אבטחת מידע במרפאות בריאות הנפש
מרפאה לבריאות הנפש מחזיקה אבחנות, רשימות תרופות, סיכומי טיפול ושאלונים על מצב רוח ומחשבות. מאז הרפורמה בבריאות הנפש ביולי 2015, קופות החולים אחראיות על שירותי בריאות הנפש ומשרד הבריאות מפקח. הטיפול ניתן במרפאות של הקופות, במרפאות של משרד הבריאות ובמרפאות שהקופות התקשרו איתן, וכל אחת מהן מחזיקה מאגר מידע רגיש.
המדריך מתרגם את תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017 לעבודה היומיומית של מרפאת חוץ או מרכז טיפול יום. הוא משלים את המדריך תיקון 13 לבתים מאזנים ומרכזי שיקום, שעוסק בצד המשפטי. זה לא ייעוץ משפטי.
קודם כול: באיזו רמה אתם
מאגר שיש בו מידע רפואי או מידע על מצבו הנפשי של אדם נמצא ברמת האבטחה הבינונית. מרפאה עם עד עשרה בעלי הרשאה נמצאת ברמה הבסיסית. מרפאה או רשת מרפאות עם יותר מ-100 בעלי הרשאה, או עם מידע על 100,000 איש ומעלה, נמצאת ברמה הגבוהה. בעלי הרשאה הם כל מי שנכנס למערכת: מטפלים, פסיכיאטרים, מזכירות, מתמחים, הנהלת חשבונות ואנשי IT.
הזדהות וכניסה למערכת
ברמה הבינונית ומעלה, ההזדהות צריכה להיות ככל האפשר באמצעי פיזי שנמצא בשליטה הבלעדית של העובד, למשל אפליקציית אימות בטלפון שלו. בגישה מרחוק זו חובה. ומרחוק עובדים היום הרבה: מטפלים שכותבים סיכומים מהבית ופסיכיאטרים שעונים בערב.
אם ההזדהות מבוססת על סיסמה, הנוהל קובע את חוזק הסיסמה, את מספר הניסיונות השגויים ואת תדירות ההחלפה, ובכל מקרה לא יותר משישה חודשים. המערכת צריכה גם לנתק משתמש אוטומטית אחרי זמן ללא פעילות. במרפאה שבה מחשב בעמדת הקבלה משמש כמה אנשים, זה ההבדל בין מסך נעול לתיק פתוח מול מטופל שמחכה בתור.
הרשאות לפי תפקיד
תקנה 8 מחייבת לקבוע הרשאות לפי הגדרות תפקיד, רק במידה הנדרשת לתפקיד, ולנהל רשימה מעודכנת של תפקידים ובעלי הרשאה. המזכירה צריכה את היומן ופרטי הקשר. היא לא צריכה את סיכומי הטיפול. מתמחה רואה את המטופלים שלו. עובד שסיים מאבד גישה מיד, ותקנה 7 מוסיפה שלפני מתן גישה בודקים שהעובד מתאים לה ומדריכים אותו.
יש גם רכיב שקשור לחוק זכויות החולה: לפי סעיף 17, תרשומת אישית של המטפל אינה חלק מהרשומה הרפואית. אם המרפאה שומרת תרשומות כאלה במערכת, כדאי להגדיר מי רואה אותן ומה קורה איתן כשהמטפל עוזב.
יומן גישה שמישהו קורא
ברמה הבינונית ומעלה המערכת צריכה לרשום אוטומטית מי ניסה לגשת, מתי, לאיזה רכיב ואם הגישה אושרה או נדחתה. היומן נשמר 24 חודשים לפחות. התקנות דורשות גם נוהל לבדיקה שגרתית שלו ודוח על הבעיות שנמצאו, והעובדים צריכים לדעת שהיומן קיים.
בפועל, יומן כזה עונה על השאלה שעולה בכל מרפאה בשלב כלשהו: מי פתח את התיק של מטופל שהוא גם עובד, קרוב משפחה של עובד או דמות מוכרת.
הצפנה, טלפונים וקבצים
מידע שעובר באינטרנט או ברשת ציבורית מוצפן בשיטות מקובלות. החיבור של התקנים ניידים, כמו דיסק און קי, מחשב נייד וטלפון, מוגבל לפי רמת הסיכון, ומידע שמועתק אליהם מוצפן. שלוש נקודות תורפה שחוזרות במרפאות:
- סיכומים ומכתבי הפניה שנשמרים כקובץ על שולחן העבודה של מחשב פרטי.
- שאלונים שנשלחים למטופל בוואטסאפ או במייל וחוזרים כצילום.
- הקלטות של מפגשים שנשארות בטלפון של המטפל.
הפתרון הוא לעבוד בתוך המערכת: שאלון מאובטח שהמטופל ממלא בקישור, תשובות שנכנסות ישר לתיק, והקלטה שעוברת לתמלול ונמחקת מהמכשיר.
שיחות וידאו עם מטופלים
מפגש טיפולי בווידאו הוא עיבוד של מידע רפואי לכל דבר. כשמשתמשים בכלי וידאו כללי, הקישור עובר בוואטסאפ, אין תיעוד בתיק ואין שליטה על מה שנשמר אצל הספק. שיחה שנפתחת מתוך יומן המרפאה, עם קישור למטופל המסוים, נרשמת בתיק ונשארת בתוך המערכת המאובטחת. גם ספק הווידאו הוא ספק לפי תקנה 15, ואם הוא חלק מהמערכת הקלינית, יש הסכם אחד לבדוק.
ספקים וכלי AI
כל ספק שמקבל גישה למידע נכנס לתקנה 15. לפני ההתקשרות בודקים את הסיכונים. בהסכם קובעים איזה מידע הספק רשאי לעבד ולמה, איך הוא מאבטח אותו, איך המידע חוזר ונמחק בסיום, ושהספק מדווח פעם בשנה לפחות ומודיע על כל אירוע אבטחה.
כלי AI לתמלול וסיכום הם ספק נוסף, ולפעמים ספק של ספק. שלוש שאלות לשאול: מה בדיוק נשלח לספק ה-AI, האם שם המטופל ומספר הזהות יוצאים עם הטקסט, והאם הספק שומר את המידע או משתמש בו לאימון. מטפל שמדביק סיכום לכלי צ'אט כללי מהדפדפן מוציא מידע מהמאגר בלי הסכם ובלי יומן.
ביקורת, הדרכה ואירועים
- ביקורת: ברמה הבינונית ומעלה, ביקורת אבטחה פנימית או חיצונית לפחות פעם ב-24 חודשים, על ידי מי שאינו ממונה האבטחה. ברמה הגבוהה גם סקר סיכונים ומבדקי חדירות לפחות פעם ב-18 חודשים.
- הדרכה: לפני מתן גישה, ולפחות פעם בשנתיים ברמה הבינונית ומעלה.
- אירועים: כל אירוע מתועד. ברמה הבינונית דנים באירועים לפחות פעם בשנה. באירוע אבטחה חמור מודיעים לרשות להגנת הפרטיות באופן מיידי ומדווחים על הצעדים שננקטו.
צ'קליסט תיקון 13 למסגרות טיפוליות. כל החובות האלה בעמוד אחד, עם מספר התקנה ליד כל סעיף. להורדת הצ'קליסט
איך ClinicAI בנויה
ClinicAI היא מערכת ניהול למסגרות בריאות הנפש: מרפאות חוץ, בתים מאזנים, מרכזי שיקום וגמילה. ההרשאות נקבעות לפי תפקיד וסוג מפגש ונאכפות בשכבת הנתונים. כל כניסה, צפייה ושינוי נרשמים. המידע הרפואי נשמר מוצפן, והמידע של כל מסגרת מופרד מהאחרות. שאלונים ושיחות וידאו יוצאים מתוך המערכת ונכנסים לתיק. כשה-AI מתמלל ומסכם, שם המטופל ופרטיו המזהים לא נשלחים לספק ה-AI, והמטפל מאשר כל סיכום. ClinicAI בתהליך הסמכה, ובימים הקרובים נקבל את שלושת התקנים: ISO 27001, ISO 27799 ו-HIPAA.
במרפאה עם כמה צוותים כדאי לראות את זה על המבנה שלכם. תאמו הדגמה של 30 דקות. ואם אתם מנהלים בית מאזן, קראו גם מה חייב להיות בתוכנה לניהול בית מאזן.
שאלות נפוצות
איזו רמת אבטחת מידע חלה על מרפאה לבריאות הנפש?
מאגר עם מידע רפואי או נפשי נמצא ברמה הבינונית. מרפאה עם עד עשרה בעלי הרשאה נמצאת ברמה הבסיסית. עם יותר מ-100 בעלי הרשאה, או מידע על 100,000 איש ומעלה, חלה הרמה הגבוהה.
האם מותר לשלוח שאלונים למטופלים בוואטסאפ?
התקנות מחייבות להצפין מידע שעובר באינטרנט ולהגביל העתקה למכשירים ניידים. שאלון שחוזר כצילום בטלפון פרטי נשמר מחוץ למערכת ובלי יומן גישה. עדיף שאלון מאובטח שהתשובות שלו נכנסות ישר לתיק.
כל כמה זמן צריך להחליף סיסמה למערכת המרפאה?
ברמה הבינונית ומעלה, כשההזדהות מבוססת על סיסמה, ההחלפה נעשית לפי התפקיד ובכל מקרה לא יותר משישה חודשים. בגישה מרחוק נדרש גם אמצעי פיזי שבשליטת העובד בלבד.
האם ספק תוכנה או ספק AI צריך הסכם אבטחה?
כן. לפי תקנה 15, כל ספק שמקבל גישה למאגר צריך הסכם שקובע מה מותר לו לעבד, איך הוא מאבטח את המידע, איך המידע חוזר ונמחק בסיום, ושהוא מדווח פעם בשנה לפחות.
מה עושים אם מידע של מטופלים דלף?
מתעדים את האירוע ומטפלים בו לפי נוהל האבטחה. אם זה אירוע אבטחה חמור, מודיעים לרשות להגנת הפרטיות באופן מיידי ומדווחים על הצעדים שננקטו. לרשות יש טופס מקוון לדיווח.
המידע במדריך הוא כללי ואינו ייעוץ משפטי. החובות תלויות בגודל המאגר, במספר בעלי ההרשאה ובסוג הגוף. לבדיקת המסגרת שלכם פנו לעורך דין שמתמחה בהגנת פרטיות.
מקורות
ClinicAI בלינקדאין: https://www.linkedin.com/company/139434654/
ClinicAI בפייסבוק: https://www.facebook.com/profile.php?id=61593106171416
הוסיפו את זן כמקור מועדף בגוגל: https://www.google.com/preferences/source?q=zentec.co.il