במשך שנים רופאים רבים האמינו שמשהו “שנמצא אצלם במרפאה”, שרת קטן בפינה או תוכנה רצה על המחשב הראשי, הוא מודל בטוח יותר.
במציאות של 2025, זה בדיוק ההפך.

1. אבטחת מידע שאינה מתעדכנת בזמן אמת

תוכנה מקומית תלויה בכך שמישהו במרפאה יתקין עדכוני אבטחה, יחליף חומרה תקולה, יתחזק גיבויים ויבדוק יומנים (Logs).
בפועל, זה כמעט לא קורה.

מול מתקפות סייבר מודרניות, מערכת שלא מתעדכנת אוטומטית פשוט אינה רלוונטית.

2. גיבויים שאינם עומדים בדרישות החוק

ההנחיה החדשה מציבה חובה ברורה:
גיבוי מאובטח, נפרד, מוצפן, ומתועד.

גיבוי שעושים פעם בשבוע בדיסק-און-קי ששוכב במגירה פשוט לא עובר.

3. רגישות לכשלים מקומיים

קריסת דיסק או תקלה בשרת מקומי היא לא תרחיש תיאורטי, זה קורה במרפאות כל חודש.
כשזה קורה, לא רק התיק הרפואי הולך לאיבוד, אלא גם ההיסטוריה הפיננסית, התורים, והמסמכים.
החוק מגדיר זאת כ"פגיעה בפרטיות" – גם אם לא הייתה דליפה.

4. אפס ניטור, אפס בקרה

מערכת מקומית לרוב אין לה:

• זיהוי פריצה

• התראות על ניסיון גישה לא מורשה

• רישום מלא של פעולות משתמש

• מנגנוני הצפנה מתקדמים

זה פער רגולטורי מהותי – והחוק החדש שם עליו פוקוס.

5. אחריות משפטית מלאה על המרפאה

כאשר המערכת מקומית, המרפאה אחראית לכל פגיעה במידע.
אין "ספק שירות" שאפשר לדרוש ממנו אחריות.
אין חוזה, אין בקרה, אין BAA (כמו בארה״ב), ואין תיעוד.

וזו נקודה שרופאים רבים מפספסים:
החוק רואה בבעל המרפאה – בעל המאגר.
ובעל המאגר חייב להבטיח אבטחה ברמה תעשייתית, לא מקומית.