[[HE: Draft for Tamir's review. Not published.]]
תסתכלו מעבר להבטחה על מיקום המידע
התחייבות למיקום עשויה לגעת לאחסון בלבד. תתעדו מיקומי אחסון, גיבוי, תמיכה ועיבוד המשך, לצד רשימת קבלני המשנה. תבדקו מי אצל הספק יכול לצפות במידע, איך הגישה הזו מאושרת ומנוטרת, והאם המידע משמש לניתוח או לאימון מודלים.
תבדקו את תנאי היציאה באותה קפדנות: ייצוא הנתונים, הפורמט, המחיקה והזמן הנדרש להחזרת כל תשתית. את הסעיפים האלה הרבה יותר קל לנעול לפני החתימה.
קודם כל תוודאו את המדיניות
תסווגו את המידע שהמערכת תכיל, ותפנו לגורם המאשר או ליועץ הפרטיות בכתב לגבי מה מותר בכל רמת סיווג. רק אז תבדקו אם השירות עומד בתנאים, באמצעות אחסון אזורי או הפרדת נתונים. תשקלו מודל משולב שמשאיר מידע רגיש מקומית.
אם רגולטור פונה בשאלות, תראו שאתם יודעים מה עבר, למה זה מוגן ואיך מחזירים את זה. תצמידו לכל שאלה מסמך רלוונטי. איפה שמסמך עדיין חסר, תציינו זאת בגלוי יחד עם תאריך יעד להפקתו.
בהתאם לתפקיד שלכם
אם אתם בדירקטוריון, תדרשו מיפוי של מה שעובר, חוות דעת כתובות בנושאי פרטיות ורגולציה, ותנאים חוזיים לגבי מיקום, גישה, דיווח על אירועי אבטחה ויציאה. תאשרו בפעימות, עם נקודת בדיקה לפני שמידע מזהה זז.
אם אתה המנכ"ל שחותם על מענה או על חוזה, תבססו את הדברים על מסמכים שהצוות מסוגל להציג. אם נציגי עובדים מבררים לאן המידע שלהם זורם, תענו להם בכתב מתוך החוזה.
מה לבדוק לפני שמחליטים
- תמפו את המידע והמערכות שמיועדים למעבר, כולל רמת סיווג לכל אחד.
- תוציאו אישור בכתב על מיקומי אחסון, גיבוי, תמיכה, עיבוד המשך ורשימת קבלני משנה.
- תאמתו למי אצל הספק יש גישה למידע, וכיצד היא מאושרת ונרשמת ביומנים.
- תבדקו את הסעיפים לגבי שימוש בנתונים מחוץ לשירות, כולל אנליטיקה ואימון.
- קבלו את עמדת הגורם המאשר או יועץ הפרטיות בכתב לכל רמת סיווג.
- תגדירו תהליכי ייצוא, מחיקה וזמני החזרה של כל מערכת בסיום ההתקשרות.
- תאשרו את המהלך בשלבים, עם עצירה לבדיקה לפני העברת מידע מזהה.
שאלות שאנשים שואלים
הדירקטוריון נדרש לאשר העברת נתוני מטופלים לענן, מה חברי ההנהלה צריכים לדרוש לפני שמאשרים?
תדרשו פירוט מלא של מה שעובר, אישורי פרטיות ורגולציה, סעיפי חוזה לגבי מיקום, הרשאות ויציאה, לצד הבקרות הפנימיות של בית החולים על הגישה. תאשרו בהדרגה כשהמידע הפחות רגיש עובר קודם. זה תלוי בהנחיות הפרטיות לגבי נתוני מטופלים ובמה שהרגולטור מתיר מבחינת אירוח.
מה הנהלת ארגון בריאות צריכה לוודא מעבר להבטחה על מיקום הנתונים בענן?
תדרשו שקיפות מלאה לגבי אופן הטיפול במידע ואישור הדרישות בידי הגורמים המקצועיים. מיקום שרתים והחזקת מפתחות הצפנה לא מחליפים בדיקת גישה, גורמים נוספים שנחשפים, יכולות התאוששות ואופן הגדרת השירות בפועל.
הרגולטור העביר שאלות על המעבר לענן ותשובות ה-CIO מעורפלות, מה המענה חייב לכלול?
רגולטורים מחפשים הוכחה שאתם מבינים מה עבר, למה זה מוגן ואיך שולפים את זה בחזרה: רשימת מערכות ונתונים, הערכת סיכונים לכל רכיב, הבקרות הקיימות ותוכנית נטישה. תשובות כלליות בדרך כלל מעידות שהמסמכים האלה פשוט טרם נכתבו. זה תלוי בדרישות הרשמיות של הרגולטור ובשלב שבו הפרויקט נמצא.
עומדים לחתום על מערכת משאבי אנוש בחו"ל, מה חובה לדעת על נתוני עובדים לפני החתימה?
תבררו איפה המידע נשמר ומעובד, למי אצל הספק וקבלני המשנה שלו יש גישה, האם יש שימוש במידע מעבר לשירות עצמו, ואיך מקבלים ומוחקים אותו בסיום. תצליבו את זה מול חובות הפרטיות והסכמי העבודה שלכם. זה תלוי בכללים שלכם להעברת מידע לחו"ל ובסוג הנתונים שיישבו במערכת.
המערכת המובילה עבורנו יושבת בחו"ל והמדיניות לא חד-משמעית, לבחור בה או בחלופה מקומית פחות טובה?
תסגרו קודם את המדיניות ורק אז את המוצר: תשאלו את הגוף המאשר בכתב אילו סוגי מידע מותר להוציא לחו"ל ובאילו תנאים. לאחר מכן תבדקו אם הספק הזר יכול להתיישר לזה, למשל דרך אירוח מקומי מוגדר או הפרדת נתונים. זה תלוי ברגישות המידע שהמערכת תקלוט ובעמדה הנוכחית של הגורם המאשר.
איך אני יכול לעזור בהחלטה הזו
- שאלה או שיחה (ללא עלות)
- אתן חוות דעת על מה שהבטחת מיקום השרתים מפספסת, ואילו שאלות נכון להציג לספק ולגורם המאשר.
- בדיקה והערכה (משלמים רק אם קיבלתם ערך)
- אכתוב הערכה עצמאית של הנתונים, תנאי החוזה, בקרות הגישה והאישורים הנדרשים. אמליץ אם לאשר בפעימות, לעדכן סעיפים, לפנות לחלופה אחרת או לעצור כרגע.
- ליווי שוטף (בזמן ובקצב שמתאימים לכם)
- אהיה זמין בכל שלב, או כאשר השירות מתעדכן, כדי לבדוק את הממצאים לפני מתן האישור הבא.