אבטחה במערכת הבריאות

אגף הביטחון במשרד הבריאות, מאגפי הביטחון הגדולים בשירות הציבורי, התמודד בשנים האחרונות עם אתגרים אדירים; החל מתקופת הקורונה וכלה במלחמה האחרונה וכמו כולם מתמודד עם משבר קשה בכוח אדם. על האתגרים והמענה בכתבה שקיימנו עם יורם רובינשטיין ראש האגף הביטחון.

בתי חולים כיעד אסטרטגי

מערכות הבריאות, ובפרט בתי חולים, מהווים יעד אסטרטגי לפגיעה ולא רק בישראל. בעוד שבתפיסה המערבית והישראלית מוסדות בריאות נחשבו משך שנים כ"מנועי תקיפה" – מקומות מוגנים שאסור לפגוע בהם, תפיסה זו אינה אוניברסלית. דוגמאות ממלחמות אזרחים בסוריה, פקיסטן והודו מציגות מציאות שונה, בה פגיעה בבתי חולים אינה נתפסת כחציית קו אדום. למרות שאמנת ז'נבה אוסרת על שימוש בבתי חולים כתשתיות צבאיות, במלחמה האחרונה בעזה מחסום פסיכולוגי זה נפרץ גם אצלנו כאשר היה ברור שבתי חולים שימשו כמעוזי טרור מוכחים.

פגיעה בבית חולים נתפסת על ידי גורמי אויב כיעד בעל משמעות לאומית וצבאית עליונה. בית החולים סורוקה, שנפגע במלחמה האחרונה, הפך ליעד אסטרטגי בעיני איראן, בין היתר בשל תפקידו המרכזי בפינוי פצועים במרחב הדרומי והפגיעה לא הייתה מקרית.

סייבר והמימד האנושי: אתגרים ופתרונות

אנו עדים לניסיונות תקיפה של עולם הבריאות גם בהקשר הסייבר, בתי חולים ומערכות בריאות מדורגים בסטטיסטיקות בינלאומיות באופן עקבי כאחד היעדים המועדפים לתקיפות, מה שמחזק את ההבנה כי הכללים והאיומים השתנו וכי אסור להסתמך על אמנות ישנות שאינן רלוונטיות עוד. המציאות הנוכחית מחייבת התייחסות מחודשת לאבטחת מוסדות אלו, תוך הכרה בפגיעותם ובחשיבותם האסטרטגית.

אחת הבעיות המרכזיות בתקיפות סייבר כנגד מערכות בריאות היא הקושי לכמת את הנזק לחיי אדם, שכן הוא אינו בהכרח מיידי. פגיעה בתיקים רפואיים או ביכולת הצוות הרפואי לספק שירותי הצלת חיים עלולה לעכב טיפולים וניתוחים, ולגרום לנזק עקיף שלעיתים קשה מאוד לאמוד. תקיפות סייבר רבות אינן מתגלות בזמן אמת, בניגוד לתקיפות כופר הדורשות תשלום, אלא מתגלות במקרה או בשלב מאוחר יותר, מה שמעיד על הצורך במנגנוני איתור ובקרה מתקדמים.

יחסי הגומלין בין אגף הביטחון למחלקות אבטחת המידע והסייבר

במשרד הבריאות, הגנת הסייבר מטופלת על ידי יחידת הסייבר באגף מערכות מידע. הפרדת תחום הגנת הסייבר מתחום הביטחון מונעת יישום תפיסת בטחון ארגונית כוללת ומביאה לפערים בטיפול בנושאים רכים כמו מהימנות עובדים, ניהול הרשאות ואכיפה למניעת פגיעה של עובדי הארגון. המימד האנושי קריטי, שכן רובן המכריע של תקיפות הסייבר מתבצעות באמצעות ה"גורם האנושי" – בין אם כתוצאה מטעויות, חוסר מודעות, ניצול ושיטוי עובדים או פעולות זדוניות.

האם באחריותו הישירה של האגף להגן על מערכות הביטחון והבטיחות שתחת אחריותו?

"בהחלט קיים חשש מפני פגיעה מתוחכמת במערכות ממוחשבות, שעלולה להשבית מערכות ביטחון ולאפשר תקיפה פיזית. פתרונות מיידיים כוללים הפרדת רשתות (מערכות מתח נמוך ממערכות מידע ארגוניות), הקפדה על שינוי סיסמאות גנריות והקשחת אמצעי אבטחה כדוגמת מצלמות ומערכות 'מתח נמוך'. התפיסה המועדפת בעיניי היא שכל נושא הסייבר יהיה תחת אגף הביטחון, כדי לאחד את הטיפול בכלל האיומים – פיזיים וטכנולוגיים – תחת מערכת אחת. גישה זו תאפשר ראייה רחבה יותר של איומים, טיפול בכוח אדם ושילוב בין היבטים שונים של אבטחה, בהתאם להגדרות הקיימות ב'חוק להסדרת הביטחון'. למרות המלצות נציבות שירות המדינה לאחידות, בפועל קיים שוני בין משרדי הממשלה השונים, כאשר לכל משרד שיקולים ואילוצים אחרים. חוסר אחידות זה נובע מהיעדר רגולטור חזק אחד המנחה תפיסה לאומית כוללת ומחייבת לכל הגופים הציבוריים, בכל תחומי האבטחה, ומונע ניגודי אינטרסים מובנים בין גורמים שונים".

רשות לאומית לאבטחה

לאור הדברים שהזכרת גם בתחום הגנת הסייבר, אשמח לשמוע את דעתך על הרעיון של הקמת רשות לאומית לאבטחה.

"הקמת רשות לאומית לאבטחה נתפסת כהכרחית על ידי רבים העוסקים בתחום, וזאת על בסיס ניסיון מצטבר ולימוד המערכת לאורך שנים. למרות שחטיבת האבטחה עברה תהליכים משמעותיים והתחזקה, עדיין קיימים פערים גדולים שקשה להתגבר עליהם במסגרת המבנה הקיים.

אחד החסרונות הבולטים במערך האבטחה נובע מריבוי המנחים, כאשר גופים שונים כמו מערך הסייבר, המשטרה, שירות הביטחון הכללי, משרד הבל"מ, צה"ל ונציבות שירות המדינה מנחים בתחומיהם, ללא גוף אחד המאחד את ההנחיות בראיה הלאומית. חוסר אחידות זה יוצר פערים, סתירות ופוגע ביעילות הכוללת של מערך האבטחה. ריבוי הגופים המנחים, מחליש את תוקף ההנחיה ויוצר מצב בו למערכי האבטחה אין "אבא ואמא" – גוף בעל סמכות וכח שיאכוף ויבטיח מימוש רמת האבטחה שהוגדרה כמחייבת.

רשות ממלכתית לאבטחה, שתפעל תחת משרד ראש הממשלה ותהיה שוות ערך לגופים הביטחוניים המרכזיים בישראל, תוכל לספק מענה מקיף לסוגיות רבות. תפקידה יהיה לתכלל ולהנחות את כל תחומי האבטחה, מרמות האבטחה הגבוהות ביותר, כולל אבטחת אישים ואבטחה ממלכתית, ועד לרמות הנמוכות ביותר, כאשר באבטחה הממלכתית ובגופים הציבוריים היא אף תשמש כמעסיק ישיר. בגופים פרטיים תפעל כרגולטור בלבד הרשות תספק את ההנחיה הנדרשת בכל תחומי הרגולציה הרלוונטיים לעולם האבטחה, ותאגד להנחיה אחידה הנחיות שיועברו לה מרגולטורים בתחומים השונים: אבטחה פיסית, אבטחת מידע, הגנת סייבר, חירום, רישוי נשק לאנשי אבטחה ועוד. הרשות תרכז ותתכלל את כל הידע המקצועי והלקחים בתחום ותבטיח רמה מקצועית גבוהה, אחידות תקנים ופעולה. הפעלת מערכי האבטחה הממלכתיים והציבוריים באופן אקסוגני לגופים המאובטחים, תמנע ניגודי אינטרסים ותבטיח שמירת רמת אבטחה בלתי תלויה בגופים עצמם,  בדומה לאבטחה הממלכתית ולגופים ביטחוניים ואף תביא לתעדוף משאבים מרכזי, נכון ויעיל יותר ברמה הלאומית. רשות כזו תידרש ואף תוכל לפעול באופן אפקטיבי למציאת מענה לסוגיות ברמה הלאומית ובראש ובראשונה לסוגיית כוח האדם, המהווה אתגר לאומי.. לכל העוסקים בתחום ברור שאנו נמצאים במשבר חמור בו הביקוש והצורך במאבטחים עולים לאין-שיעור על היצע השוק ההולך וקטן, גם בכמות וגם באיכות. המצב צפוי רק להחריף בשנים הקרובות ואם לא יימצאו פתרונות ברמה הלאומית, הרי שמערכי האבטחה יקרסו.

הצורך ברשות כזו מדובר כבר שנים רבות ונתמך ע"י בכירים ובהם גם ראשי חטיבת האבטחה, שהודו שיכולתם להשפיע ברמה הלאומית הינה מוגבלת. לצערי, למרות היתרונות הברורים, הסבירות להקמת רשות לאומית לאבטחה נמוכה, מאחר והיא כרוכה בעלות כספית משמעותית, מחייבת הקצאת תקנים, וצפויה להיתקל בהתנגדויות מגופים שונים, כולל ביטחוניים, בשל שיקולי השפעה, סמכויות ותקציב. כנגד זאת, יש לחזור ולהדגיש את התובנה שקיבלה משנה תוקף במהלך "חרבות ברזל", ואף קודם לכן באירועי "שומר חומות": האבטחה במדינת ישראל חייבת להיות נדבך מרכזי מתועדף בתפיסת הבטחון הלאומית. כפועל יוצא מכך, עליה לעמוד בפני עצמה עם הקצאת משאבים ייעודית בכל המישורים ובראש ובראשונה רגולטורית וניהולית – ע"י הקמת רשות אבטחה לאומית, לה יובטח קשב של מקבלי ההחלטות בממשלת ישראל.

משבר כוח האדם בענף האבטחה

הזכרת את הצורך בטיפול במשבר כוח האדם שנחשב, נכון להיום, לסוגיה המטרידה ביותר את מערך האבטחה בישראל. קיימת תפיסה לפיה המדינה מאבטחת את עצמה לדעת, מעל ומעבר ליכולות המשק תוך שימוש בכוח אדם שאינו תמיד רלוונטי לתפקידו. פתרון אפשרי למצב זה טמון בשילוב טכנולוגיות מתקדמות שיחליפו משימות כמו סריקה ותצפית, וישאירו את כוח האדם האיכותי למשימות תגובה והתמודדות עם התראות. אשמח לשמוע את דעתך על סוגיה זו.

"אין ספק כי מערך האבטחה נמצא במשבר כוח אדם, אך גם חשוב לזכור כי טכנולוגיה אינה יכולה להוות מענה בלעדי. לקחי ה-7 באוקטובר הוכיחו כי בסופו של דבר נדרש כוח אדם בשטח לצורך תגובה וקבלת החלטות, פעולות שאינן יכולות להתבצע על ידי מכונה. רשות לאומית לאבטחה, אם תוקם, תוכל לסייע בפתרון סוגיה זו על ידי קביעת תקנים אחידים וחלוקת משאבים יעילה יותר, שוב בראיה לאומית. למשל, בקניון הכולל מוסדות נוספים כמו בנקים או בתי מרקחת, רשות כזו תוכל לקבוע דרישות אבטחה שיביאו בחשבון את כל המוסדות במתחם – בדומה למודל המשטרתי של "טריטוריה ביטחונית" שמיושם רק באופן מוגבל.

בעיה נוספת ומשמעותית מאד מבחינת יכולת איוש הסד"כ הנדרש לאבטחה ומשפיעה באופן קריטי על הרמה המקצועית, הינה תחלופת העובדים הגבוהה והקושי בשימור כח אדם. אחד הגורמים המרכזיים לכך הינו אופן העסקת המאבטחים ב"מיקור חוץ", באופן בו האופק התעסוקתי שלהם מוגבל כאשר ההזדהות והמחויבות שלהם לגוף המאובטח כמעט ואינן קיימות. מובן ששימור הידע המקצועי הארגוני והרמה המקצועית נפגעים ובאופן ישיר נפגעת רמת האבטחה.

ישנן לא מעט סיבות למחסור בכח אדם לאבטחה: חוסר האטרקטיביות של העיסוק באבטחה, מגמות תעסוקה כלליות במשק, שינויים והבדלים תרבותיים וערכיים בין-דוריים. בסופו של דבר צריך להכיר בעובדה שהיצע הלוחמים המשתחררים משירות צבאי ומעוניינים לעסוק באבטחה הינו נמוך ונמצא במגמת ירידה, כשבו-בעת הביקוש למאבטחים מיומנים עולה בהתמדה, ככל שהמשק הישראלי צומח ורמת האיומים אינה יורדת ולמעשה אף עולה. מובן שבמצב חירום כאשר חלק ניכר ממערכי האבטחה מגויס למילואים, המצב רק מחריף ונוצרת סיטואציה אבסורדית שבה כאשר האיומים מתגברים משמעותית ונדרש מענה מתוגבר לתרחישי החירום, מערכי האבטחה מתדלדלים, רמת האבטחה נפגעת בצורה קשה, ובפועל לא ניתן מענה מתאים לאיומים.

מצבי משבר קיצוניים מחייבים לרוב פתרונות לא פשוטים ולעיתים אף נועזים. כאשר מנתחים את המגמה הברורה בשוק האבטחה, המסקנה המתבקשת היא, שללא התערבות אפקטיבית של המדינה, בתוך שנים ספורות רוב מערכי האבטחה יקרסו כמעט לחלוטין ולא יוכלו לעמוד במשימותיהם.

ככל ומדינת ישראל אכן רואה באבטחה מרכיב מרכזי בביטחון הפנים, כפי שניתן אולי להסיק מעצם חקיקתו של ה"חוק להסדרת הבטחון בגופים ציבוריים", הרי שחייבת להתקיים בחינה של הנושא ברמה הלאומית, שבה יש להבנתי אף לשקול לפחות מענה, ולו גם חלקי, באמצעות גיוס חובה לתפקידי אבטחה בגופים הציבוריים, בדומה לגיוס שמבוצע למשימות משטרה, מג"ב ולתפקידים אחרים. ודאי שהדברים נכונים לא פחות לגבי הצורך בהקמת יחידות מילואים ייעודיות לאבטחה, שיוכלו לתת מענה אמיתי לאבטחת התשתיות הקריטיות של מדינת ישראל בשעת מלחמה.

ברמה המיידית, יש מקום להגדיל את היצע המאבטחים הפוטנציאלי בדרך של שינוי תבחיני הסף שנקבעו ע"י חטיבת האבטחה. ממילא, במצב הקיים בפועל ברוב מערכי האבטחה, נקלטים מאבטחים בעלי תבחינים נמוכים, שאינם לוחמים, לביצוע משימות המחייבות לפי תפיסות האבטחה המאושרות מאבטחים ברמות "מתקדם ב'" ומעלה ופתוחות היום רק ללוחמים ברמת הכשרה צבאית של "רובאי 3" לפחות.

במצב משברי, כפי שאנו חווים, גופי האבטחה אינם יכולים להיות בררנים. לעיתים, לוחם לשעבר אינו בהכרח מאבטח טוב יותר ממי שלא היה לוחם, בדיוק כפי שציון פסיכומטרי נמוך אינו מעיד בהכרח על חוסר יכולת להצליח בלימודים אקדמיים. צריך לזכור שהתבחינים המשטרתיים, בדומה למבחנים הפסיכומטריים, מהווים כלי לסינון ובחירה בין מועמדים שונים המתחרים על מספר מקומות מוגבל, בניסיון לתעדף את בעלי סיכויי ההצלחה הגבוהים יותר. השימוש בכלי הינו יעיל כאשר מספר המועמדים בעלי רמה גבוהה הינו גדול ממספר המקומות לאיוש. אם מספר המועמדים ללימודי רפואה יהיה קטן ממספר המקומות הפנויים לסטודנטים חדשים, הרי שהרף הקיים היום יירד ויתקבלו ללימודים גם בעלי ציון פסיכומטרי נמוך. גם אם תאורטית עדיף לקלוט לתפקידי האבטחה לוחמים מנוסים מיחידות מובחרות, הרי שכאשר ההיצע נמוך, עלינו "להסתפק" גם במגויסים שלא שירתו כלוחמים ואולי אף כאלה שלא שירתו כלל ולבצע התאמות בהכשרתם.

בנוסף, מנהלי ביטחון רבים מתלוננים על חוסר היכולת לקדם עובדים ותיקים ומוכשרים לתפקידי פיקוד, רק משום שאינם עומדים בתבחינים הפורמליים, מה שמגביל את גמישות הניהול ופוגע במוטיבציה.

במקום להתעקש על דרישות גיוס שלא ניתן לעמוד בהן ולשמר במודע אי עמידה של הגופים המאובטחים בדרישות ההנחיה, עדיף לאפשר ואף לחייב להכשיר את אותם מגויסים שאינם לוחמים, באופן שישפר את רמתם המקצועית כלוחמי אבטחה, גם אם הכשרתם הצבאית חסרה. בלית ברירה עדיף להוריד את רמת התבחינים או אפילו לבטלם ולהפוך את עצם ההכשרה לבוחנת, כך שסינון התאמת המגויסים לאבטחה יתבצע כחלק מתהליך ההכשרה וההסמכה. יש לציין לזכות חטיבת האבטחה, שכבר ביצעה צעד משמעותי וחיובי בכיוון, כשאישרה בהוראת שעה "לשדרג" מאבטחים ברמת "בסיסי" ע"י הכשרה נוספת שמאפשרת להציבם בחלק מהמשימות שנקבעו למאבטחים ברמת מתקדם ב'..".

טכנולוגיה, חירום, ומבט לעתיד

"למרות התקדמות ניכרת ביכולות טכנולוגיות האבטחה, נדרשת עדיין עבודה רבה להתאמתה לדרישות המבצעיות. לדוגמה, מערכות זיהוי פנים במצלמות, שנבחנו בשטח, בעומסי פעילות גבוהים המשקפים את המציאות במתקנים מורכבים עם תנועת מבקרים רבה, הניבו התראות שווא רבות ולא סיפקו את התפוקות הנדרשות. אף שהטכנולוגיות נמצאות ברמה טובה, יש צורך בהתאמות שיאפשרו צמצום כוח אדם או שימוש חכם יותר בו. על אנשי האבטחה ועל הגופים המונחים לפעול לאימוץ והתאמת הטכנולוגיה לצרכיהם, במטרה למקסם את יעילותה כדי שהטכנולוגיות המתפתחות באופן מהיר אכן יספקו מענה אפקטיבי לצרכי אבטחה, על מנהלי אבטחה לגבש תפיסות אבטחה מותאמות בשילוב הטכנולוגיה הרצויה וליזום מהלכי הטמעה שילוו בפיתוח תוך שיתוף פעולה עם חברות טכנולוגיה, לצורך התאמה מדויקת של היכולות הטכנולוגיות לדרישות האבטחה".

תפקידו של מערך האבטחה במוכנות ובתפקוד בעת חירום

"השנים האחרונות והמשברים שחווינו הוכיחו עד כמה חשוב תפקידו של מערך האבטחה בתחום המוכנות לחירום. מאבטחי בתי חולים, למשל, מהווים כלי תומך משמעותי בשטח, ותפקיד אגף האבטחה הוא לספק מענה לסוגיות קשות באירועי חירום. זה נכון במוכנות המוקדמת – בתכנון, במעבר למצב חירום, לדוגמה: העבודה הרבה שבוצעה על ידי מנב"טים ומחלקות ביטחון בהעברת בתי חולים למתחמים תת-קרקעיים כפי שנעשה ברמב"ם וכמובן במענה הראשוני באירוע נפילת הטיל בסורוקה, בו כוחות האבטחה ומנהלי המערך היוו את המענה הראשוני והתמיכה הראשונית עד להגעת כוחות הביטחון. אנשי מערך האבטחה חייבים להיות מחוברים לכל תרחישי החירום ולכל האירועים, ותפקידם קריטי".

האם תחום המוכנות לחירום כלול במסגרת הכשרת המאבטחים במערך?

"הכשרת מאבטחים למוכנות לחירום ולרציפות תפקודית מתבצעת במסגרת הכשרות פנימיות, בהן מוגדרים תפקידי המאבטחים לכל תרחיש אפשרי – מקורונה ורעידות אדמה ועד אירועי אב"כ. מערכת האבטחה מלווה את התהליך, סוגרת מתחמים ותומכת בפעילות.

האבטחה, פעמים רבות, היא שקופה – דבר המעיד על עבודתה היעילה. חשוב שהמנהלים בכל ארגון יזכרו את החשיבות במעורבות מערך האבטחה בתכנון ובתפעול של כלל פעילויות הארגון בשגרה וודאי בחירום. אי-מעורבות עלולה ליצור בעיות הנובעות מחוסר מודעות או חוסר הבנה. אירוע שניתן להביא כדוגמה, אחת מני רבות, הינו מבצע ההטסה לארץ של משלוחי חיסונים לקורונה. אירוע בעל משמעות אסטרטגית, שאלמלא מעורבות יזומה של אגף הבטחון, לא הייתה מתוכננת ומבוצעת היערכות לאבטחתם שכללה תכנון והובלה מאובטחת מהמטוס ועד לחברות התרופות והמחסנים, והדגישה את חשיבות שילוב המנב"ט בכל התהליך, כבר מלכתחילה.

לסיכום,

בהזדמנות זו אני רוצה לברך ולהוקיר תודה לצוות העובדים המסור והמקצועי של אגף הבטחון, למנב"טים, לקב"טים ולצוותי מחלקות האבטחה בכל בתי החולים אשר בשנים האחרונות לא היה להם רגע דל והם עובדים, לילות כימים, בתנאי אי וודאות ומשבר קשה בכח אדם ולמרות כל אלו – הצליחו לבצע את משימותיהם בדייקנות, אפשרו את תפקוד מערכת הבריאות תוך שמירה על בטחונה ועל בטחון צוותי מוסדות הבריאות, החולים, המאושפזים וכל הבאים בשערי מערכת הבריאות – יישר כוח.

קריות הרפואה

בימים אלו מוקמות שתי קריות רפואה עצומות מימדים; האחת בתל השומר והשנייה באסף הרופא, להן נבנתה תפיסת אבטחה חדשנית ופורצת דרך עליה נרחיב במהדורה הבאה של מגזין מצודה.