הרשאות ותפקידים (⁨RBAC⁩) במרפאה רב-תחומית: איך בונים מטריצת הרשאות

למה מרפאה צריכה תפקידים ועקרון הרשאות מינימלי

במרפאה פרטית עוברים מדי יום עשרות אנשים דרך אותה מערכת: רופאים, אחיות, פקידות קבלה, אנשי גבייה, מנהל ולעיתים גם ספקים חיצוניים. כולם צריכים לגעת בנתוני מטופלים, אך לא כולם צריכים לראות את אותו דבר. כאשר לכל משתמש יש גישה מלאה לכל דבר, כל טעות אנוש או חשבון פרוץ הופכים לאירוע רוחבי. הפתרון המקובל בתעשייה נקרא ⁨RBAC⁩ (⁨Role-Based Access Control⁩) — בקרת גישה מבוססת תפקידים.

הרעיון פשוט: במקום לשייך הרשאות לכל אדם בנפרד, מגדירים תפקידים, מחברים כל הרשאה לתפקיד, ומשייכים כל עובד לתפקיד המתאים. עובד חדש מקבל תפקיד ומיד יש לו בדיוק את הגישה הנכונה, לא פחות ולא יותר. עיקרון משלים הוא ⁨least-privilege⁩ — עקרון ההרשאה המינימלית: כל תפקיד מקבל את המינימום הנדרש כדי לבצע את העבודה, ותו לא. שני העקרונות יחד מצמצמים את שטח הפגיעה, מפשטים ביקורת, ומקלים על עמידה בציפיות הפרטיות של נתוני בריאות.

התפקידים הבסיסיים במרפאה

לפני שבונים מטריצה, כדאי למפות את התפקידים הטיפוסיים. אלה נקודת פתיחה, ולא רשימה מחייבת — כל מרפאה מתאימה אותם למציאות שלה:

• רופא/מטפל — רואה וכותב בתיק הקליני, פותח ביקורים, כותב מרשמים, מזמין בדיקות.
• אחות — מתעדת סימנים חיוניים, מכינה את הביקור, מנהלת חיסונים ותרופות, לרוב בהרשאה קלינית מצומצמת יותר מהרופא.
• פקידות קבלה — מנהלת תורים, פרטים דמוגרפיים ותקשורת, בלי גישה לתוכן קליני עמוק.
• גבייה/חשבות — עובדת עם חשבוניות, תביעות, תשלומים ויתרות, וזקוקה לאבחנה המנמקת בלבד ולא לרשומה הקלינית המלאה.
• מנהל/אדמין — מגדיר את המערכת, תפקידים והרשאות, אך לא בהכרח נכנס לתוכן קליני שוטף.
• משתמש חיצוני — יועץ, מבקר או ספק שירות עם גישה מתוחמת וזמנית בלבד.

מהי מטריצת הרשאות

מטריצת הרשאות היא טבלה דו-ממדית: בשורות התפקידים, בעמודות אובייקטי הגישה (סוגי המידע והפעולות), ובכל תא רמת ההרשאה — אין גישה, קריאה בלבד, קריאה וכתיבה, או ניהול. המטריצה הופכת שאלה מעורפלת („מי יכול לגעת במה?”) למסמך מפורש שאפשר לבדוק, לתחזק ולהסביר. היא גם החוזה שמולו בוחנים כל בקשת גישה חריגה.

דוגמה למטריצה

אובייקט / תפקיד	רופא	אחות	קבלה	גבייה	אדמין	חיצוני
תורים	קריאה/כתיבה	קריאה/כתיבה	קריאה/כתיבה	קריאה	הגדרה	מתוחם
תיק מטופל	מלא	קליני מצומצם	דמוגרפיה בלבד	מוגבל	ללא	מתוחם
ביקורים וטפסים	כתיבה	כתיבה חלקית	ללא	קריאה לצורך קידוד	ללא	קריאה מתוחמת
מרשמים	כתיבה	קריאה	ללא	ללא	ללא	ללא
כספים	קריאה	ללא	קריאה	מלא	קריאה	ללא
ניהול והרשאות	ללא	ללא	ללא	ללא	מלא	ללא

הטבלה היא רק נקודת פתיחה. במרפאה אמיתית מספר האובייקטים גדול הרבה יותר — כל סוג טופס, כל מודול וכל פעולה רגישה יכולים להיות אובייקט נפרד.

הרשאות ברמת טופס ושדה

בקרה ברמת המודול לבדה אינה מספיקה תמיד. שני תפקידים עשויים שניהם „לכתוב ביקור”, אך רק אחד מהם אמור לגעת בטופס פסיכו-סוציאלי רגיש או בהערות פנימיות. לכן בקרה בשלה מאפשרת הרשאה ברמת הטופס הבודד, ולעיתים גם ברמת השדה: שדה שנראה לתפקיד אחד ומוסתר מאחר. גרעיניות זו מאפשרת לפתוח את רוב המערכת לצוות הרחב ולסגור נקודתית רק את הרגיש ביותר, בלי לשכפל מסכים.

יומן ביקורת ואיתור חריגות

מטריצה טובה קובעת מה מותר; יומן ביקורת (⁨audit log⁩) מתעד מה קרה בפועל. כל צפייה, עריכה, יצוא או הדפסה של מידע רגיש נרשמים: מי, מתי, לאיזו רשומה ואיזו פעולה. הערך של היומן תלוי בשלמותו — אם ניתן לערוך אותו בשקט, הוא חסר משמעות. לכן נהוג להגן על השורות מפני שינוי בדיעבד.

כדי לאתר חריגות, כדאי לחפש דפוסים: גישה של עובד לתיק שאין לו קשר טיפולי אליו, נפח צפיות חריג בשעה קצרה, פעילות מחוץ לשעות העבודה, או יצוא נתונים גדול. סקירה תקופתית של היומן הופכת אותו מארכיון פסיבי לכלי גילוי פעיל.

⁨break-glass⁩ — גישת חירום כמושג

לעיתים נדרשת גישה דחופה למידע שהתפקיד הרגיל אינו מתיר — למשל מטופל במצב חירום שאינו מטופל הקבוע של הרופא הנוכחי. מנגנון ⁨break-glass⁩ הוא הרעיון של „שבירת הזכוכית”: המערכת מאפשרת חריגה מבוקרת, אך דורשת נימוק מפורש, מסמנת את הגישה כחריגה, ומייצרת התראה וביקורת מוגברת בדיעבד. ⁨break-glass⁩ הוא מושג תכנוני מקובל שכדאי להכיר; מומלץ לוודא מול הספק כיצד בדיוק כל מערכת מטפלת בגישת חירום, ולא להניח שהיא קיימת כברירת מחדל.

עזיבת עובד או שינוי תפקיד

הרשאות אינן דבר סטטי. כאשר עובד מחליף תפקיד, יש לעדכן את שיוכו ולהסיר הרשאות ישנות — אחרת נצברת „זחילת הרשאות” שבה אנשים אוספים גישות מכל תפקיד שמילאו אי פעם. כאשר עובד עוזב, יש לבטל את הגישה מיד, לא כעבור שבוע. חשוב לזכור שביטול גישה אינו מוחק את עקבות היומן: הפעולות ההיסטוריות של המשתמש נשמרות לצורכי ביקורת, גם אם החשבון עצמו הושבת.

רשימת בדיקה להגדרת הרשאות

• מפו את כל התפקידים בפועל, כולל תפקידים חיצוניים וזמניים.
• הגדירו לכל תפקיד את ההרשאה המינימלית הנדרשת (⁨least-privilege⁩).
• בנו מטריצת הרשאות מפורשת ותעדו אותה.
• סגרו נקודתית טפסים ושדות רגישים ברמת התפקיד.
• ודאו שיומן הביקורת פעיל ומוגן מפני שינוי.
• קבעו נוהל ותהליך לגישת חירום (⁨break-glass⁩) מול הספק.
• הגדירו תהליך ברור לעזיבה ולשינוי תפקיד, עם ביטול גישה מיידי.
• קבעו סקירה תקופתית של הרשאות ושל יומן הביקורת.

מה מאושר ב-⁨CareOS⁩

מודול הניהול של ⁨CareOS⁩ כולל מטריצת הרשאות של ⁨65⁩ אובייקטי גישה על פני ⁨6⁩ תפקידים, לצד ⁨492⁩ הגדרות תצורה לפי תחומים ומעצב טפסים שאינו דורש פיתוח (⁨F-M10⁩). ההרשאות אינן עוצרות ברמת המודול: ניתן להגדיר הרשאות ברמת הטופס הבודד בתוך הביקור (⁨F-M3⁩). יומן הביקורת מתועד עם חתימת שלמות על כל שורה (⁨F-M10⁩), ותיעוד טיפול כולל לוג גישה מלא לרשומה — מי צפה ומתי (⁨F-M8⁩). ⁨CareOS⁩ תוכננה מתוך התחשבות בדרישות הפרטיות של נתוני בריאות בישראל, אך אינה טוענת לתקן או להסמכה כלשהם.

סיכום

מטריצת הרשאות טובה אינה פרויקט חד-פעמי אלא תרגול מתמשך: להגדיר תפקידים בבהירות, לתת לכל תפקיד את המינימום, לתעד הכול במטריצה מפורשת, לגבות זאת ביומן ביקורת אמין, ולסקור באופן שוטף. כך המרפאה שומרת על נתוני המטופלים מבלי לשתק את עבודת הצוות.

רוצים לראות כיצד נראית מטריצת הרשאות בפועל? קבעו הדגמה של ⁨CareOS⁩ ונעבור יחד על התפקידים, ההרשאות ברמת הטופס ויומן הביקורת במרפאה שלכם.

חזרה לבלוג