפואי של כ-275 מיליון בני אדם בארה"ב לבדה. חלק גדול מהפרצות האלו התחיל במרפאות קטנות ובינוניות.

בישראל המצב חריף אף יותר: ארגוני בריאות ישראלים חווים בממוצע כ-2,381 ניסיונות תקיפה בשבוע - נתון הגבוה ב-37% מהממוצע הכללי במשק. המרפאה שלך נסרקת על ידי כלי תקיפה אוטומטיים כל הזמן, גם כשאתה לא מודע לכך.

לי זה לא יקרה #2 – אני משתמש בתוכנה לניהול קליניקה מוגנת ומאובטחת

ההנחה מובנת לחלוטין, ואכן התוכנות לניהול מטופלים מבטיחות רמת אבטחה גבוהה, אבל זאת רק מערכת אחת מני רבות עליה אתה עובד במרפאה. בעוד שספק התוכנה אחראי רק לאבטחת המערכת שלו, הוא אינו אחראי על אופן השימוש שלך במחשבים ובמכשירים הניידים במרפאה, על תוכנות אחרות בהן אתה עושה שימוש (גם Word היא תוכנה, ואם לא קנית אותה באופן חוקי, או לא עדכנת אותה, המידע שלך בסכנה), על שליחת אימיילים, על אבטחת רשת האינטרנט עליה אתה עובד, ובעיקר על הגורם האנושי- הצוות שלך וטעויות שהוא עלול לעשות. מספיק שעובד השאיר חלון פתוח במחשב עם מידע רפואי על מטופל, ומטופל אחר הציץ, כדי שהמידע כבר לא יהיה סודי; ואם שומרים אצלך במרפאה את הסיסמה למערכת הניהול כמו בתמונה למטה, זה כבר לא משנה כמה מאובטחת המערכת, המידע שלך חשוף.

מה בדיוק יכול לקרות למרפאה שלי?

תוכנת כופר - הסיוט הכי נפוץ

ביום ראשון בבוקר אתה מגיע למרפאה, מנסה לפתוח את תוכנת ניהול התורים - ומקבל מסך שחור עם הודעה באנגלית. כל הקבצים מוצפנים. ניתן לך אולטימטום: שלם תוך 72 שעות, או שהנתונים של כל המטופלים שלך יפורסמו באינטרנט.

זה לא תרחיש תיאורטי. בספטמבר 2025, בעיצומו של יום הכיפורים, תקפה קבוצת תקיפה דוברת רוסית את בית החולים שמיר (אסף הרופא). התוקפים טענו שגנבו 8 טרה-בייט של מידע רגיש, כולל רשומות של למעלה ממיליון תושבים, ודרשו כופר של 700,000 דולר. עלות שיקום מערכות המחשוב של בית חולים הלל יפה לאחר מתקפה דומה הגיעה ל-36 מיליון שקל.

פישינג - מה שמתחיל עם אימייל

לרוב, האקרים לא "פורצים" פנימה - הם פשוט מתחברים. מישהו מצוות המרפאה מקבל אימייל שנראה כמו הודעה ממשרד הבריאות, לוחץ על קישור, ומזין סיסמה. זה מספיק. משם יש לתוקפים גישה למערכת ניהול המרפאה שלך, למסמכים, ולרשומות הרפואיות. ב-2024, פריצות על רקע גניבת סיסמאות היו וקטור התקיפה המוביל במגזר הבריאות. היעדר אימות דו-שלבי במרפאות רבות הוא הסיבה שזה עובד כל כך טוב.

מתקפה דרך הספק שלך

אתה לא תמיד הנקודה הראשונה בשרשרת. מתקפה על ספקית תוכנה לניהול תורים, חברת גיבוי, או ספק שירותי ענן רפואי - יכולה להשבית בו-זמנית מאות מרפאות. ב-2019, ספקית שירותי ענן אמריקנית למרפאות שיניים הותקפה בתוכנת כופר, ובתוך שעות קצרות מצאו עצמם מאות רופאי שיניים ללא גישה לצילומי רנטגן, תיקי ביטוח, ורשומות היסטוריות.

הגורם הפנימי - מה שאף אחד לא אוהב לדבר עליו

לא כל הפרצות מגיעות מבחוץ. ב-2025, סיימה הרשות להגנת הפרטיות בישראל חקירה נגד עובדת מרפאה שניסתה לגשת לתיקו הרפואי של שורד שבי ללא הצדקה מקצועית. המערכת זיהתה את הגישה החריגה, והעובדת פוטרה וזומנה לחקירה פלילית. ניטור גישה בתוך המרפאה הוא חלק חובה מהציות לחוק - לא רק הגנה מבחוץ.

מה הנזק הכלכלי שאני עלול לספוג?

מה הסיכון הקליני - ולמה זה לא רק שאלה של כסף?

זה אולי החלק שהכי חשוב להבין: פגיעה בזמינות המידע היא לא רק תקלה טכנית - היא סיכון קליני מיידי. כשמערכת ניהול המטופלים קורסת, הצוות עובר לרישום ידני. הסיכון לטעויות במינונים, בזיהוי מטופלים, ובביצוע פרוצדורות - עולה בצורה דרמטית.

מחקרים הראו שלאחר מתקפת סייבר על ארגון בריאות, זמני התגובה בטיפולי חירום מתארכים בממוצע ב-2.7 דקות, ושיעור התמותה מהתקפי לב ב-30 הימים שלאחר מכן עולה. המשמעות היא שגם במרפאה שלא נותנת שירותי חירום, הטיפול במטופלים לאחר מתקפת סייבר בהכרח ייפגע. לכן הגנה על המידע הרפואי שבידך היא לא רק חובה משפטית - היא חלק מהאתיקה הרפואית שלך.

מה אומר החוק הישראלי, ומה הסיכון המשפטי שלי?

תיקון 13 לחוק הגנת הפרטיות

תיקון 13, שנכנס לתוקף ב-2025, נתן לרשות להגנת הפרטיות כלים אכיפה חדשים. הרשות רשאית להטיל קנסות מנהליים - עד 640,000 ש"ח במקרים חמורים - בלי שיידרש הליך פלילי. מרפאה שחוותה פרצת מידע ולא יישמה אמצעי אבטחה בסיסיים (הצפנה, גיבוי, בקרת גישה) חשופה לקנסות אלו.

תביעות אזרחיות מטופלים

כל מטופל שפרטיותו נפגעה זכאי לתבוע פיצוי של עד 50,000 ש"ח ללא הוכחת נזק ממשי. אם ניתן להוכיח שההפרה הייתה מכוונת, הסכום יכול להגיע ל-100,000 ש"ח. עבור מרפאה שספגה דלף של מאות תיקים, תביעה ייצוגית יכולה להיות קטסטרופלית.

מה אני יכולה לעשות כבר עכשיו?

הבשורה הטובה היא שרוב הפרצות ניתנות למניעה. מחקרים מראים שכ-80%-90% ממתקפות הסייבר מנצלות פגיעויות ידועות שניתן היה לחסום.

אימות דו-שלבי (MFA): פעולה אחת בודדת שמפחיתה הכי הרבה סיכון. כל גישה מרחוק לתיק הרפואי הממוחשב, אימייל, שרת - חייבת לדרוש שתי שכבות זיהוי. זה חוסם את רוב הפרצות מגניבת סיסמאות.

גיבוי מנותק: במקרה של מתקפת כופר גיבוי שמחובר לרשת הראשית יוצפן יחד עם שאר הקבצים. לכן יש לשמור עותק גיבוי אחד לפחות שמנותק פיזית מהרשת ונבדק מעת לעת.

מעבר לענן רפואי מנוהל: שרת מקומי במרפאה שאין לו תמיכה שוטפת ועדכוני אבטחה הוא נקודת תורפה. התקשרות עם ספק תוכנת ענן לניהול מטופלים שעומד בתקן ISO 27799 (תקן בינלאומי לאבטחת מידע רפואי) מעביר את נטל האבטחה לגורם מקצועי.

הדרכת צוות: מרבית האירועים מתחילים בלחיצה של אדם מהצוות על קישור זדוני. שעה של הדרכה בשנה על זיהוי פישינג שווה יותר מכל תוכנת אבטחה.

ביטוח סייבר: אינו תחליף לאבטחה, אך מהווה רשת ביטחון חיונית. הפרמיה השנתית למרפאה קטנה נעה סביב אלפי שקלים בודדים, ומכסה עלויות חקירה פורנזית, שחזור מידע, ופיצויים.

טבלת כלי אבטחה מומלצים

שאלות שרופאים שואלים

אני עובד עם תוכנה מאובטחת לניהול מטופלים - האם אני עדיין צריך לדאוג לאבטחה?

כן. המעבר לספק תוכנה מעביר רק חלק מהאחריות לספק, אבל לא את כולה. אתה עדיין אחראי על ניהול הסיסמאות והגישה של הצוות שלך, על אבטחת המחשבים והמכשירים הניידים בהם הם משתמשים, על הורדה של תוכנות חוקיות בלבד ועדכונן השוטף, אבטחת רשת האינטרנט, שימוש בטוח באימייל ובאמצעי תקשורת אחרים, הדרכת העובדים ועוד.

קיבלתי אימייל ממשרד הבריאות עם קישור לעדכון מידע. צריך ללחוץ?

לא לפני שמאמתים. פישינג שמתחזה לגורמים רשמיים - משרד הבריאות, קופות חולים, ספקי תוכנה - הוא הווקטור הנפוץ ביותר. לפני לחיצה על קישור, בדוק ישירות באתר הרשמי של הגורם המשלח, או התקשר אליו לאישור. הרגל את הצוות שלך לעשות אותו הדבר.

מה אני עושה אם כבר קרתה פרצה?

ראשית - אל תשלם כופר לפני שתתייעץ עם מומחה. תשלום הכופר לא מבטיח את שיחזור המידע, ויש מקרים שבהם המפענח שסופק על ידי הפורץ עבד רק חלקית. נתק את המחשבים הנגועים מהרשת, פנה לגורם מקצועי בפורנזיקת סייבר, ודווח לרשות להגנת הפרטיות בהקדם. איחור בדיווח מחמיר את החשיפה המשפטית שלך.

האם ביטוח מקצועי רגיל מכסה נזקי סייבר?

לא. ביטוח אחריות מקצועית רגיל אינו מכסה בדרך כלל נזקי סייבר - לא עלויות שחזור, לא פיצויים למטופלים בגין דלף מידע, ולא הפסד הכנסות מהשבתה. יש לרכוש פוליסת סייבר ייעודית. בדוק עם הסוכן שלך מה כלול בפוליסה הקיימת שלך.

האמור אינו ייעוץ משפטי. לייעוץ בנושא הגנת הפרטיות, פנה לעו״ד צילה לביא, בדוא״ל tzila@tzilalaw.com