טיוטת תקנות בריאות העם (אמות מידה לחלוקת סכום נוסף)( שיפור מערך ההגנה הטכנולוגי בבתי החולים בשנת 2025), התשפ"ה -2025

בתוקף הסמכות לפי סעיף 33 לפקודת בריאות העם, 1940[1] (להלן – הפקודה), שנטלתי לעצמי לפי סעיף 34 לחוק –יסוד: הממשלה[2], אני מתקין תקנות אלה:

הגדרות

1.  

בתקנות אלה -

"חוקי הגנה" - כללים המגדירים את האופן שבו מערכת מחשוב מגנה על עצמה מפני התקפות סייבר והפרות אבטחה;

"סגמנטציה רשתית" - חלוקה של הרשת למקטעים בעלי מאפיניים משותפים, שיאכלסו את המרכיבים השונים של האפליקציה; שרתים ישומיים, שרתי קבצים, מסדי נתונים, שרתי web, מכשור רפואי;

"תקנות אמות מידה לחלוקה" – תקנות בריאות העם (אמות מידה לחלוקת סכום נוסף", התשפ"ג-2022[3];

"OT" – (Operational Technology) קבוצת מערכות מחשוב המשמשות לניהול משימות תעשייתיות;

"RBI" - Remote Browser Isolation)) תוכנה למתן מענה לגלישה מאובטחת;

"XDR" - (Extended Detection & Response) תוכנה לזיהוי ותגובה של איומים המספקת הגנה מפני התקפות סייבר, גישה לא מורשית ושימוש לרעה מכל מקורות הנתונים.

תחולה

2.  

פרק א' לתקנות אמות מידה לחלוקה יחול על חלוקת סכום נוסף לפי תקנות אלה.

תנאי סף

3.  

סכום נוסף יחולק לבית חולים שמתקיימים בו התנאים האלה:

(1)  בית החולים הגיש התחייבות חתומה בידי חבר הנהלה, לפיה הוא מתחייב על ביצוע התכניות לפי תקנות אלה, בהתאם לדרישות המשרד;

(2)  בית החולים וידא כי סנסור XDR Crowdstrike שמוטמע בבית החולים, הוגדר בפורטל של חברת Crowdstrike תחת מבנה ארגוני של משרד הבריאות, באופן שמאפשר למשרד הבריאות לראות התראות, לבצע בקרה ולתת מענה לאירועים;

תקצוב נוסף בעד הטמעת טכנולוגיות RBI

4.  

תקצוב נוסף בסכום כולל של 12,150,000 שקלים חדשים יחולק בשנת 2025, לפי הרישוי הנדרש לבית חולים, בעד הטמעת טכנולוגיות RBI ובלבד שהתקיימו כל אלה:

(א) בית החולים הגיש ליחידת הסייבר במשרד הבריאות תכנית להטמעת טכנולוגיית RBI בתוך 30 ימים מיום פרסום התקנות, אלא אם אישרה לו היחידה להגיש את התכנית במועד מאוחר יותר, והיחידה אישרה את התכנית;

(ב)  בית החולים הציג ליחידת הסייבר נתונים בהיקף שדרשה היחידה, על הרכש שבוצע, או שיבוצע, ושאושר מראש במסגרת אישור התכנית, לצורך יישום התכנית, וסיים הטמעה של 50% מתכנית ההטמעה לפי פסקה (א) בתוך שלושה חודשים מביצוע הרכש, ושיעור של 100% עד סוף הרבעון הרביעי של השנה אלא אם יחידת הסייבר במשרד הבריאות אישרה לו אחרת;

(ג)  בית החולים הקצה שעות הטמעה בהתאם לתוכנית ולנדרש לטובת הטמעה של המערכת, לרבות באמצעות הדרכות;

(ד)  חשב בית החולים הגיש התחייבות כתובה לממן את יתרת עלות הטמעת הטכנולוגיה, מעבר לתקצוב, לטובת השלמה הרישוי וההטמעה.

תקצוב נוסף בעד ביצוע סקר סיכונים בתחום ה OT והטמעת חוקי הגנה

5.  

(א) סכום תקצוב נוסף בסכום כולל של 1,887,480 שקלים חדשים  יחולק בשנת 2025 בעד ביצוע סקר סיכונים בתחום ה OT והטמעת חוקי הגנה, ובלבד שבית החולים הציג ליחידת הסייבר אסמכתאות על הרכש שבוצע או שיבוצע לצורך ביצוע הפעילות.

(א) תקצוב כאמור בתקנת משנה (א) יחולק בהתאם לגודלו של בית החולים ולפי הפירוט הזה:

(1)  לבית חולים שמספר מיטות האשפוז המתוקננות בו קטן מ-300 – יחולק סכום בסך של 60,840 שקלים חדשים;

(2)  לבית חולים שמספר מיטות האשפוז המתוקננות בו הוא בין 301 עד 1550 – יחולק סכום בסך של 72,000 שקלים חדשים;

(3)  לבית חולים שמספר מיטות האשפוז המתוקננות בו עולה על 1551 – יחולק סכום בסך של 84,240 שקלים חדשים.

תקצוב נוסף בעד ביצוע תכנית לתיקון ליקויי אבטחת מידע

6.  

תקצוב נוסף בסך של 20,114,510 שקלים חדשים בשנת 2025, יחולק בחלוקה שווה בין בתי החולים בעד ביצוע תכנית תיקון ושיפור ליקויי אבטחת מידע בעקבות איומים מתפתחים בתחום הסייבר שהוגשה ליחידת הסייבר במשרד הבריאות עד סוף חודש אפריל 2025, אלא אם אישרה היחידה הגשה במועד מאוחר יותר, ושמשרד הבריאות אישר אותה.

תקצוב נוסף בעד הטמעת טכנולוגיה זיהוי ומניעה התקפות סייבר

7.  

תקצוב נוסף בסך של 5,850,000 שקלים חדשים בשנת 2025, יחולק בחלוקה שווה בין בתי החולים בעד הטמעת טכנולוגיה זיהוי ומניעה התקפות סייבר שאושרה על ידי יחידת הסייבר במשרד הבריאות, ובלבד שהתקיימו כל אלה:

(א) בית החולים הגיש ליחידת הסייבר במשרד הבריאות, 30 ימים מיום פרסום התקנות, אלא אם אישרה היחידה הגשה במועד מאוחר יותר, תכנית הטמעת טכנולוגיה זיהוי ומניעה התקפות סייבר , והיחידה אישרה את התכנית

(ב)  בית החולים סיים 50% מתכנית ההטמעה עד שלושה חודשים מרגע קבלת הודעה ממשרד הבריאות על התחלת פרויקט ההטמעה ואת הטמעת התכנית עולה עד סוף שנת 2025 אלא אם יחידת הסייבר במשרד הבריאות אישרה לו אחרת;

(ג)  בית החולים הציג ליחידת הסייבר נתונים על הרכש שבוצע, או שיבוצע, ושאושר מראש במסגרת אישור התכנית, לצורך יישום התכנית;

(ד)  בית החולים הקצה שעות הטמעה בהתאם לתוכנית שהגיש ולנדרש לטובת הטמעה של המערכת, לרבות באמצעות הדרכות;

(ה) חשב בית החולים הגיש התחייבות כתובה לממן את יתרת עלות הטמעת הטכנולוגיה, מעבר לתקצוב, לטובת השלמה הרישוי וההטמעה.

תחילה

8.  

תחילתן של תקנות אלה ביום א' בטבת התשפ"ה (1 בינואר 2025).