- זה השלב הראשון, לא השלישי: רמת אבטחה, רישום מאגר ומדיניות שמירה כולם נגזרים מתוצאות המיפוי.
- תקנה 2 מונה שבעה פריטים שחייבים להופיע במסמך הגדרות המאגר — מתיאור האיסוף ועד שמות מנהל המאגר והמחזיק.
- תקנה 5 דורשת מסמך נפרד שמפה את החומרה, התוכנה, ממשקי התקשורת ותרשים רשת — ומציינת מועד עדכון.
- מאגר ברמה גבוהה דורש סקר סיכונים ומבדק חדירות אחת ל-18 חודשים לפחות, לפי תקנה 5.
- המיפוי הוא מסמך חי: כל מערכת חדשה, ספק חדש או טופס חדש באתר מחייבים עדכון.
תוכן העניינים
- מה זה מיפוי מאגרי מידע?
- למה המיפוי הוא הצעד הראשון?
- מה התקנות דורשות שיופיע במסמכי המיפוי?
- איך מבצעים מיפוי מאגרי מידע שלב אחר שלב?
- אילו מקומות שוכחים כמעט תמיד למפות?
- כל כמה זמן מעדכנים את המיפוי?
- שאלות ותשובות
מיפוי מאגרי מידע הוא תהליך מסודר שבסופו יש לארגון רשימה כתובה של כל אוספי המידע האישי שבידיו, עם ציון סוגי המידע, מטרת האיסוף, המערכות שבהן המידע שמור, מי מורשה לגשת אליו ולמי הוא מועבר הלאה. זה השלב שרוב העסקים מדלגים עליו כשהם ניגשים לעמידה בדרישות תיקון 13, והוא בדיוק השלב שבלעדו כל השאר נבנה על ניחושים. ארגון שלא יודע אילו מאגרים יש לו לא יכול לדעת אם הוא חייב ברישום, איזו רמת אבטחה חלה עליו, או מי הספקים שצריכים הסכם עיבוד מידע.
מה זה מיפוי מאגרי מידע?
מיפוי מאגרי מידע הוא תיעוד של מה ואיפה — איזה מידע אישי הארגון מחזיק ובאילו מערכות הוא שוכן. הוא שונה מרישום מאגר: הרישום הוא פעולה מול הרשות, והמיפוי הוא עבודה פנימית שאיש לא מבקש לראות מראש — עד שמבקשים.
בפרקטיקה מרבית העסקים מגלים במיפוי שהם מחזיקים יותר מידע ממה שהם חשבו, וביותר מקומות. אותו מספר טלפון של לקוח יכול להימצא במערכת ה-CRM, בגיליון אקסל של איש מכירות, במערכת הדיוור, במוקד הטלפוני ובניהול החשבונות — חמישה מקומות, חמישה סיכונים, ובדרך כלל רמות אבטחה שונות לגמרי בכל אחד מהם.
למה המיפוי הוא הצעד הראשון?
כי כל חובה מרכזית אחרת בתיקון 13 מנוסחת כפונקציה של שאלה שהמיפוי הוא שעונה עליה: כמה נושאי מידע יש במאגר, מה רגישות המידע, ומי נוגע בו. הטבלה הבאה מראה את התלות:
| החלטה שצריך לקבל | מה מהמיפוי נדרש כדי לקבל אותה |
|---|---|
| רמת אבטחה (בסיסית / בינונית / גבוהה) | סוגי המידע, רגישותו, מספר נושאי המידע ומספר בעלי ההרשאות |
| חובת רישום או הודעה | מספר המאגרים, מהות המידע ומטרות השימוש |
| מינוי ממונה על הגנת הפרטיות | היקף ואופי העיבוד בארגון ורגישות המידע |
| ניסוח מדיניות פרטיות והודעת יידוע | רשימת המטרות והמקבלים בפועל, לא בתיאוריה |
| מדיניות שמירה ומחיקה | איפה שוכן כל עותק — כולל גיבויים וגיליונות |
| הסכמי עיבוד מידע מול ספקים | רשימת הגורמים החיצוניים שיש להם גישה למידע |
| מענה לפניית עיון או מחיקה | יכולת למצוא את כל העותקים של אדם מסוים בזמן סביר |
מה התקנות דורשות שיופיע במסמכי המיפוי?
שני מסמכים נפרדים, שני מקורות בתקנות. לפי נוסח תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017, תקנה 2 עוסקת במסמך הגדרות המאגר ותקנה 5 במיפוי מערכות המאגר.
מסמך הגדרות המאגר (תקנה 2)
תקנה 2 מונה רשימת מינימום של פריטים שבעל המאגר חייב לתעד:
- תיאור כללי של פעולות האיסוף והשימוש במידע.
- תיאור מטרות השימוש במידע.
- סוגי המידע השונים הכלולים במאגר.
- פרטים על העברת המאגר אל מחוץ לגבולות המדינה.
- פעולות עיבוד מידע המבוצעות באמצעות מחזיק.
- הסיכונים העיקריים של פגיעה באבטחת המידע והדרך להתמודד איתם.
- שמו של מנהל מאגר המידע, של מחזיק המאגר ושל הממונה על אבטחת מידע, אם מונה כזה.
מיפוי מערכות המאגר (תקנה 5)
מסמך נפרד, טכני באופיו, שאמור לכלול את רכיבי החומרה והתקשורת, המערכות והתוכנות שמנהלות את המאגר, ממשקי התקשורת, תרשים רשת שמארגן את הקשרים בין המערכות ואת מקומן הפיזי, ומועד העדכון האחרון. תקנה 5 גם מגבילה את הגישה למסמך הזה עצמו — הוא מפה של המערכות ולכן הוא עצמו נכס רגיש.
סקר סיכונים במאגר ברמה גבוהה
למאגר ברמת אבטחה גבוהה קובעת תקנה 5 חובה לבצע סקר סיכונים ומבדק חדירות — כל אחד מהם אחת לשמונה עשר חודשים לפחות. פירוט מורחב נמצא במאמר על סקר סיכונים ומבדק חדירות — מי חייב וכל כמה זמן.
איך מבצעים מיפוי מאגרי מידע שלב אחר שלב?
שבעה שלבים, בסדר הזה. בארגון קטן זה תהליך של שבועועיים; בארגון בינוני מדובר בחודש-חודשיים.
- ראשימת מערכות: רשמו כל מערכת וכל כלי שבשימוש הארגון — CRM, מערכת הנהלת חשבונות, דיוור, אתר, טפסים, טלפוניה, אחסון ענן, ואפילו תיקיות נייר.
- מי מחזיק מה: ראו בנפרד מידע על לקוחות, על עובדים, על מועמדים לעבודה, על ספקים ועל גולשים באתר — אלה קבוצות נפרדות עם מטרות נפרדות.
- פירוט שדות: לכל מערכת, רשמו אילו שדות נשמרים בפועל. ציינו בנפרד שדות בעלי רגישות מיוחדת כמו מידע רפואי או פיננסי.
- מטרה לכל אוסף: למה המידע נאסף? אם אין תשובה ברורה, זה מועמד למחיקה ולא למיפוי.
- מי נוגע במידע: רשמו לכל מערכת מי מורשה לגשת אליה, באיזו רמת הרשאה, ואם יש גם גורם חיצוני.
- תנועת המידע: שרטטו לאן המידע זורם — מהטופס באתר ל-CRM, משם למערכת הדיוור, ומשם לגיבוי. כל חץ הוא נקודת סיכון.
- סיכון ופערים: לכל שורה במיפוי, ציינו מה הסיכון המרכזי ומה חסר. זו תוכנית העבודה שלכם לשנה הקרובה.
אילו מקומות שוכחים כמעט תמיד למפות?
המידע שאנשים שוכחים הוא המידע שלא נמצא במערכת רשמית. אלה המקומות שחוזרים שוב ושוב:
- גיליונות אקסל וגוגל שיטס שמנהלים שמרו לעצמם, לעיתים בדראיב פרטי.
- תיבת המייל — קורות חיים, צילומי ת״ז, אישורי העברה בנקאים. זה מאגר לכל דבר.
- שיחות וואטסאפ עסקיות בטלפונים פרטיים של עובדים.
- גיבויים ועותקי פיתוח — עותק של מאגר הייצור שהועתק לסביבת בדיקות ונשכח שם.
- מוקדי שירות והקלטות שיחות — הקלטה היא מידע אישי לכל דבר.
- מערכות שהוחלפו — המוצר הישן שהפסיקו להשתמש בו אבל השאירו ״למקרה שנצטרך״.
שני הפריטים האחרונים ברשימה הם הסיבה הנפוצה ביותר לאי-התאמה בין המיפוי למדיניות השמירה. על כך מורחב במאמר על מדיניות שמירה ומחיקה של מידע אישי בעסק.
כל כמה זמן מעדכנים את המיפוי?
התקנות מחייבות שמסמך מיפוי המערכות יהיה מעודכן ויציין את מועד העדכון האחרון, ולכן המבחן המעשי הוא ״האם הוא משקף את המצב הנוכחי״ ולא ״מתי נגענו בו לאחרונה״. בפועל שתי מסגרות עובדות טוב: סקירה קבועה אחת לשנה, ובנוסף עדכון מידי בכל אחד מהמקרים הבאים:
- מערכת חדשה נכנסת לשימוש או מערכת קיימת יוצאת משימוש.
- ספק חדש מקבל גישה למידע, או ספק קיים מחליף קבלן משנה.
- התוסף שדה מידע חדש או טופס חדש באתר.
- הארגון התחיל להעביר מידע למדינה אחרת.
- התרחש אירוע אבטחה, שמחייב בדיקה מחדש של הסיכונים ושל המפה.
עיקרי הדברים
- מיפוי מאגרי מידע הוא הבסיס לכל שאר החובות, ולא שלב שניתן לדלג עליו.
- תקנה 2 מחייבת מסמך הגדרות מאגר עם שבעה פריטי מינימום, ותקנה 5 מחייבת מסמך מיפוי מערכות נפרד ומעודכן.
- מאגר ברמה גבוהה דורש סקר סיכונים ומבדק חדירות אחת ל-18 חודשים לפחות.
- המקומות המסוכנים ביותר הם הלא-רשמיים: גיליונות, תיבות מייל, וואטסאפ ועותקי פיתוח.
- מיפוי שלא מתעדכן בכל שינוי מערכת או ספק הופך תוך שנה למסמך מטעה.
שאלות ותשובות
האם עסק קטן צריך למפות מאגרי מידע?
כן. החובות בתקנות אבטחת המידע חלות על בעלי מאגרים בלי קשר לגודל הארגון, אם גם היקף הדרישות משתנה לפי רמת האבטחה. בעסק קטן המיפוי יכול להיות גיליון אחד עם עשר שורות, וזה לגיטימי לגמרי.
מה ההבדל בין מיפוי מאגרים לבין רישום מאגר?
מיפוי הוא עבודה פנימית שמטרתה לדעת מה יש לכם. רישום הוא פעולה מול הרשות להגנת הפרטיות. המיפוי קודם לרישום, כי בלי לדעת מה במאגר אי אפשר לדעת אם ואיך חלה חובת רישום או הודעה.
באיזה כלי כדאי לנהל את המיפוי?
גיליון אלקטרוני מנוהל היטב מספיק לרוב הארגונים, וחשוב שהוא עצמו יהיה מוגן ומוגבל בהרשאות, כי הוא מרכז את מפת הנכסים הרגישים. בארגונים גדולים נהוג לנהל אותו במערכת ניהול נכסים או מערכת גר״צ ייעודית.
מה עושים עם מידע שנמצא במיפוי ואין לו מטרה?
בודקים אם קיימת חובה אחרת לשמור אותו, למשל דין מסים או דיני עבודה. אם אין — זה מועמד למחיקה מבוקרת. מידע שלא נדרש הוא סיכון בלי תמורה, והצמצום היקף המידע מקטין גם את החשיפה באירוע אבטחה.
האם הרשות להגנת הפרטיות מבקשת לראות את המיפוי?
המסמכים האלה הם מסמכי חובה לפי התקנות, ולכן הם מהדברים הראשונים שנבדקים בהליך פיקוח. המלאות שלהם ועדכניותם משפיעות על התמונה הכללית של רמת הציות בארגון.
המידע במאמר זה הוא כללי ואינו מהווה ייעוצ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
